북한 연계 해킹조직 라자루스가 한국 서버 30곳을 공격 표적으로 삼은 정황이 제기됐다. 해커들은 웹 서버에 사용되는 프로그래밍 언어 PHP의 보안 취약점을 악용하고, 인공지능(AI)으로 공격 기법을 선별해 침투를 시도한 것으로 분석됐다.

15일 정보통신기술(ICT) 업계에 따르면 글로벌 사이버 위협 인텔리전스 기업 사이퍼마는 지난달 29일 공개한 ‘PHP2Shell 공격 관련 위협 분석 보고서’에서 북한 연계 해커들의 공격 표적과 활동 정황을 공개했다. 사이퍼마가 확보한 해커들의 표적 목록에는 10개국 서버 216곳이 포함됐다. 한국은 30곳으로 미국(49곳), 일본(47곳), 인도(31곳)에 이어 네 번째로 많았다.

사이퍼마는 북한 연계 해커들이 PHP 원격 코드 실행(RCE) 취약점인 CVE-2026-109618과 CVE-2026-109619를 악용한 것으로 분석했다. 두 취약점 모두 심각도가 9.2점으로 평가됐다. 원격 코드 실행은 공격자가 외부에서 서버에 악성 명령을 실행할 수 있도록 하는 보안 결함이다.

해커들은 먼저 인터넷에 노출된 서버의 PHP 버전을 확인해 보안 패치가 적용되지 않은 대상을 추렸다. 이후 공개된 취약점 공격 실험 코드(PoC)를 수집하고 자체 AI 모델을 활용해 공격 성공 가능성이 큰 기법부터 우선순위를 매겼다. 선별한 공격 코드는 실험 환경에서 검증한 뒤 실제 공격에 활용한 것으로 분석됐다.

탐지를 피하기 위한 준비도 이뤄졌다. 해커들은 사전에 침해한 것으로 추정되는 서버 21곳을 스캔 거점으로 활용하고, 공격 요청을 낮은 빈도로 분산해 보안 장비의 탐지를 피하려 했다. 공격에 사용한 인터넷주소(IP)가 차단되거나 감시 대상에 오르면 다른 거점으로 교체하는 방식도 동원했다.

서버에 침투한 뒤에는 웹셸을 설치해 원격으로 명령을 실행하고, 설정 파일과 데이터베이스 접속정보 등을 확보하려 한 것으로 분석됐다. 계정정보 등을 확보한 뒤 내부망으로 침투하려는 계획도 드러났다. 해커들은 정부 기관의 첩보 수집과 금융·거래 플랫폼의 자산 탈취를 주요 목적으로 삼은 것으로 파악됐다.

앞서 사이퍼마는 지난달 22일 북한 연계 해커들의 PHP 취약점 공격 준비 정황을 제기한 바 있다. 이후 확보한 대화록을 보면 한 해커가 “정부와 은행을 먼저, 그다음 물류와 거래 플랫폼을 노리라”고 지시하자 다른 해커는 AI 모델로 공개 공격 코드를 평가하고 실험실에서 검증했다고 보고했다. “한국과 일본, 미국 등의 일부 IP 대역이 유망해 보인다”며 서버 설정정보를 수집하고 있다고도 했다.

사이퍼마는 PHP를 보안 수정 버전으로 업데이트하고 관련 프로세스를 재시작하는 한편 웹 서버 접속 기록과 악성 파일 설치 흔적 등을 점검해야 한다고 권고했다.

이정한 기자 han@segye.com 기자페이지 바로가기

Copyright ⓒ 세계일보. 무단 전재 및 재배포 금지