웹 개발 언어인 PHP의 보안 취약점과 최신 인공지능(AI) 기술을 결합한 연쇄 사이버 공격이 발생해 한국을 비롯한 글로벌 네트워크 장비가 장악된 것으로 나타났다.
공격자는 방화벽의 최고 관리자 권한을 탈취해 내부망 침투 통로를 확보했다.
이스라엘 사이버 보안 기업 ‘드림(Dream)’은 최근 공개한 분석 보고서를 통해 PHP의 고위험 결함과 리눅스 취약점을 결합한 대규모 공격 작전이 확인됐다고 밝혔다.
보고서에 따르면 공격자는 맞춤형 공격 도구를 활용해 전 세계 25대 방화벽 장비의 루트(root·최고 관리자) 권한을 획득했다. 피해 대상에는 미국 연방 정부 기관의 내부 시스템 3대를 포함해 한국, 미국, 일본, 대만 등지에 배치된 방화벽이 포함됐다. 방화벽은 외부 인터넷망과 조직 내부망을 구분하는 핵심 보안 거점인 만큼, 해당 장비가 무력화되면 침입자가 내부 전산망 전체로 침투할 수 있는 통로가 열리게 된다.
이번 침해 사고의 가장 큰 특징은 공격 설계와 침투 전 과정에 AI 모델이 대거 투입됐다는 점이다. 해커들의 침투 인프라에서는 앤트로픽의 ‘클로드 코드’는 물론 중국 계열 AI인 ‘딥시크(DeepSeek)’와 ‘키미(Kimi)’ 기반 해킹 자동화 도구가 포착됐다. 발견된 40여 개 악성 스크립트 전반에서 일관된 코드 구조와 주석 패턴이 확인돼, AI가 공격 코드 생성 및 최적화를 주도한 것으로 분석됐다.
침투 방식 역시 고도화된 자동화 프로세스를 따랐다. 공격자는 인터넷 연결 기기 검색 엔진으로 전 세계 1만9000여 대의 방화벽을 식별한 뒤, 취약한 특정 버전을 사용하는 목표물 240대를 선별했다. 이어 AI 기반 자동화 침투 툴을 가동해 순식간에 24대 장비에 침투 통로인 웹셸(WebShell)을 심었다.
공격자는 장비 장악 직후 계정 정보와 사용자 그룹 데이터를 수집하고 계정 생성 및 비밀번호 탈취를 시도한 것으로 파악됐다. 다만 해당 침투 시도의 최종 성공 여부와 피해 규모는 아직 완전히 규명되지 않았다. 배후 공격 그룹이나 특정 국가 연계 여부, 구체적인 방화벽 제조사 및 펌웨어 버전 등은 추가 피해 확산 방지를 위해 공개되지 않았다.
보안 전문가들은 “외부에 노출된 방화벽 장비에 대한 전수 조사를 즉시 진행하고, 방화벽 내 비정상 계정 생성이나 미인가 쉘 실행 흔적이 있는지 긴급 점검해야 한다”고 당부했다.
구지훈 더나은미래 기자
