북한 해킹조직, 정부·금융 서버 겨냥…국내 30곳 표적 명단 확인

라자루스 연계 의심 세력…PHP2쉘 취약점 악용

북한과 연계된 것으로 추정되는 해킹조직이 웹 프로그래밍 언어 PHP의 보안 취약점 'PHP2쉘(PHP2shell)'을 악용해 정부기관과 금융회사 서버를 노린 정황이 확인됐다.

15일 사이버보안 기업 사이퍼마(CYFIRMA)가 공개한 위협 분석 보고서에 따르면 북한 라자루스 그룹과 연계된 것으로 추정되는 공격자가 취약점을 악용해 한국을 포함한 전 세계 서버를 공격 대상으로 삼은 정황이 포착됐다.

PHP2쉘은 PHP 런타임 자체에 있는 원격코드실행(RCE) 취약점 2건(CVE-2026-109618, CVE-2026-109619)을 말한다. 

사이퍼마는 북한과 연계된 해킹 조직이 PHP2쉘을 악용해 한국을 포함해 전세계적으로 공격을 진행하고 있다고 밝혔다(이미지=사이퍼마)

로그인 없이 웹 요청만으로 서버를 장악할 수 있어 심각도 점수가 9.2점에 이른다. PHP 개발팀은 지난달 21일 긴급 패치를 배포했고, 과학기술정보통신부는 이튿날 사이버위기 '주의' 경보를 발령했다.

사이퍼마에 따르면 공격자들은 폐쇄형 익명 네트워크(I2P) 채널에서 표적의 우선순위를 정했다. 1순위는 각국 중앙정부기관과 은행·금융기관이고, 한국은 미국, 일본, UAE, EU 등과 함께 이 1순위 대상국에 들었다. 제조와 물류·항공, 온라인 거래 플랫폼이 그 뒤를 이었다.

사이퍼마는 공격자들이 작성한 10개국, 216개 호스트의 원본 표적 명단을 확보했다. 한국은 30곳(13.9%)으로 미국(49곳), 일본(47곳), 인도(31곳)에 이어 네 번째로 많았다. 공격자들은 지난달 27일 대화에서 한국과 일본, 미국 등 일부 IP 대역이 "유망해 보인다"고 평가하기도 했다.

공격자들은 사전에 감염시킨 스캔 노드 21개를 거점으로, 탐지를 피하려고 빈도를 낮춘 스캔을 벌였다. 

사이퍼마는 이들 IP에서 웹셸 도구 사용과 세션 포이즈닝 시도를 관측했다. 공격자들은 이후 정부와 은행을 우선으로 표적을 581개로 늘리라고 지시했고, 감염 서버에서 설정 파일과 DB 자격증명을 빼내 내부망으로 수평 이동하는 계획도 논의했다.

사이퍼마는 한국어 사용, 정부·금융을 함께 노리는 표적 선정, 과거 라자루스가 PHP 웹셸을 써 온 수법 등을 근거로 들었다. 

라자루스 연계 신뢰도는 첫 보고서의 '중간'에서 최신판에서 '높음'으로 올렸지만 이를 뒷받침할 새 인프라나 악성코드 증거는 제시하지 않았다. 사이퍼마 스스로도 언어만으로는 한국어를 쓰는 범죄조직일 가능성을 배제할 수 없다고 밝혔다.

공격자가 AI를 활용한 정황도 나왔다. 이들은 공개된 취약점 분석 자료를 로컬 AI 모델에 넣어 쓸 만한 공격 코드를 추린 뒤 직접 검증했다.

사이퍼마는 이처럼 공격이 적은 요청을 장기간에 걸쳐 분산하는 방식으로 이뤄지는 만큼, 단순히 트래픽 급증을 감지하는 보안 체계만으로는 대응하기 어렵다고 지적했다. 이에 웹 서버와 방화벽 로그를 장기간 분석해 의심스러운 접속 기록과 웹셸 설치 흔적을 확인하고, PHP 보안 패치 적용 후 관련 프로세스를 모두 재시작할 것을 권고했다.

쿠마르 리테시 사이퍼마 최고경영자(CEO)는 "이번 스캔은 의도적으로 요청량을 줄이고 속도를 조절하며 진행되고 있다"며 "공격에 사용한 서버도 차단이나 속도 제한이 감지되면 즉시 교체하기 때문에 기존의 임계치 기반 경보만으로는 탐지하기 어렵다"고 경고했다.