|
취약점 체이닝은 서로 다른 보안 취약점 여러 개를 연결해 공격하는 방식이다. 하나의 취약점으로 시스템에 침투한 뒤 다른 취약점을 이용해 관리자 권한을 확보하거나 내부망으로 공격 범위를 넓히는 식이다. 최근 AI를 활용한 취약점 탐지와 공격 도구 개발이 손쉬워지며 연쇄 공격의 문턱 역시 낮아졌다.
최근 발견된 PHP 취약점 ‘PHP2Shell’을 악용한 공격이 대표적인 사례다. 이스라엘 사이버보안 기업 드림리서치가 26일 발표한 보고서에 따르면 공격자들은 최근 원격 코드 실행 취약점과 리눅스 운영체제의 권한 상승 취약점을 연계했다. 침해 정황이 확인된 건 방화벽 24대와 미국 정부 관련 기관의 내부 관리 서버 1대 등 총 25대이다.
|
드림리서치가 확보한 공격 도구에서는 AI 활용 정황도 발견됐다. 공격 환경에 앤트로픽의 AI 코딩 도구 ‘클로드 코드’가 설치돼 있었으며 중국 AI 모델인 딥시크와 키미를 활용하도록 설정된 도구도 확인됐다. 다만 실제 공격 코드 작성에 AI가 직접 사용됐는지는 확인되지 않았다.
또 다른 글로벌 보안 업체도 해당 공격 사례를 재확인했다. 팔로알토네트웍스의 보안 연구조직 유닛42(Unit 42)는 29일 보고서에서 드림리서치가 발견한 공격자의 도구를 독립적으로 검증하고 분석 결과를 확인했다고 밝혔다.
유닛42는 전 세계 인터넷에 노출된 시스템 가운데 PHP 취약점의 영향을 받을 가능성이 있는 인스턴스(개별적으로 실행되는 서버나 소프트웨어 환경)가 2260만개 이상 관측됐다고 설명했다. 다만 이는 잠재적인 취약 시스템 규모로, 실제 침해된 시스템 수를 의미하지는 않는다.
지니언스 “PHP2Shell, 진짜 뇌관은 내부망”
보안 업계에서는 공격 대상이 일반 웹서버를 넘어 기업 내부망에 연결된 네트워크 장비로 확대될 가능성을 경고하고 있다. 국내 사이버보안 기업 지니언스는 30일 PHP 취약점으로 웹서버보다 내부망의 NAS·공유기·방화벽 등이 핵심 표적이 될 가능성이 높다고 지적했다.
지니언스가 클라우드 네트워크 접근제어(NAC) 플랫폼에 축적된 장비 식별 데이터를 통계적으로 분석한 결과, 내부망에서 PHP 환경을 구동 중인 장비 중 96%가 PHP2Shell 취약점에 직접 노출된 것으로 확인됐다. 취약 장비 중 78%는 PHP 공식 지원이 중단된 8.1 이하 구버전이었으며, 2018년에 지원이 종료된 5.x 이하 버전을 구동 중인 장비도 48%에 달했다.
지니언스에 따르면 확인된 장비의 89%는 외부 인터넷 검색엔진 스캐너로는 접근이 불가능한 사설 IP(내부망) 대역에 위치해 있었다. 관리자가 해당 장비 내부에 PHP가 탑재되어 구동 중이라는 사실 자체를 인지하지 못해 장기간 방치될 수 있다. 내부망 전체 자산의 정확한 ‘가시성 확보(식별)’가 필요한 상황이다.
김계연 지니언스 미국법인장 겸 CTO(최고기술책임자)는 “내부망에 위치한 관리형 장비들은 웹 콘솔 응답 데이터 및 내장 구성요소를 정밀 식별해야만 PHP 구동 여부를 파악할 수 있다”며, “특히 제조사 지원이 종료되어 공식 패치가 존재하지 않는 구형 장비나 패치 배포 전 단계의 장비는 교체 전까지 네트워크 접근을 즉시 차단·격리하는 선제적 통제가 필수적”이라고 말했다.
