[아이뉴스24 이한얼 기자] 북한 연계 해킹조직 '라자루스(Lazarus)'가 한국의 정부기관과 금융·통신 등 주요 산업 분야를 대상으로 사이버 공격을 시도한 정황이 포착됐다. 국내 서버와 도메인 30곳이 표적 목록에 포함됐지만, 실제 침해에 성공했는지는 확인되지 않았다.
15일 정보통신기술(ICT) 업계에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마(CYFIRMA)는 최근 공개한 'PHP2Shell 취약점 악용 실태' 보고서에서 이 같은 공격 정황을 공개했다.
보고서에 따르면 공격자들은 지난달 28일 폐쇄형 온라인 채널에서 한국·일본·미국·태국·인도네시아·인도의 일부 인터넷주소(IP) 대역을 유망한 공격 대상으로 거론했다. 이후 해당 국가를 대상으로 스캔 노드를 추가 투입한 정황이 포착됐다.
사이퍼마가 확보한 10개국 216개 서버의 표적 목록에는 한국 소재 서버와 도메인 30곳이 포함됐다. 국가별로는 미국 49곳, 일본 47곳, 인도 31곳에 이어 네 번째로 많았다.
주요 공격 대상은 정부기관과 은행·금융기관, 통신, 핵심 기반시설, 물류·항공, 제조업, 온라인 거래 플랫폼 등이다. 공격 목적은 금융자산 탈취와 정보 수집을 함께 노린 것으로 분석됐다.
공격자들은 윈도 운영체제에서 구동되는 PHP의 원격 코드 실행 취약점인 'CVE-2026-109618'과 'CVE-2026-109619'를 악용한 것으로 조사됐다. 두 취약점은 인증 절차 없이도 외부에서 서버에 악성 명령을 실행할 수 있는 고위험 취약점으로, 위험도는 각각 10점 만점에 9.2점이다.
사이퍼마는 공격자들이 사전에 감염시킨 21개 스캔 노드를 활용해 표적 서버를 탐색하고 웹셸 설치를 시도한 것으로 분석했다. 공격자 측은 전체 공격 대상을 581개 호스트까지 늘렸다고 주장했지만, 사이퍼마가 직접 확보해 검증한 표적 목록은 216개다.
표적 목록에 포함됐다는 사실이 곧 해킹 성공을 의미하는 것은 아니다. 현재까지 국내 30개 서버의 실제 침해 여부나 피해 기관의 신원은 공개되지 않았다.
특히 사이퍼마는 추가 침해를 막기 위해 한국 내 표적 30곳의 IP 주소 마지막 자리를 가린 상태로 보고서에 공개했다. 다만 표적 목록에 포함된 사실만으로 해당 서버가 실제 해킹에 성공적으로 침해됐다고 단정할 수는 없다.
사이퍼마는 이번 공격이 웹사이트 응용프로그램이 아닌 PHP 실행 환경 자체의 취약점을 악용한 사례라고 강조하며 "단순히 웹사이트 응용프로그램을 업데이트하는 것만으로는 방어할 수 없다"며 PHP 코어 보안 패치와 웹 워커 프로세스의 완전한 재시작을 권고했다.
/이한얼 기자(eol@inews24.com)