전 세계 방화벽 25대 뚫린 연쇄 공격
이스라엘 보안기업 드림 리서치가 최근 공개한 분석에 따르면, 공격자들은 PHP 원격 코드 실행 취약점인 ‘PHP2Shell’과 리눅스 권한 상승 취약점을 연쇄 악용해 전 세계 방화벽 25대의 최고 관리자 권한을 탈취했습니다. 인터넷에 노출된 방화벽 1만 9000여 대를 훑은 뒤 한국·미국·일본·대만의 240대를 표적으로 삼았고, 이 가운데 25대를 실제로 장악한 겁니다. 피해에는 미국 정부 관련 시스템 3곳도 포함됐습니다.
공격은 방화벽 관리 화면이 외부에 노출된 점을 파고들었습니다. 취약한 관리 서버에서 원격 코드를 실행한 뒤 리눅스 권한 상승 결함으로 루트 권한까지 확보한 겁니다. 드림 리서치는 피해 장비의 제조사와 소프트웨어 버전은 보안상 공개하지 않았습니다.
AI까지 동원된 자동화 흔적
이번 사건에서 눈에 띄는 건 공격 과정에 인공지능 도구가 깊숙이 활용됐다는 점입니다. 공격 인프라에서는 앤트로픽의 ‘클로드 코드’ 설치 흔적과 중국 AI 모델인 ‘딥시크·키미’를 활용하도록 설정된 40여 개의 자동화 스크립트가 발견됐습니다. AI가 침투 과정을 자동화하는 데 쓰였을 가능성이 제기되는 대목입니다.
중국 연계 정황도 여러 곳에서 포착됐습니다. 공격자들은 중국의 인터넷 자산 검색 서비스 FOFA와 중국산 네트워크 도구를 사용했고, 공격 인프라의 시간대가 중국 표준시와 일치했습니다. AI 보안 플랫폼 실행 기록에서 중국어 프롬프트가 나온 점도 근거로 제시됐습니다. 다만 드림 리서치는 AI가 공격 코드를 완전히 자동 작성했다는 증거는 아직 없다고 선을 그었습니다.
관리 인터페이스 노출이 발단
피해 규모는 25대지만, 공격자들은 미국 방화벽을 제외한 22대에 웹셸을 남겨둔 것으로 파악됐습니다. 언제든 다시 접속해 내부망 침투를 이어갈 수 있는 통로가 남아 있는 셈입니다. 한국도 공격 대상에 포함됐지만, 국내 방화벽의 최종 장악 여부는 아직 공식 확인되지 않았습니다.
드림 리서치는 방화벽 관리 화면이 인터넷에 불필요하게 노출돼 있지 않은지, 웹셸이나 원격 연결 흔적이 남아 있는지 점검해야 한다고 강조했습니다. 이번 사건은 보안 장비 자체가 조직 내부망으로 들어가는 침투 경로가 될 수 있음을 보여줍니다. 각 기업과 기관의 신속한 점검과 패치가 필요한 시점입니다.