'전창혁 2'·'최아린' 계정 딱 걸렸다…PHP 허점 노린 北 추정 해커들의 은밀한 대화

보안기업 사이퍼마, 北 라자루스 계열 해커들의 I2P 대화 기록 추가 분석

공격 후보 216개 추려 탐색…탈취 서버 21개 번갈아 접속

탐색 속도 일부러 줄여 차단 회피 지시…"최악 상황 염두 두고 보안 점검 서둘러야"

[그래픽=뉴시스] *재판매 및 DB 금지

[서울=뉴시스]윤정민 기자 = 최근 발생한 웹 언어 'PHP'의 치명적 보안 결함(PHP투쉘)을 노린 북한 추정 해킹조직이 표적을 구체적으로 선별하고 본격적인 정찰에 들어간 정황이 포착됐다. 보안 조치가 강한 대상은 사전에 공격 후보 목록에서 빼고, 취약한 구형 서버 수백 곳을 골라내 '스텔스 기법'으로 침투를 모의한 사실이 드러났다.

26일 글로벌 사이버 위협 인텔리전스 기업 사이퍼마에 따르면, 한국어를 사용하는 해커들은 최근 익명 통신망 'I2P'의 비공개 채널에서 공격 후보 서버 216개를 추려 정찰을 진행하고 있는 것으로 확인됐다.

사이퍼마는 앞서 이들이 한국 등 주요국의 정부기관과 금융기관을 우선 표적으로 논의한 정황을 공개했다.이번 후속 분석에서는 공격 대상을 고르는 구체적 기준과 차단을 피하기 위한 해커 지휘부의 지시까지 적나라하게 드러났다.

[서울=뉴시스] 26일 사이퍼마에 따르면 한국어 사용 해커들은 최근 익명 통신망 'I2P'의 비공개 채널에서 공격 후보 서버 등 시스템 216개를 추려 취약점을 살펴보고 있다는 대화를 나눴다. (사진=사이퍼마) *재판매 및 DB 금지

'전창혁 2'·'최아린' 딱 걸렸다…구형 PHP 서버 216개 콕 집어 탐색

공개된 대화에서 '전창혁 2'라는 계정은 보안 업데이트를 마쳤거나 의심스러운 접속을 낱낱이 걸러내는 서버를 후보 목록에서 사전에 뺐다.

남은 216개는 외부에 드러난 정보상 최신 패치가 적용되지 않은 구형 PHP를 쓰는 시스템이었다. 해커들은 해당 목록을 국가와 업종별로 나누어 관리했다.

'최아린'이라는 계정은 다른 곳에서 미리 훔쳐둔 징검다리 서버 21개를 이용해 공격 대상에 몰래 접속하고 있었다. 서버를 번갈아 거치며 보안 허점을 살피고 결과를 하나의 표에 모아 기록하는 방식이다. 대화 당시 전체 대상의 약 3분의 1을 살펴봤다고 보고했다.

"막히면 서버 버려라"…은밀한 해킹 정찰

탐색 속도를 일부러 늦춰 공격 대상 기관의 보안 담당자나 탐지 시스템의 눈에 띄지 않으려는 지시도 오갔다. '전창혁 2'는 탐색에 쓰던 서버의 접속이 차단되거나 눈에 띄면 곧바로 다른 서버로 바꾸고 해당 주소는 다시 쓰지 말라고 주문했다. 흔적을 남기지 않고 은밀하게 접근하려는 기법이다.

이들은 전체 대상을 한 차례 살펴본 뒤 뚫을 가능성이 가장 높은 곳을 다시 추려 공개 공격 기법을 적용하기로 했다. 사이퍼마는 단순 준비 단계에 머물던 해킹 활동이 실제 구멍을 찾는 정찰 단계로 넘어갔다고 분석했다.

사이퍼마는 이들이 북한 정찰총국과 연계된 대표적 해킹 조직인 '라자루스(Lazarus)'와 연결돼 있을 가능성이 있다고 판단했다.

비공개 채널에서 한국어로 지시를 주고받은 점과 정부·금융 기관을 우선 표적으로 삼은 점을 근거로 들었다. 훔친 웹 서버를 공격 징검다리로 활용하는 방식 역시 과거 라자루스의 수법과 닮았다고 봤다.

다만 주고받은 말과 행동이 비슷하다는 점에 바탕을 둔 판단으로 라자루스와 관련됐다는 평가의 신뢰도는 '중간' 수준으로 매겼다.

사이퍼마는 접속 요청이 갑자기 늘었는지만 보지 말고 긴 기간의 기록을 살펴 의심스러운 접근을 찾아야 한다고 말했다. 보안 업데이트 후 PHP를 실행하는 프로그램을 모두 다시 시작하고 탐색에 쓰인 주소와 통신했거나 서버에 낯선 PHP 파일이 생긴 흔적도 확인하라고 당부했다.


◎공감언론 뉴시스 [email protected]