北 해킹조직 ‘라자루스’, 국내 서버 30곳 노렸다…차단 방법은?

[헤럴드경제=정찬수 기자] 북한 정찰총국과 연계된 것으로 알려진 해킹조직 ‘라자루스’(Lazarus)가 한국을 포함한 6개국의 인터넷주소(IP) 대역을 ‘유망한’ 공격 대상으로 꼽은 정황이 글로벌 보안기업 보고서에서 확인됐다. 실제 표적 목록에는 국내 서버와 도메인 30곳이 올랐다.

라자루스는 금융기관 대상 금전 탈취와 정부·기업의 기밀정보 수집을 목적으로 활동한 것으로 알려진 조직이다. 15일 정보통신기술(ICT)업계에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마는 이달 초 발간한 ‘PHP2Shell 취약점 악용 실태’ 업데이트 보고서에서 이 같은 내용을 공개했다.

보고서에 실린 다크웹 해커 대화록에서 이들은 지난달 28일 공격 대상을 물색하고 스캔 결과를 공유하면서 “한국·일본·미국·태국·인도네시아·인도의 일부 IP 대역들이 꽤 유망해 보인다”고 언급했다. 사이퍼마는 이들이 무작위 해킹이 아니라 금융 탈취와 첩보 수집을 노린 것으로 분석했다.

사이퍼마에 따르면 해커들은 표적 국가의 정부 기관, 은행·금융기관, 통신, 핵심 인프라, 물류·항공, 제조, 온라인 거래 플랫폼 등 7대 산업군의 PHP 기반 웹 서버를 우선 공격 대상으로 삼고 침투 방안을 논의했다. 대화 직후에는 유망하다고 본 국가의 IP 대역에 스캔 노드를 추가로 투입했다.

사이퍼마가 확보한 해커들의 표적 목록은 10개국 216개의 노출 서버였다. 이 가운데 한국 소재 서버와 도메인은 30곳으로 확인됐다. 일본·미국 등에 이어 최상위권 규모다.

공격자들은 윈도우 운영체제에서 구동되는 PHP 코어의 원격 코드 실행(RCE) 취약점(CVE-2026-109618, CVE-2026-109619)을 악용했다. 사이퍼마는 웹 애플리케이션이 아니라 PHP 런타임 자체의 취약점이라고 명시했다.

북한 운영자들은 사전에 감염시킨 스캔 노드 21개의 IP를 거점으로 표적 서버에 웹셸(악성 스크립트) 배포를 시도했다. 이어 관리자 자격 증명을 탈취하고 내부망 수평 이동으로 전체 표적을 581개 호스트까지 넓힌 것으로 파악됐다.

사이퍼마는 피해 기관의 2차 침해를 막기 위해 보고서에서 한국 내 표적 30곳의 IP 주소 네 번째 자리를 가려 공개했다. 그러면서 이번 공격에 대해 PHP 런타임 자체의 취약점이라는 점을 명시했다.

사이퍼마는 보고서에서 “단순히 웹사이트 응용프로그램을 업데이트하는 것만으로는 방어할 수 없다”며 “시스템 관리자가 PHP 코어 자체를 패치한 뒤 모든 웹 워커 프로세스를 완전히 재시작해야만 웹셸 침투를 차단할 수 있다”고 권고했다.

Google News 에서 헤럴드경제 팔로우