정부·금융기관 최우선 표적
한국 등 12곳 공격 대상
연계 신뢰도는 ‘중간’

로이터 연합뉴스

북한 해킹조직 라자루스 그룹과 연계된 것으로 의심되는 세력이 프로그래밍 언어 PHP의 치명적 결함을 노려 정부·금융기관 공격을 준비한 정황이 포착됐다. 다만 이 세력을 라자루스와 직접 잇는 증거는 아직 확인되지 않았다.

25일 싱가포르 사이버보안 기업 사이퍼마(CYFIRMA)가 지난 23일 공개한 보고서에 따르면 한국어를 쓰는 조직원들은 지난 22일 익명 네트워크 ‘I2P’의 폐쇄 채널에서 PHP 결함을 이용한 공격 계획을 논의했다.

이들은 정부기관과 은행 등 금융기관을 최우선 표적으로 꼽았다. 대상국은 한국과 미국, 일본 등 12곳이다. 공개된 공격 코드를 모아 인공지능(AI)으로 순위를 매기고 미리 검증하는 방식도 논의했다.

사이퍼마는 한국어 사용과 표적 선정 방식 등을 근거로 라자루스 연계 가능성을 제기했다. 하지만 악성코드나 공격 인프라가 겹친다는 증거는 없어, 연계 판단의 신뢰도는 ‘중간’으로 평가했다.

이들이 노린 결함은 ‘PHP2Shell’로 불리는 취약점 2건이다. PHP는 요청을 처리하다 메모리가 부족해지는 등 작업이 비정상적으로 끊기면 쓰던 메모리를 제대로 정리하지 못한다. 해커는 이 틈에 명령을 끼워 넣어 로그인 없이 서버를 장악할 수 있다.

위험도는 공통취약점평가시스템(CVSS) 10점 만점에 9.2점이다. 전 세계 웹사이트의 약 70%가 PHP를 쓴다.

정부는 22일 낮 12시부터 민간 분야 사이버위기 경보를 ‘관심’에서 ‘주의’로 올렸다. 정보보호최고책임자(CISO) 신고기업 약 2만 8000곳 등에 대응 지침을 긴급 전파했다.

정부는 업데이트를 마친 뒤에도 서버 접속 기록과 웹셸 설치 여부를 점검하라고 당부했다. PHP 8.1 이하 구버전은 공식 업데이트가 없어 상위 버전으로 옮겨야 한다.

한편, 보안업체 캘리프와 위즈, 오픈AI는 지난 8월 AI로 PHP 코드를 분석하다 이 결함을 찾아냈다. 당초 22일 패치와 함께 공개할 예정이었지만 20일 결함 정보가 먼저 새어 나갔고, PHP 개발팀은 21일 긴급 패치를 냈다.