북한 정찰총국과 연계된 것으로 알려진 해킹조직 ‘라자루스’가 한국의 정부·금융·통신 등 주요 산업 분야를 겨냥해 사이버 공격을 시도한 것으로 드러났다. 이들은 지난달 25일부터 5일간 한국 소재 서버와 도메인 30곳을 포함해 국내외 서버 561대를 공격한 것으로 알려졌다.
15일 정보통신기술(ICT)업계에 따르면 글로벌 위협 인텔리전스 기업 사이퍼마는 이달 초 발간한 ‘PHP2Shell 취약점 악용 실태’ 업데이트 보고서에서 이 같은 내용을 공개했다.
라자루스는 금융기관을 상대로 한 금전 탈취와 정부·기업의 기밀정보 수집 등을 목적으로 활동해온 북한 연계 해킹조직이다. 이번에는 웹 서버에 사용되는 프로그래밍 언어 PHP의 보안 취약점을 악용한 것으로 분석됐다.
보고서에 수록된 다크웹 내 해커 대화록을 보면 이들의 구체적인 공격 의도와 표적이 드러난다. 해커들은 지난달 28일 공격 대상을 물색하고 스캔 결과를 공유하는 과정에서 “한국, 일본, 미국, 태국, 인도네시아, 인도의 일부 IP 대역들이 꽤 유망해 보인다”고 언급했다. 특히 이들은 단순 무작위 해킹이 아니라 명확한 ‘금융 탈취와 첩보 수집’을 목적으로 움직인 것으로 분석됐다. 사이퍼마는 해커들이 타깃 국가의 정부 기관, 은행과 금융기관, 통신, 핵심 인프라, 물류 및 항공, 제조, 온라인 거래 플랫폼 등 주요 7대 산업군에서 사용 중인 PHP 기반 웹 서버를 우선 공격 대상으로 삼고 침투를 논의했다고 전했다. 해커들은 해당 대화 직후 유망하다고 판단한 국가의 IP 대역에 스캔 노드를 추가 투입해 범행을 본격화했다. 다만 보고서는 실제 침해 사실이 확인된 건 아니라고 밝혔다.
사이퍼마가 확보한 해커들의 원본 표적 리스트(10개국 216개 노출 서버)를 분석한 결과, 한국 소재 서버와 도메인은 총 30곳으로 최종 확인됐다. 아시아·태평양 지역에서 일본, 미국 등에 이어 최상위권에 해당하는 규모다.
공격자들은 윈도우 운영체제 환경에서 구동되는 PHP 코어의 원격 코드 실행(RCE) 취약점(CVE-2026-109618, CVE-2026-109619)을 악용했다. 사이퍼마 분석 결과, 북한 운영자들은 사전에 감염시킨 21개의 스캔 노드 IP를 거점으로 삼아 표적 서버에 웹셸(악성 스크립트) 배포를 시도했다. 이후 관리자 자격 증명을 탈취하고 내부망 수평 이동을 진행해 전체 타깃을 581개 호스트로 확대한 것으로 파악됐다.
사이퍼마 측은 보고서를 통해 “단순히 웹사이트 응용프로그램을 업데이트하는 것만으로는 방어할 수 없다”며 “시스템 관리자가 PHP 코어 자체를 패치한 뒤 모든 웹 워커 프로세스를 완전히 재시작해야만 웹셸 침투를 차단할 수 있다”고 권고했다.
앞서 미국 연방수사국(FBI)은 지난달 29일 암호화폐 거래소 바이낸스에서 발생한 60억 달러 이상의 가상화폐 탈취 사건의 해킹 배후로 북한을 지목한 바 있다. 당시 해당 사건은 트레이더트레이터의 소행으로 추정됐는데 이들은 라자루스의 일원으로 알려졌다. 라자루스는 최근 유럽 드론업계를 겨냥한 사이버 첩보 활동을 재개하기도 했다. 유럽 사이보보안업체 이셋(ESET)은 최근 공개한 보고서에서 “라자루스가 올해 6월 드론 완제품 제조업체와 주요 공급업체를 대상으로 첩보활동을 시작했다”고 분석했다.
오현승 기자 hsoh@segye.com
