[이데일리 송영두 기자] 북한 해킹 조직 라자루스와 연계된 것으로 의심되는 공격자가 웹사이트 운영에 쓰이는 PHP의 보안 취약점을 악용하기 위한 공격을 준비하고 있다는 분석이 나왔다.

한국을 포함한 여러 국가의 정부기관과 금융기관 등을 우선 표적으로 선정하고, 공개된 공격 코드를 수집·검증하는 정황이 포착됐다. 다만 북한 조직과의 연계를 의미하는 확정적 증거와 해당 공격자에 의한 대규모 침해 성공은 확인되지 않았다.

사이퍼마가 공개한 한국어 사용 공격자 간 대화 자료. PHP 보안 취약점을 겨냥한 공격 대상 선정과 공개 코드 검토 등을 논의한 정황이 담겼다.(자료=사이퍼마)

글로벌 사이버 위협 인텔리전스 기업 사이퍼마(CYFIRMA)는 지난 23일 발표한 위협 분석 보고서에서 한국어를 사용하는 공격자가 비공개 I2P 통신 채널을 통해 ‘PHP2Shell’ 취약점을 겨냥한 정찰과 공격 계획을 조율하는 활동을 확인했다고 밝혔다. PHP는 웹사이트에서 로그인 정보를 확인하거나 게시글을 불러오는 등 서버 내부의 작업을 처리하는 데 쓰인다. 사이퍼마가 해당 대화를 포착한 시점은 지난 22일이다.

공격자들은 인터넷에 노출된 PHP 기반 시스템을 국가와 업종별로 분류하고 정부기관과 은행·금융기관을 우선적으로 선정하도록 지시했다. 한국과 미국, 일본을 비롯한 여러 국가가 공격 대상 지역에 포함됐다.

공격 준비에는 공개된 기술 자료와 개념증명(PoC) 코드가 활용됐다. 사이퍼마에 따르면 공격자들은 로컬 AI 모델로 공개 코드의 우선순위를 정하고 실험실 환경에서 검증하는 작업을 논의했다. 대규모 스캔으로 눈에 띄는 행동을 피하려는 지시도 확인됐다.

사이퍼마는 이를 불특정 시스템을 무차별적으로 탐색하는 활동에서 나아가 국가와 업종을 구분해 공격 대상을 정하는 움직임으로 평가했다. 구체적인 공격 개시일은 확인되지 않았다.

사이퍼마가 북한 연계 가능성에 주목한 것은 한국어 사용과 정부·금융기관 중심의 표적 선정, 기존 웹 공격 방식 등이다. 보고서는 이러한 특징이 금전 탈취와 첩보 활동을 병행하는 라자루스의 활동 양상과 유사하다고 분석했다.

다만 공격 준비 활동 자체에 대한 신뢰도는 ‘높음’으로 평가했지만 라자루스 연계성은 ‘중간’으로 제시했다.

한국어를 사용한다는 사실만으로 북한 배후를 특정할 수 없다는 점도 명시했다. 북한 당국의 지시를 받지 않는 한국어 사용 범죄집단일 가능성을 열어둔 것이다. 정부기관과 금융기관 역시 다양한 공격집단이 노리는 표적이라는 점에서 북한 소행을 단정할 근거로 보기는 어렵다고 설명했다.