【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[IT뉴스][PHP 비상] 北 라자루스, 한국 서버 30곳 노렸다…국가기관·금융 표적

온카뱅크관리자

2026-11-15 10:57:26

<div id="layerTranslateNotice" style="display:none;"></div>  
        <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
         <section dmcf-sid="tleZ2GsASH">
          <figure class="figure_frm origin_fig" contents-hash="5cd549804f423b79388fd3319ac6598c8184fbbbbf1dc40a374f7baa9f4bc03e" dmcf-pid="FSd5VHOcTG" dmcf-ptype="figure">
           <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202611/15/552796-pzfp7fF/20261115104940172oyrk.jpg" data-org-width="640" dmcf-mid="5VRHKWrNlZ" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202611/15/552796-pzfp7fF/20261115104940172oyrk.jpg" width="658"></p>
          </figure>
          <p contents-hash="db9be00fe9687a9c5fbe612986c40ae86cb20a7f95f7dd21f0c5bdad9a04b189" dmcf-pid="3vJ1fXIkCY" dmcf-ptype="general">[디지털데일리 김보민기자] 북한 연계 해킹조직 '라자루스'가 한국의 국가기관, 금융, 통신 등 주요 산업 분야를 겨냥해 공격을 시도한 정황이 발견됐다. 웹서버 프로그래밍 언어 'PHP' 보안 취약점을 악용해 국내 서버와 도메인 30곳을 노린 것으로 확인됐다.</p>
          <p contents-hash="b18ad5fb1163dc33943cded71c74b0eeb2015c167b597cd7670bd255321e9f3e" dmcf-pid="0J0cWNx2TW" dmcf-ptype="general">15일 관련 업계에 따르면 글로벌 위협인텔리전스 기업 사이퍼마는 최근 'PHP2Shell(PHP 취약점)을 이용한 글로벌 인프라 공격 캠페인' 보고서를 통해 이 같은 분석을 제기했다.</p>
          <p contents-hash="529c994ee1a272871e65f5491feaecaf4a1f23f8123c71060bc5fe8285120a41" dmcf-pid="pipkYjMVSy" dmcf-ptype="general">보고서에 따르면 라자루스로 추정되는 조직은 PHP 내 인증되지 않은 원격코드실행(RCE) 및 런타임 취약점을 악용하고 있다. 사이퍼마는 "이들은 정찰에서 적극적인 공격 단계로 전환했다"며 "공격 대상 호스트도 216개에서 581개로 확장했다고 주장 중"이라고 진단했다. 581개라는 수치는 공격자의 주장으로 실제 피해 범위와 다를 수 있다.</p>
          <p contents-hash="a8228cc46b0bc523e14aea471cdaa3c50be37b688980a9ab82574e5b3f4ccaff" dmcf-pid="UnUEGARfWT" dmcf-ptype="general">사이퍼마는 한국을 비롯해 미국, 일본, 인도, 태국, 아랍에미리트(UAE), 호주, 인도네시아, 사우디아라비아, 싱가포르를 겨냥한 216개 호스트 목록을 확보했다. 이 가운데 한국은 13.9%(30개)를 차지하며 미국, 일본, 인도에 이어 네 번째로 표적이 된 호스트 비중이 컸다.</p>
          <p contents-hash="20cd17c894cd6a57e7fb52cc074dae14d4aa99c03ee07ed75859f8ef1411ea97" dmcf-pid="uLuDHce4yv" dmcf-ptype="general">공격자는 지난달 28일 공격 대상을 물색하고 스캔 결과를 공유하는 과정에서 한국 등 일부 인터넷프로토콜(IP) 대역이 유망해 보인다고 밝혔다. 국가기관, 금융, 통신, 물류 및 항공, 제조, 온라인 거래 플랫폼 등 7대 산업군의 인프라를 노리는 것이 좋다는 진단도 포함돼 있었다.</p>
          <div contents-hash="83f7d69d60cf3f17f2de9adafcdad77846621a07350221d90639f45d4a2ab4e9" dmcf-pid="7o7wXkd8lS" dmcf-ptype="general">
           공격자는 해당 대화 직후 유망하다고 판단한 지역의 IP 대역에 스캔 노드를 추가 투입해 범행을 본격화한 것으로 추정된다. 아울러 사전에 감염시킨 21개 스캔 노드 IP를 거점으로, 표적 서버에 악성 스크립트(웹셸) 배포를 시도했다. 이후 관리자 자격증명을 탈취해 수평 이동을 시도한 뒤, 전체 목표를 581개 호스트로 확대한 것으로 파악됐다.
          </div>
          <figure class="figure_frm origin_fig" contents-hash="5219a316c8235bf1ccf3d5f7b2e073757ea54e3a328c1bf0e84f35b9ae24c74b" dmcf-pid="zgzrZEJ6yl" dmcf-ptype="figure">
           <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202611/15/552796-pzfp7fF/20261115104941450lsiw.jpg" data-org-width="640" dmcf-mid="1ZEbizXSCX" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202611/15/552796-pzfp7fF/20261115104941450lsiw.jpg" width="658"></p>
          </figure>
          <p contents-hash="824d9455c02014acb6560ada03109685dceac660feb3c8e1434692bbe497fa74" dmcf-pid="qaqm5DiPyh" dmcf-ptype="general">침해 성공 시 시스템 장악과 데이터 유출 등 피해가 발생할 가능성도 점쳐진다. 사이퍼마는 마이터어택 프레임워크를 적용해 이번 캠페인의 예상 경로를 분석하며 공격자가 '명령제어(C2) 및 영향' 단계에 도달한다면 가상자산 채굴, 랜섬웨어 유포 활동, 내부 네트워크 이동, 데이터 유출 등 타격을 가할 수 있다고 진단했다. 공격에 사용하는 외부 C2 서버와 통신을 연결해 악성 로더를 실행하는 기법도 적용할 수 있다고 부연했다.</p>
          <p contents-hash="a2f02b56995bfac8237d7ed1bb866c5489b69dc9fe375dd9695c0d0afbd238e9" dmcf-pid="BNBs1wnQhC" dmcf-ptype="general">사이퍼마는 웹사이트 응용 프로그램을 업데이트하는 것만으로 방어가 어렵다며, PHP 코어 자체를 패치하고 재시작할 필요가 있다고 제언했다.</p>
          <p contents-hash="54e2d8321aab4d99af6fbe5a5db6ac697ced4499598f522f8b88ef0add9c0013" dmcf-pid="bjbOtrLxSI" dmcf-ptype="general">사이퍼마는 "PHP 워커를 즉시 패치하고 재시작해야 한다"며 "이전 워커가 계속 실행되는 상태로 재시작하면 취약점이 유지된다"고 말했다. 이어 "의심스러운 소스 주소와 이전에 공개된 모든 스캔 노드 및 스테이징 주소를 차단하거나 모니터링할 것"이라며 "10월17일까지의 웹, 웹방화벽(WAF), 프록시 로그를 조사해 예상하지 못한 PHP 파일 및 생성 셸을 찾는 것도 방법"이라고 당부했다.</p>
          <p contents-hash="689e3cef5cb28bf84bf6d4ce9f6c115c87b2ad6a048cf284ad9121afcf7fe20a" dmcf-pid="KAKIFmoMSO" dmcf-ptype="general">패치가 불가능한 상황이라면 인터넷에 연결된 PHP를 격리하고 공개취약점(CVE) 별로 임시 제어 조치를 적용할 것을 권고했다. 사이퍼마는 "216개 호스트 목록에 있는 조직은 위 조치를 최대한 신속하게 실행해야 한다"고 강조했다.</p>
         </section> 
        </div> 
        <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p>

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

놀이터홍보 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기