북한 정찰총국과 연계된 것으로 알려진 해킹 조직 '라자루스'가 국내 서버 30곳을 사이버 공격 표적으로 삼은 정황이 포착됐다. 이들은 원격으로 서버에서 코드를 실행할 수 있는 PHP 보안 취약점(PHP2Shell)을 악용해 정부·금융·통신 등 핵심 산업 분야의 서버를 노렸으며, 인공지능(AI)을 활용해 공개된 취약점 재현 코드의 활용 우선순위를 정하고 검증한 것으로 파악됐다.

15일 보안업계에 따르면 글로벌 사이버 보안기업 '사이퍼마'는 이달 초 PHP2Shell 취약점의 실제 공격 악용 정황을 분석한 보고서를 공개했다.

사이퍼마는 한국어를 사용하는 공격자 그룹이 작성한 원본 공격 대상 목록을 확보했으며, 높은 신뢰도로 이들이 라자루스 그룹 생태계에 속한 공격자라고 평가했다.

사이퍼마가 확보한 공격 대상 목록에는 국내 30개의 서버를 비롯해 10개국의 인터넷 노출 서버 216개 포함됐다. 국가별로는 미국이 49개로 가장 많았고, 일본이 47개, 인도 31개, 한국 30개 순이었다.

이들이 공격 표적으로 삼은 서버는 정부·은행·통신·인프라 제공업체 등 주요 국가·산업기반시설의 서버인 것으로 확인됐다. 사이퍼마가 확보한 공격자들의 폐쇄형 온라인 채널 대화에서는 정부 기관과 은행을 먼저 공격하고, 물류 및 거래 플랫폼으로 공격 대상을 확대하라는 내용도 포함됐다.

대화 내역에서는 이들의 구체적인 공격 동기와 표적 선정 과정이 드러난다.

지난달 27일 한 공격자는 "금전적 이익과 금융, 거래, 가상자산 지갑 관련 정보로 이어질 수 있는 자료가 필요하다"면서도 "정부 기관을 대상으로 한 첩보활동을 병행해야 한다"고 썼다.

한국을 유망한 공격 대상으로 선정한 대화도 포착됐다. 해당 공격자는 "한국, 일본, 미국, 태국, 인도네시아, 인도의 일부 IP 대역이 유망해 보인다"고 언급했다.

다만 실제 침해 사실이 확인된 것은 아니다. 사이퍼마는 "공격 대상 목록에 포함됐다는 사실만으로 침해가 발생했다고 볼 수는 없다"고 밝혔다.

이번 공격에 활용된 취약점은 PHP 실행 환경 자체에 존재하는 두 가지 원격 코드 실행 취약점인 CVE-2026-109618과 CVE-2026-109619다. 로그인 등 별도의 인증 절차 없이 서버에서 임의로 코드를 실행할 수 있다. 두 취약점 모두 국제 공통 취약점 평가 체계인 CVSS 4.0 기준 9.2점을 기록한 '치명적' 취약점으로 평가된다.

공격자들은 침해된 스캔 노드 IP 주소 21개를 확보했다고도 보고했다. 공격자들은 이들 노드를 순환해 사용하며 표적 서버를 탐색했고, 공격에 성공한 서버에는 PHP 웹셸을 배포한 것으로 나타났다. 이후 웹셸을 통해 설정 파일과 데이터베이스 자격 증명 등을 수집하고 내부로 이동하려는 정황도 포착됐다. 공격자들은 공격 대상을 기존 216개에서 581개 호스트로 확대했다고 주장했다.

특히 이번 공격에서는 AI를 활용한 정황도 확인됐다. 공격자들은 자체적으로 새로운 공격 코드를 개발하기보다 공개된 개념증명(PoC) 코드 저장소를 대상으로 로컬 AI 모델을 활용해 유망한 코드를 선별하고, 이를 통제된 실험실 환경에서 검증한 것으로 나타났다.

sumin02@news1.kr