“PHP 보안 허점, 발표 나흘 전부터 노렸다…해킹 시도 수백만건”

공식 발표 나흘 전부터 공격 포착…정보 사전 유출 의혹

취약점 공개 2시간 만에 수십만건 공격 집중

AWS “여러 해커 집단 가담 가능성”…실제 침해 여부 미확인

ⓒ 데일리안 AI 이미지 생성

전 세계 웹사이트에 영향을 미칠 수 있는 PHP 보안 취약점이 공식 발표되기 나흘 전부터 해커들의 공격 대상이었던 것으로 드러났다. 취약점 공개 직후에는 공격 시도가 수백만 건으로 급증했다. 해커들이 비공개 보안 정보를 미리 입수했을 가능성도 제기된다.

22일(현지시간) 미국 정보기술(IT) 전문매체 와이어드에 따르면 아마존웹서비스(AWS)는 보안 분석 결과를 공개하고 이달 17일부터 PHP의 치명적인 취약점 'PHP2Shell'을 악용하려는 시도가 있었다고 밝혔다. PHP 개발진이 취약점을 공식 발표하고 보안 패치를 배포한 것은 21일이다.

AWS는 해커들의 공격을 유도해 수법을 분석하는 가상 서버 '허니팟'에서 당시 공격 기록을 찾아냈다. 공격자는 인터넷주소(IP)를 감추는 익명화 서비스를 이용했다. AWS는 "공격자가 공개되지 않은 취약점 정보를 어떻게 확보했는지 아직 확인되지 않았다"고 설명했다.

공식 발표 직전에는 공격에 가담한 해커가 더 늘어난 정황도 확인됐다. AWS는 서로 다른 익명화 서비스를 이용하고 공격 방식과 목적도 다른 여러 시도를 포착했다. 이를 근거로 복수의 해커 집단이 공격에 나섰을 가능성이 있다고 분석했다.

공격 규모도 빠르게 커졌다. 매슈 프린스 클라우드플레어 최고경영자(CEO)는 소셜미디어(SNS)를 통해 취약점 공개 10시간 전부터 수천 건의 공격 시도가 확인됐다고 밝혔다. 공개 45분 만에 수만 건, 2시간 만에 수십만 건으로 늘었고 이후 수백만 건에 달했다.

해커들은 보안 장치를 우회하기 위해 공격 코드까지 바꿨다. 클라우드플레어는 공격자들이 차단 결과를 확인하면서 악성 요청의 형태를 수정하는 움직임을 포착했다고 밝혔다.

AWS는 실제 서버에 대한 공격 성공 여부는 아직 확인되지 않았다고 강조했다. 다만 보안 패치가 나오기 전부터 공격이 시작된 만큼 각 기업이 지난 17일 이후의 접속 기록을 점검할 필요가 있다고 지적했다.