[방화벽을 뚫고 내부망까지 들어간 PHP2Shell 사건]

10월 29일 보도된 사건입니다. 연구진에 따르면 한국·미국·일본·대만의 방화벽과 관리 서버 총 25대에서 최고 관리자(root) 권한이 탈취됐습니다.

공격자는 인터넷에 노출된 Palo Alto Networks PAN-OS 장비의 관리 화면을 노렸습니다. PHP 취약점으로 명령을 실행한 뒤, 리눅스 커널 취약점을 이어 붙여 장비 전체를 통제하는 권한까지 얻었습니다. 관리자 권한의 백도어 설치까지 15분도 걸리지 않았다고 합니다.

위험했던 건 그다음입니다.

일부 피해 조직에서는 방화벽 설정을 통해 내부 네트워크 구조를 파악하고, 외부에서 내부망으로 들어가는 통로를 만들었습니다. 재부팅해도 다시 연결되도록 설정했습니다.

이 통로로 내부 방화벽 관리 서버까지 침해했습니다. 여러 방화벽을 중앙에서 관리하는 서버라 다른 장비의 설정과 인증 정보까지 접근 범위가 넓어졌습니다.

이후 조직의 계정 관리 시스템인 AD에 연결하는 서비스 계정 비밀번호를 탈취하고, 사용자와 그룹 목록까지 조회했습니다. 일부 인증서 개인키도 탈취한 것으로 보고됐습니다. 추가 계정 탈취와 백도어 계정 생성 시도까지 있었지만, 성공 여부는 확인되지 않았습니다.

해당 장비를 운영하지 않는 일반 개인에게 직접 해당하는 사건은 아닙니다. 다만 앞으로 중요하게 봐야 할 부분은 공격을 막아야 할 방화벽 자체가 장악돼, 내부망 침입 통로로 쓰였다는 점입니다.

보안 장비도 취약점이 있는 소프트웨어로 작동합니다. 내부망 접근 권한과 인증 정보를 가진 만큼, 장악됐을 때 공격자가 활용할 수 있는 권한도 큽니다.

이번 사건은 방화벽이 있다는 이유만으로 그 뒤의 시스템까지 안전하다고 볼 수 없다는 사례입니다. 제조사 Unit 42도 공격 도구와 결과를 독립적으로 확인했습니다.

[기사 원문]([https://cybersecuritynews.com/php2shell-gained-root-access-on-25-servers/](https://cybersecuritynews.com/php2shell-gained-root-access-on-25-servers/))