AI 기반 첩보 캠페인, 정부 리눅스 인프라 공격

AI 기반 공격이 정부 리눅스망에 지속 침투해 정보 수집을 시도하다

• Unit 42는 2025년 10월부터 2026년 4월까지 정부·국가 연계 인프라를 노린 CL-UNK-1211 활동을 식별했다.
• 공격자는 AI 생성 주석이 포함된 PHP·셸 페이로드와 웹셸·백도어를 활용해 리눅스망 정찰과 지속 접근을 수행했다.
• 활동 기간은 2025년 10월~2026년 4월이며, 데이터베이스 전체 덤프·정부 메일함 탈취·연계 소셜미디어 접근을 시도했다.
• 대상은 정부 기관·국가 연계 인프라·엔터프라이즈 리눅스 서버·데이터베이스·정부 메일 서버·메일 주소와 연결된 소셜미디어 계정이다.
• 공격자는 PHP 설정의 auto_prepend_file을 바꾸고 /usr/lib/php/plesk_sys_driver.php 웹셸을 심어 재실행을 보장했다.
• AI가 공격 코드 작성과 절차 자동화를 낮추면서 귀속이 확정되지 않은 위협도 정부 리눅스와 데이터 자산을 동시에 노릴 수 있게 됐다.

한국은 정부 리눅스·PHP·데이터베이스·메일 계정의 통합 점검을 우선화하고, AI 생성 코드 탐지와 로그 보존을 공공 보안 조달 기준에 반영해야 한다.

주요 용어: 웹셸(웹서버에 설치해 원격 명령을 실행하는 통로), auto_prepend_file(PHP 실행 전 지정 파일을 자동 실행하는 설정)

출처: Paloaltonetworks