Cl0p, PTC 설계·PLM 플랫폼 노린 무인증 원격 장악 시도

Cl0p 랜섬웨어 조직, PTC 설계·PLM 플랫폼 무차별 원격 장악 시도… 제조·국방 설계자산 노출 비상

• 랜섬웨어 조직 Cl0p 연계 공격자들이 PTC의 ‘Windchill’과 ‘FlexPLM’을 인터넷에 직접 노출된 상태로 운영하는 기업을 노려 인증 없이 서버를 장악하는 원격 코드 실행 취약점을 악용해 설계 데이터 탈취와 암호화를 동시 노린다.
• Windchill은 항공·자동차·국방 등 글로벌 제조업 설계·제품수명관리(PLM) 핵심 플랫폼이고 FlexPLM은 패션·리테일 제품 데이터를 관리하는 솔루션으로, 두 시스템이 설계도면과 생산공정 정보를 한데 모으는 디지털 심장 역할을 해 한번 뚫리면 전 공급망이 영향받는다.
• 보고에 따르면 공격자는 취약한 Windchill과 FlexPLM 서버에 특수 제작한 HTTP 요청을 보내 관리자 인증 없이도 임의 명령을 실행하고 추가 악성코드를 심어 내부망으로 확장하며, 이 과정에서 설계 파일과 고객 데이터를 압축해 외부로 전송한 뒤 랜섬 요구로 이어지는 패턴을 보인다.
• Cl0p는 MOVEit 등 이전 공급망 대규모 공격으로 수백 기관 데이터를 유출한 전력이 있고 이번 PTC 플랫폼 공격은 제조·패션·리테일 분야 다수 글로벌 기업을 동시 타격할 수 있어 국내 스마트제조·조선·방산 설계 시스템도 동일 유형 공격에 노출될 경우 국가 기간산업과 방위산업 기밀까지 연쇄 위험이 커진다.
• 한국은 2030년까지 정보보호 산업 규모 30조원·해외 매출 5조원 달성을 목표로 스마트공장·로봇·우주항공 등 미래 산업에 보안을 내재화하는 전략을 추진 중인 만큼, PTC형 PLM·CAD 등 산업설계 플랫폼을 위한 국산 보안 솔루션과 공급망 전용 위협 인텔리전스를 국가 R&D와 K-시큐리티 클러스터에서 집중 육성해 제조·방산 디지털 설계 자산을 보호하는 것이 시급하다.

이번 사건은 설계·PLM 플랫폼이 랜섬웨어 조직의 주공격 대상이 되었음을 보여주므로, 정부는 스마트제조·방산 PLM 시스템 실태조사와 전용 보안 가이드라인 제정, 공급망 보안 전담 트랙과 국산 산업보안 솔루션 조달 확대를 즉시 병행할 필요가 있다.

주요 용어: PLM(제품 수명 전 과정의 설계·변경·생산 정보를 통합 관리하는 시스템), RCE(공격자가 원격에서 서버에 임의 명령을 실행해 장악하는 취약점)

출처: The Hacker News