정부 리눅스 서버서 AI 의심 악성코드 발견

ai.euno.news 자동 뉴스 요약

정부·국영기관의 리눅스 서버를 겨냥한 사이버 첩보 공격에서 인공지능(AI)이 작성한 것으로 의심되는 악성 스크립트가 발견됐다. 팔로알토 네트웍스 유닛42(Unit 42)는 2025년 10월부터 2026년 4월까지 관찰한 공격 활동을 ‘CL-UNK-1211’로 추적했다. 공격 동기는 아직 확인되지 않았다.¹

공격자는 리눅스 환경을 정찰한 뒤 장기간 접속 통로를 유지하며 민감한 데이터베이스와 정부기관 메일함을 빼내려 했다. 메일에서 소셜미디어 계정과 관련된 정보를 찾은 정황도 확인됐다. 공개 도구와 자체 제작 백도어, PHP 웹 셸을 함께 썼으며, 엔드포인트 보안 기능을 끄고 시스템 로그를 지워 흔적을 감추려 했다. 정상적인 모의 침투 작업처럼 보이도록 레드팀 표식을 심기도 했다.

악성코드에 남은 AI의 흔적#

AI 활용 가능성을 뒷받침한 것은 PHP와 셸 스크립트에 남은 설명문이다. 일반적인 개발 문서와 달리 코드의 작동 원리를 대화하듯 단계별로 풀이한 메모가 여러 스크립트에 포함돼 있었다. 유닛42는 운영자가 입력한 지시를 설명하는 형태라는 점에서, 공격자가 대규모 언어 모델(LLM)의 출력을 그대로 복사했거나 자동화된 AI 에이전트가 코드를 배포했을 가능성을 제시했다. 다만 AI 생성 여부가 확정된 것은 아니다.¹

자격증명 탈취 수법은 세 갈래였다. 공격자는 .bashrc 파일을 악성 버전으로 바꿔 비밀번호를 가로채고, PHP 로그인 페이지에 코드를 삽입해 관리자 계정을 수집했다. 설정 파일과 명령 기록에서는 평문으로 저장된 이메일·SMTP·데이터베이스 비밀번호를 검색했다.

공격에는 고(Go)로 작성한 다중 플랫폼 원격접속 트로이목마 SysGoRAT도 투입됐다. SysGoRAT은 윈도와 리눅스에서 지속성을 확보하고, 하드코딩된 IP 주소 104.194.158[.]65:443에 웹소켓으로 연결한다. 이후 명령 실행, 대화형 셸, 화면 캡처, 파일 유출, 디렉터리 조회, TCP 프록시 기능을 제공한다. 디스크에 분석 흔적을 남기지 않으려고 메모리에서 역방향 셸을 구동한 사례도 있었다.

메일 탈취 과정은 구체적이었다. 공격자는 /var/qmail/mailnames/ 아래 폴더별 메일 수를 센 뒤 search_social.php로 헤더의 소셜미디어 관련 키워드를 검색했다. 이 스크립트는 파일 경로와 발신자, 수신자, 제목을 읽기 쉬운 형태로 표시했다. AI가 생성한 것으로 의심되는 코드와 기존 웹 셸·백도어가 함께 사용됐지만, 자동화된 AI가 실제 침투와 정보 수집에 쓰였는지는 확정되지 않았다.

읽기 목록은 이 브라우저에 저장됩니다.