방화벽 믿고 패치 미뤘더니…샤이니헌터스, 오라클 피플소프트 다시 공격

샤이니헌터스의 웹 방화벽 우회 방식. 공격자가 요청 주소의 'P'를 '%50'으로 바꾸면 일부 방화벽은 차단 규칙을 적용하지 못하지만, 피플소프트 서버는 이를 원래 주소로 해석해 요청을 처리한다. (자료: 구글 위협정보그룹·맨디언트)

샤이니헌터스가 오라클 피플소프트의 취약점을 이용한 대규모 공격을 재개했다. 지난 6월 보안 업데이트가 나왔지만, 프로그램을 수정하지 않고 웹 방화벽 규칙으로만 공격을 막으려 했던 서버들이 다시 표적이 됐다.

구글 위협정보그룹과 맨디언트가 25일 공개한 분석에 따르면, 공격자는 취약한 '환경관리 허브'로 향하는 인터넷 주소의 문자 한 개를 다른 형식으로 표현했다. 일부 웹 방화벽은 바뀐 주소를 차단 대상과 다른 것으로 판단했지만, 피플소프트 서버는 이를 원래 주소로 해석했다. 방화벽의 차단 규칙을 우회해 취약한 기능에 접근한 것이다.

공격 대상인 CVE-2026-35273은 로그인 없이 서버에서 명령을 실행할 수 있는 심각도 9.8점의 취약점이다. 오라클은 6월 10일 피플소프트 피플툴스(PeopleTools) 8.61·8.62 버전에 대한 보안 경고를 발표했다. 당시에는 수정 방안이 공개되기 전부터 공격에 이용돼 '제로데이(zero-day, 패치가 없는 상태에서 악용되는 취약점)'였지만, 현재는 알려진 취약점이다.

구글은 이번 공격에서 세계 여러 지역의 서버 수십 대에 웹셸(web shell, 공격자가 침투한 서버에 원격으로 명령을 보내는 데 쓰는 악성 파일)이 설치된 사실을 확인했다. 표적도 대학에서 기술·정보기술 서비스·의료·농업·운송·정부 부문으로 넓어졌다. 다만 공격을 받은 모든 기관에서 정보 유출이 확인됐다는 뜻은 아니다.

일부 윈도 서버에서는 '사이드아이(SIDEEYE)'라는 백도어(backdoor, 공격자가 몰래 심어두는 원격 접속 악성코드)도 발견됐다. 정상 동영상 재생 프로그램 설치 파일처럼 꾸민 이 악성코드는 실행되면 공격자 서버와 통신하며 계정정보 탈취, 파일·프로세스 조작, 원격 명령 수행 등에 사용될 수 있다.

샤이니헌터스는 최근 미국 연방수사국(FBI) 침해도 주장했다. 그러나 이번 구글 보고서는 FBI 침해 여부나 그 사건의 침투 경로를 확인하지 않았다. 두 사건이 같은 취약점으로 연결됐다고 단정할 근거는 아직 없다.

피플소프트 운영 조직은 오라클 보안 업데이트 적용 여부를 확인하고, 환경관리 허브에 대한 외부 접근과 서버 내부의 낯선 파일을 점검해야 한다. 구글은 침투 흔적이 발견되면 피플소프트 서버에서 접근할 수 있었던 계정의 비밀번호도 변경하도록 권고했다.