서버 보호 및 웹 보안 소프트웨어 전문 인도 사이버 보안 기업인 'OpsShield'가 자사의 업데이트 배포 인프라를 겨냥한 이중 사이버 공격을 받았습니다. 이 공격으로 인해 짧은 시간 동안 유명 웹 서버 보호 도구인 'cPGuard'의 악성 버전이 회사의 고객들에게 배포되었습니다.
회사의 조사 및 통지에 따르면, 공격자들은 새로운 고객 계정을 등록하고 라이선스 시스템과의 통신 메커니즘을 연구함으로써 회사의 결제 및 라이선스 서버를 해킹하기 시작했습니다. 이를 통해 명령을 실행하고 데이터를 추출한 후, 도난당한 액세스 키를 사용하여 악성 코드가 포함된 가짜 업데이트를 업로드했습니다.
이번 공격은 cPGuard 도구의 5.88.12 버전부터 5.88.19 버전까지 영향을 미쳤으며, 보안 취약점이 발생 12시간 이내에 발견되기 전까지 약 70분 동안 배포되었습니다. 추정치에 따르면 약 2,950대의 서버가 가짜 업데이트를 실행했으며, 공격자들은 이름, 회사, 주소, 이메일 주소 및 암호화된 비밀번호를 포함한 약 7,900개의 고객 계정 기록 데이터를 복사하는 데 성공했습니다.
이번 해킹의 실질적인 영향은 무엇인가?
악성 스크립트는 영향을 받은 고객 서버에서 데이터 수집 및 해킹된 라이선스 서버로의 업로드, 숨겨진 루트 셸(Root Shell) 생성, 임시(Temp) 폴더에 추가 파일 배치 등 여러 작업을 수행했습니다. 공격자들은 다양한 고객 서버에서 32개의 압축 파일을 회수하는 데 성공했을 뿐만 아니라, 회사의 클라우드 서버 3대를 복제했습니다.
이러한 데이터를 바탕으로 회사는 모든 루트 SSH 키, MySQL 데이터베이스 비밀번호, 명령 로그 및 결제 게이트웨이 비밀번호가 완전히 침해된 것으로 간주해야 하며, 사고 당시 서버가 연결되지 않았던 고객을 포함하여 즉시 이를 순환(rotate)하고 변경할 것을 권고했습니다.
시정 조치 및 회사의 대응
OpsShield는 침해 사고를 봉쇄하기 위해 다음과 같은 일련의 엄격한 조치를 취했습니다:
- 모든 영향을 받은 서버에서 공격자를 축출하고 내부 비밀 및 자격 증명을 재설정했습니다.
- 공격자의 SSH 키와 클라우드 계정에서 복제된 자산을 제거했습니다.
- cPGuard 소프트웨어의 모든 공개 및 개인 라이선스 키를 재발급했습니다.
- 결제 게이트웨이의 모든 로그인 세션을 종료하고 API 키를 순환했습니다.
- 결제, 라이선스 및 내부 관리 서버를 처음부터 다시 구축했습니다.
- 잔여 루트 셸과 숨겨진 파일을 제거하기 위해 소프트웨어의 새로운 클린 버전(5.88.25 버전 및 이후)을 출시했습니다.