Check Point는 위협 행위자들이 'PHP2Shell' 취약점을 악용하여 자사의 게이트웨이(Gateway) 장비를 해킹하고, 피해 조직을 대상으로 파괴적인 와이퍼(Wiper) 악성코드를 배포하고 있음을 밝혀냈습니다. 이번 공격은 두 차례의 연속적인 물결로 수행되었습니다. 첫 번째 물결은 10월 30일에 시작되어 이스라엘 내 기관들을 대상으로 명확한 파괴 활동을 보였으며, 두 번째 물결은 11월 2일에 시작되어 전 세계 여러 국가의 조직들을 대상으로 했으나 유사한 파괴 활동은 관찰되지 않았습니다.
공격의 기술적 메커니즘
공격자들은 완전한 제어권을 확보하기 위해 일련의 연속적인 취약점을 악용했습니다. 공격 과정은 PHP2Shell 취약점(CVE-2026-109618 및 CVE-2026-109619)을 악용하며 시작되었습니다. 이는 PHP 버전 5 이상에 영향을 미치는 원격 코드 실행(RCE)이 가능한 치명적인 취약점입니다. 10월 21일에 필요한 패치가 발표되었음에도 불구하고, 광범위한 악용은 그 전후로 짧은 기간 내에 시작되었습니다.
초기 액세스를 확보한 후, 공격자들은 DynamicCLI 프로세스 내에서 로컬 권한 상승(Local Privilege Escalation)이 가능한 CVE-2026-123039 취약점을 악용하여 'root' 권한을 획득했습니다. 이러한 제어권을 통해 공격자들은 시스템 내 지속성을 유지하기 위해 웹쉘(webshell) 파일을 심고, TSGA 및 TSProxy(악성 프레임워크 PhiliKit의 변종)와 같은 도구를 사용하여 백도어를 생성하고 네트워크 기능을 가로챘습니다.
확산 및 파괴적 활동
첫 번째 물결에서 공격자들은 이스라엘 기관의 Check Point 모바일 액세스 게이트웨이를 표적으로 삼았으며, 로그인 페이지 구성에 사용되는 게이트웨이 디렉토리에 웹쉘 파일을 심었습니다. 내부 자산을 발견한 후, 공격자들은 VMware ESXi 호스트로 측면 이동(Lateral Movement)을 수행했으며, Dream Security를 언급하는 메시지를 남기기 전에 파괴적인 와이퍼 악성코드를 실행했습니다.
공격의 의문점
이번 캠페인은 복잡한 보안 의문을 제기합니다. 공격자들이 중국의 일반적인 업무 시간에 활동하고 중국 그룹과 관련된 인프라 및 소프트웨어를 사용했음에도 불구하고, 와이퍼를 사용한 공격의 파괴적인 성격은 일반적으로 알려진 중국의 사이버 작전과는 일치하지 않습니다. Check Point는 몇 가지 가능한 시나리오를 제시합니다. 특정 주체가 전체 캠페인을 책임지고 있거나, 초기 액세스 브로커(Initial Access Broker) 역할만 수행했거나, 전체 작전이 조사를 혼란스럽게 하기 위한 '위장 깃발(False-flag operation)' 작전이었거나, 파괴 활동이 다른 작전을 위한 은폐 수단이었을 가능성입니다. 또한, 회사는 이번 공격이 특정 부문을 선호하지 않았으며, 이는 기회주의적인 악용 시도임을 시사한다고 지적했습니다.