공격 세부 정보
Check Point는 자사의 보안 게이트웨이(Security Gateways)를 표적으로 한 사이버 공격 캠페인을 확인했습니다. 공격자들은 PHP2Shell로 알려진 치명적인 PHP 취약점(CVE-2026-109618 및 CVE-2026-109619)을 악용했습니다. 이 공격은 2026년 10월 30일 이스라엘 내 기관을 1차 표적으로 시작되었으며, 11월 2일부터는 다양한 국가와 분야의 기업으로 확대되었습니다.
해킹 및 확산 메커니즘
공격자들은 PHP2Shell 취약점을 사용하여 모바일 액세스 포털(Mobile Access portal)을 통해 무단으로 접근한 뒤, CVE-2026-123039라는 새로운 제로데이(Zero-day) 취약점을 악용하여 루트(Root) 권한을 획득했습니다. 그 후 TSGA와 같은 백도어를 설치했으며, 여기에는 일반 트래픽 내에 공격자의 명령을 숨기기 위한 TSProxy라는 네트워크 구성 요소가 포함되어 있습니다.
이스라엘 기관을 표적으로 한 공격에서 공격자들은 오픈 소스 네트워크 정찰 도구인 gogo를 사용하여 침해된 게이트웨이에서 VMware ESXi 서버로 이동했습니다. 최종 단계에서는 destroy_v6라는 데이터 삭제 악성코드가 배포되었으며, 이 악성코드는 파일 복구를 방지하기 위해 데이터를 반복적으로 삭제하고 공간을 0으로 채우는 기능을 수행합니다.
이 뉴스가 중요한 이유
이번 공격은 랜섬웨어 요구 대신 비즈니스 중단을 목적으로 하는 파괴적인 성격 때문에 큰 위험을 초래합니다. 이는 공격자들이 침해된 시스템에 남긴 정치적 메시지를 통해 확인되었습니다. 또한, 이번 보고서는 애플리케이션 취약점과 시스템 취약점(예: 리눅스 커널의 Fragnesia 취약점)을 결합하여 완전한 권한을 획득하는 위험성을 강조합니다.
보안 권장 사항
Check Point는 모든 고객에게 즉시 다음 조치를 취할 것을 권장합니다:
- 모든 관리 서버 및 보안 게이트웨이에 November Jumbo Hotfix를 설치하고, 인터넷에 연결된 게이트웨이를 우선적으로 처리하십시오.
- upload_progress_pwn이 포함된 세션 파일과 같은 침해 지표(IoC)를 검색하십시오.
- CPconfigdaemon의 예상치 못한 프로세스나 설명할 수 없는 바이너리 파일의 존재를 모니터링하십시오.
- 방화벽 로그를 검사하여 게이트웨이에서 내부 VMware ESXi 서버로 향하는 승인되지 않은 SSH 활동이 있는지 확인하십시오.