사이버 보안업체 헌트리스(Huntress)는 2025년 10월 발표한 보고서에서, 중국 기반으로 추정되는 공격자가 오픈소스 서버 관리 도구 ‘Nezha(네자)’를 이용해 다수의 시스템을 침해했다고 밝혔다. 이번 공격은 2025년 6월부터 관찰되었으며, 피해는 대만·일본·한국·홍콩을 중심으로 발생했다. 그 밖에 싱가포르, 말레이시아, 인도, 영국, 미국 등에서도 감염 흔적이 확인되었다.
헌트리스의 사고 대응팀은 8월 초 한 웹 애플리케이션 침해 사례를 조사하던 중, 공격자가 ‘Nezha’를 악용한 정황을 발견했다. 해당 사건은 공개된 phpMyAdmin 웹 인터페이스의 인증 설정이 누락된 상태에서 발생했다. 공격자는 로그 포이즈닝(log poisoning) 기법을 사용하여 웹셸(web shell)을 삽입한 뒤, 이를 중국 해킹 그룹들이 자주 사용하는 웹셸 관리 도구 ‘AntSword’로 제어했다. 그 후 Nezha 에이전트를 설치해 원격 명령 실행 환경을 구축하고, 추가 악성코드 ‘Gh0st RAT’을 내려보냈다.
‘Nezha’는 서버 운영자가 여러 시스템을 모니터링하고 명령을 실행할 수 있는 경량 오픈소스 도구로, GitHub에서 약 1만 건의 추천(star)을 받은 프로젝트이다. 일반적으로 시스템 관리 및 모니터링에 사용되지만, 이번 사례에서는 해당 도구가 공격자의 원격 명령 통로로 활용되었다.
헌트리스는 보고서에서 “Nezha는 합법적 관리 도구로 사용될 수 있으나, 이번 사례에서는 침입 유지 수단으로 사용된 것이 확인되었다”고 밝혔다. 주요 연구원 제이 민턴(Jai Minton)은 “Nezha의 대시보드는 공격자가 원격으로 제어할 수 있는 인터페이스 역할을 한다”고 설명했다.
공격자는 데이터베이스 로그 파일 이름을 PHP 확장자로 변경해 실행 가능한 상태로 만들고, 그 안에 명령을 삽입해 원격 코드를 실행했다. 이후 Microsoft Defender의 검사 예외 규칙을 설정해 탐지를 회피한 뒤, Gh0st RAT 악성코드를 실행했다. Gh0st RAT은 이전에도 중국계 해킹 조직이 티베트 지역을 대상으로 사용한 사례가 보고된 바 있다.
헌트리스는 공격 과정에서 관리자 인터페이스 언어가 간체 중국어로 설정되어 있었고, 사용된 도구들이 과거 중국 APT(지능형 지속 위협) 활동에서 확인된 것과 일치한다고 밝혔다. 다만 헌트리스는 이번 공격을 특정 조직에 공식적으로 귀속(attribution)하지는 않았다.
이번 공격에서 확인된 피해 시스템은 100대 이상이며, 피해 기관 중에는 아시아 지역의 교육기관과 언론사, 기술 기업이 포함되었다. 헌트리스는 일부 시스템이 침해 후 몇 시간 만에 Nezha 에이전트를 제거한 점을 근거로, 일부 피해 기관이 신속히 대응한 것으로 추정된다고 밝혔다.
헌트리스는 “공격자는 기술적으로 숙련되어 있었으며, 공개 도구를 이용해 장기간 접근 권한을 유지했다”고 밝혔다. 또한 “이번 사례는 공격자가 상용 또는 공개 도구를 활용해 탐지를 회피하고 합법적 행위로 위장하는 방식의 대표적 사례”라고 설명했다. 회사 측은 “공개 오픈소스 도구를 사용할 경우 접근통제와 인증 절차를 강화하고, 외부에 노출된 웹 관리 패널을 제한해야 한다”고 권고했다.
댓글
0