Chained PHP2Shell 및 Fragnesia 익스플로잇 캠페인 분석

요약

국가 배후로 추정되는 조직적인 사이버 캠페인이 커스텀 PHP2Shell 익스플로잇과 리눅스 커널 권한 상승을 연쇄적으로 사용하여 미국 정부 관련 환경의 시스템을 포함한 25대의 서버를 성공적으로 침해했습니다. 공격자들은 자동화된 정찰과 버전별 익스플로잇 프로필을 활용하여 경계 방화벽에서 내부 ID 인프라로 이동하며 높은 수준의 운영 성숙도를 보여주었습니다.

공격 체인: PHP2Shell 및 Fragnesia

공격자들은 단일 인증되지 않은 HTTP 요청을 통해 대상 방화벽에서 루트 권한을 획득할 수 있는 2단계 익스플로잇 체인을 개발했습니다. 이 체인은 메모리 손상과 커널 수준의 권한 상승을 결합하여 표준 보안 제어를 우회합니다.

PHP2Shell (CVE-2026-109618 / CVE-2026-109619)

이 구성 요소는 PHP 8.0.30의 session.upload_progress 메커니즘을 대상으로 합니다. 공격은 네 가지 단계로 실행됩니다:

메모리 고갈: 대규모 멀티파트 POST 요청으로 서버를 플러딩하여 예측 가능한 메모리 레이아웃을 강제합니다.
정보 유출: 범위를 벗어난 읽기를 트리거하여 libphp.so의 기본 주소를 유출합니다.
부실 참조 설정: 메모리에 위조된 zend_reference를 생성합니다.
코드 실행: PHP HashTable 항목을 위조하여 zif_system을 가리키게 함으로써 nobody 사용자로 임의 명령을 실행합니다.

Fragnesia (CVE-2026-46300)

초기 코드 실행이 SELinux에 의해 제한되기 때문에, 공격자들은 리눅스 커널의 XFRM ESP-in-TCP 하위 시스템을 대상으로 하는 두 번째 익스플로잇을 연결했습니다. 이를 통해 공격자는 /etc/pam.d/su를 pam_permit.so로 덮어쓰고 su root를 통해 비밀번호 없이 루트 권한을 획득할 수 있습니다.

운영 방법론

공격자들은 광범위한 탐색에서 고가치 익스플로잇으로 이동하는 구조화되고 자동화된 퍼널을 사용했습니다.

타겟팅: FOFA 검색 엔진을 사용하여 인터넷에 노출된 19,000개의 방화벽을 식별했습니다. 이 중 미국, 일본, 대만, 한국의 고가치 대상 240개를 필터링했습니다.
버전 프로파일링: 공격자들은 11개의 JSON 기반 버전 프로필을 유지했습니다. 이 프로필에는 다양한 방화벽 OS 버전에 대한 정확한 메모리 오프셋과 기하학적 매개변수가 포함되어 있어 자동화되고 신뢰할 수 있는 익스플로잇이 가능했습니다.
지속성 및 피벗: 방화벽의 루트 권한을 획득한 후, 공격자들은 지속적인 역방향 SSH 터널을 구축했습니다. 이를 통해 내부 관리 서버에 접근하여 자격 증명 추출 및 사용자 열거를 포함한 Active Directory 공격을 수행했습니다.

AI 지원 개발

작전이 완전히 자율적인 것으로 보이지는 않지만, 익스플로잇 인프라 개발에 상당한 AI 지원이 있었음을 시사하는 증거가 있습니다. 복구된 아티팩트에는 DeepSeek 및 Kimi LLM을 사용하는 aiscan 플랫폼 구성과 Claude Code의 존재가 포함되어 있습니다. 약 40개의 커스텀 사후 익스플로잇 스크립트 전반에 걸친 일관성은 AI가 코드 구조 및 생성에 기여했음을 나타냅니다.

커뮤니티 통찰 및 토론

보안 커뮤니티 내의 토론은 이번 침해의 성격과 관련하여 몇 가지 중요한 시사점을 강조합니다:

노출 위험: 댓글 작성자들은 방화벽과 같은 중요 인프라의 관리 인터페이스를 공용 인터넷에 노출해서는 안 되며, 격리된 관리 VLAN에 배치해야 한다고 강조했습니다.
벤더 추측: 연구원들이 벤더를 공개하지는 않았지만, 커뮤니티 구성원들은 구성 세부 정보와 SELinux 동작이 Palo Alto Networks나 Fortinet과 같은 주요 방화벽 제공업체와 일치한다고 추측했습니다.
익스플로잇 복잡성: 일부 관찰자들은 초기 RCE를 달성하기 위해 사용된 메모리 고갈 기술이 놀라울 정도로 수동적이며, 이는 공격자들이 자금은 충분하지만 여전히 익스플로잇 개발 프로세스를 개선하고 있음을 시사한다고 지적했습니다.
귀속: 중국어 LLM 사용, 중국 인터넷 인프라(FOFA), UTC+8 타임스탬프와 같은 지표는 중국 관련 작전임을 강력히 시사하지만, 연구원들은 아직 특정 국가 행위자에게 공격을 공식적으로 귀속시키지는 않았습니다.