리눅스 서버 위협: 탐지 불가능한 '플래그' 악성코드의 모든 것

728x90

 

리눅스 서버를 노리는 '플래그' 악성코드: 최신 위협 분석

코딩하는 늑대 | 2025년 8월 4일

플래그 악성코드란? 리눅스 서버의 새로운 위협

최근 리눅스 서버를 타겟으로 한 탐지 불가능 악성코드 '플래그(Plague)'가 사이버 보안 커뮤니티에서 큰 주목을 받고 있습니다. 이 악성코드는 기존 안티바이러스 소프트웨어로 탐지되지 않으며, 특히 SSH 포트를 통해 침투하여 서버의 인증 시스템을 조작하는 정교한 공격 방식으로 알려져 있습니다. 본 보고서는 '플래그'의 특성, 기술적 분석, 그리고 실질적인 보안 대책을 상세히 다룹니다.

'플래그'는 단순한 악성코드가 아니라, APT(고급 지속 위협) 그룹의 소행으로 의심되며, 국가 후원 가능성도 제기되고 있습니다. 리눅스 서버 관리자라면 반드시 이 위협에 대해 알아야 하며, 특히 중요한 인프라를 운영하는 조직은 즉각적인 대응이 필요합니다.

'플래그' 악성코드의 주요 특징

'플래그'는 기존 악성코드와 차별화되는 몇 가지 독특한 특징을 가지고 있습니다. 아래는 주요 특징을 정리한 내용입니다:

• 탐지 회피: VirusTotal의 66개 안티바이러스 엔진에서 탐지되지 않습니다. 이는 XOR 기반 암호화와 RC4-like 다단계 알고리즘을 활용한 결과입니다.
• PAM 악용: PAM(Pluggable Authentication Modules)의 pam_sm_authenticate() 함수를 조작하여 인증 프로세스를 우회하고 자격증명을 탈취합니다.
• 은폐 능력: SSH 세션 로그를 삭제하고, 환경 변수(SSH_CONNECTION, SSH_CLIENT)를 제거하며, HISTFILE을 /dev/null로 리디렉션하여 포렌식 분석을 방해합니다.
• 문화적 참조: 1995년 영화 '해커들'에서 인용된 메시지("Uh. Mr. The Plague, sir? I think we have a hacker.")를 포함하여 제작자의 의도를 암시합니다.
• 하드코딩된 비밀번호: Mvi4Odm6tld7, IpV57KNK32Ih, changeme와 같은 비밀번호를 사용해 지속적인 접근을 유지합니다.
• 안티디버깅: 파일명이 libselinux.so.8인지 확인하고, ld.so.preload가 없는지 체크하여 디버깅 및 샌드박스 환경을 회피합니다.

이러한 특징들은 '플래그'가 단순한 스크립트 키드의 작품이 아니라, 리눅스 시스템과 보안 메커니즘에 대한 깊은 이해를 바탕으로 설계된 고급 위협임을 보여줍니다.

기술적 분석: '플래그'의 동작 원리

'플래그'는 리눅스 서버의 인증 시스템을 악용하여 침투하며, 다음과 같은 방식으로 동작합니다:

1. 침투 경로

'플래그'는 주로 SSH 포트를 통해 침투합니다. 취약한 비밀번호나 인증 설정을 악용하여 초기 접근을 얻고, 이후 PAM 모듈을 조작하여 지속적인 접근을 확보합니다.

2. 암호화 및 은폐

악성코드는 XOR 기반 암호화와 RC4-like 알고리즘을 사용해 코드를 난독화하며, init_phrases와 decrypt_phrase 같은 복호화 루틴을 통해 실행 시 동적으로 코드를 복원합니다. 또한, libselinux.so.8로 위장하여 시스템 라이브러리로 오인되도록 설계되었습니다.

3. 포렌식 회피

SSH 로그를 삭제하고 환경 변수를 제거하여 추적을 어렵게 만듭니다. 이는 보안 분석가가 감염 흔적을 찾는 것을 방해하는 주요 전략입니다.

4. 샘플 분석

다음은 '플래그'의 주요 샘플에 대한 기술적 세부 정보입니다:

SHA-256	크기	파일명	최초 제출	제출 국가	컴파일 아티팩트
85c66835657e3ee6a478a2e0b1fd3d87119bebadc43a16814c30eb94c53766bb	36.18 KB	libselinux.so.8	2024-07-29	USA	GCC: (Debian 10.2.1-6) 10.2.1
7c3ada3f63a32f4727c62067d13e40bcb9aa9cbec8fb7e99a319931fc5a9332e	41.65 KB	libselinux.so.8	2024-08-02	USA	GCC: (Debian 10.2.1-6) 10.2.1

이 샘플들은 YARA 룰(MAL_LNX_PLAGUE_BACKDOOR_Jul25, 점수 80)을 통해 탐지 가능하며, IDA Pro와 Unicorn 엔진을 사용한 분석으로 암호화 루틴이 확인되었습니다.

리눅스 서버 보안을 위한 대책

'플래그'와 같은 고급 위협에 대응하기 위해 리눅스 서버 관리자는 다음과 같은 보안 조치를 즉시 실행해야 합니다:

1. PAM 설정 점검: PAM 모듈의 무결성을 정기적으로 확인하고, 비정상적인 설정 변경을 탐지하세요.
2. 실시간 모니터링: SSH 인증 패턴을 모니터링하여 비정상적인 로그인 시도를 즉시 감지하세요.
3. 행동 기반 분석 도입: 시그니처 기반 탐지의 한계를 극복하기 위해 YARA 헌팅과 행동 기반 분석 도구를 활용하세요.
4. 보안 강화: 중요한 인프라(예: 방위, 금융)에서는 다중 인증(MFA)과 네트워크 세분화를 적용하세요.
5. 최신 패치 적용: 리눅스 커널과 관련 패키지를 항상 최신 상태로 유지하세요.

특히, THOR와 같은 사이버 방어 솔루션을 도입하면 '플래그'와 같은 위협을 사전에 탐지할 가능성을 높일 수 있습니다.

'플래그'의 배후와 APT 가능성

'플래그'의 코드에서 발견된 영화 '해커들' 참조는 제작자가 단순한 해커가 아니라, 리눅스 시스템과 보안 메커니즘에 대한 깊은 지식을 가진 조직일 가능성을 시사합니다. 보안 전문가들은 이를 국가 후원 APT 그룹의 소행으로 보고 있으며, 특히 방위 및 중요 인프라를 타겟으로 한 공격 가능성을 경고하고 있습니다.

이러한 위협은 기존의 시그니처 기반 보안 솔루션으로는 탐지가 어렵기 때문에, 행동 기반 분석과 위협 헌팅이 필수적입니다. 또한, 리눅스 서버 관리자는 정기적인 보안 오디트를 통해 잠재적 취약점을 사전에 제거해야 합니다.

결론: 리눅스 서버 보안의 새로운 도전

'플래그' 악성코드는 리눅스 서버 보안의 새로운 도전 과제를 제시합니다. 탐지 불가능한 특성과 PAM을 악용한 정교한 공격 방식은 기존 보안 체계의 한계를 드러냅니다. 서버 관리자는 즉각적인 보안 조치를 통해 이 위협에 대비해야 하며, 특히 행동 기반 분석과 실시간 모니터링을 강화해야 합니다.

리눅스 서버 보안의 중요성이 날로 커지는 가운데, '플래그'와 같은 위협은 단순한 기술적 문제가 아니라 조직의 생존과 직결된 문제입니다. 지금 바로 보안 점검을 시작하세요!

면책사항

본 문서는 정보 제공 목적으로 작성되었으며, '코딩하는 늑대'는 본 내용의 정확성, 완전성, 최신성을 보장하지 않습니다. 사용자는 본 정보를 바탕으로 한 모든 행동에 대해 스스로 책임을 져야 하며, 보안 조치를 실행하기 전에 전문가의 조언을 구하는 것이 권장됩니다. '플래그' 악성코드와 관련된 최신 정보는 신뢰할 수 있는 출처를 통해 확인하세요.

참고 문헌

• Nextron Systems: Plague - A Newly Discovered PAM-Based Backdoor for Linux
• Nextron Systems: Stealth in 100 Lines - Analyzing PAM Backdoors in Linux
• Nextron Systems: THOR Cyber Defense Solution

© 2025 코딩하는 늑대. All rights reserved.