킬린, “MBC 해킹했다”... 침투 경로 “최신 웹 취약점” vs “VPN 탈취” 작성일 02-03 50 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="8pJRsNCEwN"> <p contents-hash="edf4ffd566d66a9558dc1835145431161025e79acec24094e372fca931c2c9a3" dmcf-pid="6UieOjhDDa" dmcf-ptype="general"><strong>국제 해킹조직 ‘킬린’, 다크웹에서 MBC 공격 주장<br>“최신 웹 취약점 ‘리액트2쉘’ 뚫렸다”... MBC, AI 데이터셋 플랫폼 등 리액트 사용<br>“단정 짓기엔 기술적 특성 달라” VPN 탈취나 레거시 장비 악용 관측도</strong></p> <p contents-hash="76f5a74fa82bb9f059977704db07221a6978fc6a3308479fd68e0d7bd9de5c87" dmcf-pid="PundIAlwOg" dmcf-ptype="general">[보안뉴스 조재호 기자] 국제 랜섬웨어 조직 ‘킬린’(Qilin)이 방송사 MBC를 해킹했다고 주장해 파문이 일고 있다. 최근 국내 기업에 대한 굵직한 공격을 잇달아 벌인 킬린이 국가 주요 기간시설이라 할 지상파 방송에 침투했다는 소식에 관련 업계는 긴장하고 있다. </p> <figure class="figure_frm origin_fig" contents-hash="5b88ac0a0e35395244d1934d76ca2c2274c42caa0d714573f890c1d52fdaca03" dmcf-pid="Q7LJCcSrDo" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202602/03/552815-KkymUii/20260203190555278jkah.jpg" data-org-width="750" dmcf-mid="4eZG2p4qsj" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202602/03/552815-KkymUii/20260203190555278jkah.jpg" width="658"></p> </figure> <div contents-hash="eae788b3485094e57947f10400d0e56f86d7e9914ec9a0663571fea56727b54e" dmcf-pid="xzoihkvmOL" dmcf-ptype="general"> <div> <p>[출처: MBC]</p> </div> <br><strong>킬린, 다크웹에 MBC 리스트 등재... 지난해 韓 휩쓴 그 녀석</strong> <br>3일 보안 업계와 외신에 따르면, 킬린은 지난달 30일 자신들의 다크웹 사이트 피해 기업 목록에 MBC를 신규 등록했다. 이들은 ‘광고·마케팅’(Advertising&Marketing)이라는 분류와 함께 MBC 공식 웹사이트 링크를 첨부하며 공격 사실을 알렸다. </div> <p contents-hash="46d819596c09d10c999f3254d6fe4772d3750d1f9cb34e387a0e420d64b686ac" dmcf-pid="yBaLSDyOwn" dmcf-ptype="general">킬린은 2022년 등장 이후 세계적으로 1000여 건 이상의 공격을 감행한 대형 랜섬웨어 서비스(RaaS) 그룹이다. 특히 지난해 하반기 ‘코리안 리크스’(Korean Leaks) 캠페인을 주도하며 웰컴금융그룹 등 국내 금융·건설사 30여곳을 타격한 바 있다. 이들이 한국 기업을 공격한 전력이 뚜렷한 만큼, 이번 MBC 해킹 주장 역시 허세로 치부하기 어렵다는 게 업계 중론이다.</p> <p contents-hash="6be304c6cbb28865d0ac6692f155a6a6a24a30e890df607819175b91e39172b5" dmcf-pid="WbNovwWIri" dmcf-ptype="general"><strong>“최신 기술 도입 후 관리도 중요해” 신규 웹 취약점 악용설</strong><br>최근 웹 생태계를 강타한 ‘리액트2쉘’(React2Shell) 취약점이 MBC 공격에 악용됐다는 관측이 나온다. </p> <p contents-hash="6b7c3af6c343e4f2cff40c0fca891a5ed8e41e5106e4d1990f94f7fa3dd3afb0" dmcf-pid="YKjgTrYCmJ" dmcf-ptype="general">리액트2쉘(CVE-2025-55182)은 오픈소스 UI 프레임워크 ‘리액트’(React) 버전 19에서 발견된 인증되지 않은 원격 코드 실행(RCE) 취약점으로, 공격자가 사용자 개입 없이 서버에서 임의 명령을 실행할 수 있게 만든다.</p> <p contents-hash="786fc8fd69d90daefd8811268982417ca63e9753be06aed04af4a7d7cb583021" dmcf-pid="G9AaymGhId" dmcf-ptype="general">일부 보안 전문가들은 MBC ‘광고·마케팅’ 부문이 타깃이라는 점에 주목한다. 홍보용 웹페이지가 최신 프레임워크인 ‘리액트’(React)나 ‘넥스트’(Next.js) 기반으로 구축됐다면, 이 취약점에 노출될 수 있다는 것이다. </p> <p contents-hash="4e517a99a270b0d7eed43a840c2b20f149b834ac8fbffe24ea870c8da6196811" dmcf-pid="H2cNWsHlme" dmcf-ptype="general">실제로 MBC의 AI 학습용 데이터셋 플랫폼(datasets.mbc)에서 Next.js 기반 리액트 애플리케이션이 운용되고 있는 것이 확인됐다. 이 페이지가 최신 프레임워크를 사용하고 있다는 점은 이 가설에 힘을 싣는 대목이다.</p> <p contents-hash="48126e9a031d4a36b93a82be6d1065f8537fea446bcd2c07b2de532af1c90656" dmcf-pid="XVkjYOXSsR" dmcf-ptype="general"><strong>“킬린 스타일 아니다” VPN 및 레거시 악용설</strong><br>반론도 만만치 않다. 기술적 정황은 있지만, 실현 가능성에는 의문부호가 붙는다.</p> <p contents-hash="7d22c653a6eb6005a009fa1a3160eaac5b62e00a9675135be6ec6a00ea7b32af" dmcf-pid="Z8wkXh1yOM" dmcf-ptype="general">익명을 요구한 보안 분석가는 “datasets.mbc에서 리액트 앱이 운용되는 것은 맞지만, 이 사실만으로 리액트2쉘이 킬린의 침투 경로였다고 단정하기엔 넘어야 할 문턱이 여전히 높다”고 지적했다.</p> <p contents-hash="4d035f9c554a460a327ec298e5fbd2764041d391ec3c29f86dfc387b642dab5b" dmcf-pid="56rEZltWIx" dmcf-ptype="general">그는 “그 사이트는 버셀(Vercel)의 AI 코드 생성 도구 ‘v0.dev’로 제작된 것으로 확인됐으며, 버셀 등 외부 클라우드 환경에 격리 배포되었을 가능성이 높다”며 “이 경우 내부망으로 횡적 이동(Lateral Movement) 경로가 없어 랜섬웨어 배포의 교두보가 되기 어렵다”고 말했다.</p> <p contents-hash="494aa9d3d98257f5d6949c3118d272de147ffc56308554f481685a386c8974a1" dmcf-pid="1PmD5SFYsQ" dmcf-ptype="general">오히려 전통적 방식이 유력하다는 것이 이 분석가의 설명이다. 현재까지 리액트2쉘을 실전 악용한 그룹은 어스라미아(Earth Lamia)나 UNC6600 등 중국 연계 APT, 론도독스(RondoDox) 봇넷, 윅서(Weaxor) 랜섬웨어, 북한 연계 이더RAT(EtherRAT) 등이다. 킬린이 리액트2쉘을 사용했다는 보고는 없다.</p> <p contents-hash="c595b145baf1b5cdd78abd7540af3550a05e398a6cb6213680d31632c5e14739" dmcf-pid="tQsw1v3GsP" dmcf-ptype="general">그는 “킬린의 주특기는 웹 프레임워크 RCE가 아니라 △다크웹에 유출된 VPN 자격 증명 활용 △10년 이상 패치되지 않은 레거시 시스템 악용 △IT 관리 서비스(MSP)를 통한 공급망 공격”이라며 “최신 기술보다는 관리가 소홀한 ‘오래된 뒷문’을 열었을 공산이 크다”고 분석했다.</p> <p contents-hash="8451707b399a3d92a904603c8c5fb4c03b5b9d003ff8d7366a4e2d7db84e4ada" dmcf-pid="FxOrtT0HI6" dmcf-ptype="general"><strong>“위협 정황만으로도 경계해야” 전방위 보안 점검 시급</strong><br>침투 경로에 대한 의견은 분분하지만, 킬린이 국내 주요 방송사를 타깃으로 삼았다는 사실만으로도 전방위 경계경보를 발령해야 한다는 것이 업계 중론이다.</p> <p contents-hash="bd11c327e48bd1478140d46bec183b8880c3d8f08800058c2b246fd7bf65527c" dmcf-pid="3MImFypXE8" dmcf-ptype="general">전문가들은 기업이 ‘최신 취약점’과 ‘기본 보안 수칙’ 두 마리 토끼를 모두 잡아야 한다고 조언한다. 한국인터넷진흥원(KISA)은 지난해 말 △리액트/Next.js 패키지 최신 보안 업데이트 △VPN 등 원격 접속 계정 전수 조사·다중 인증(MFA) 적용 △오래된 서버의 보안 패치 점검 등을 권고했다.</p> <p contents-hash="f16fb0cc226839e8551fda2005cfaad7409f4dad52d4279a865f6f93921e9cad" dmcf-pid="0r0tPBMVr4" dmcf-ptype="general">MBC는 이번 사태와 관련, 공식 입장을 내놓지 않고 있다. 다만, 방송가 등 관련 업계에서 긴급 보안 점검에 나섰다는 소식이 전해지는 등 이번 킬린의 경고에 국내 미디어 업계는 긴장하는 분위기다. </p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 [배종찬의 보안 빅데이터] 보안 강국 위해 ‘화이트해커’ 육성이 필요한 까닭 02-03 다음 스키 신고, 제일 빨리 등산하면… 올림픽 금메달 02-03 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
