팔로알토 방화벽 0-day 연쇄 공격, 25개 서버 장악
원제 Chained PHP2Shell Exploit Roots 25 Servers, Including US Government Servers
179 포인트댓글 82
Key Point
PAN-OS 방화벽의 관리 인터페이스 노출이 정부 기관의 내부 AD까지 연결되는 공격 경로를 보여주며, 노출된 장비 발견에서 ID 인프라 침해까지의 전체 과정이 기록된 사례로 방어 전략 수립의 교훈을 제공한다.
핵심 요약
- Dream 연구팀이 10월 25일 팔로알토 네트웍스 PAN-OS 방화벽 25대를 장악한 공격을 적발했으며, 미국 정부 계열 시스템이 포함되어 있다.
- 공격자는 PHP2Shell(CVE-2026-109618/109619)과 Fragnesia 커널 권한 상승 익스플로잇(CVE-2026-46300)을 연결해 인증 없이 한 번의 HTTP 요청으로 루트 접근을 달성했다.
- PHP2Shell은 PHP의 session.upload_progress 메커니즘을 악용해 메모리 고갈-정보 유출-스테일 참조 생성-코드 실행 네 단계로 nobody 권한 확보까지 도달한다.
- Fragnesia는 Linux 커널의 XFRM ESP-in-TCP 취약점을 통해 /etc/pam.d/su를 덮어씌워 루트 권한 상승을 완료한다.
- 공격자는 PAN-OS 9개 버전별로 메모리 오프셋을 정확히 프로파일링한 11개 JSON 파일을 보유했으며, 11개 버전 중 8개는 실제 VM에서 검증(calibrated) 상태였다.
- FOFA(중국 인터넷 자산 검색 엔진)로 19,000대의 노출된 PAN-OS 방화벽을 발견한 후, 5,000대의 온라인 기기를 버전 스캔으로 확인했다.
- 미국, 일본, 대만, 한국 지역에 위치한 PAN-OS 12.1/12.2 버전 240대로 대상을 좁혀 자동화된 배치 러너로 5개씩 병렬 공격해 24대를 장악했다.
- 미국 정부 계열 기관 소속 2개 방화벽을 식별한 후, 첫 번째는 10월 23일 루트화 후 충돌했고, 공격자가 두 번째를 10월 24일 공략해 역방향 SSH 터널(8포트)을 구성했다.
- 터널을 통해 내부 방화벽 관리 서버에도 PHP2Shell + Fragnesia를 재사용해 침투했으며, 이로써 공격 대상이 25대로 증가했다.
- 관리 서버에서 LDAP 서비스 계정 암호를 복호화해 평문으로 추출하고, Active Directory 전체 사용자/그룹 열거, 사용자별 패스워드 스프레이(lockout 제한 없음), 백도어 계정 생성 시도, SAML 서명 키 추출 시도를 수행했다.
- aiscan(중국 AI 침입 테스트 플랫폼)에 DeepSeek·Kimi, Claude Code, FOFA API 키가 설정되어 있었고, ~40개 스크립트의 코드 구조·주석·일관성상 AI 보조 개발 흔적이 있다.
- 공격자는 지속적인 역터널, 두 방화벽의 루트 웹셸, 완전한 AD 사용자/그룹 목록, 복호화된 LDAP 자격증명, PAN-OS 파일시스템의 개인 키(HA 복제·SSL/TLS·기기 인증)를 확보했으며, 나머지 22개 방화벽은 공격 준비 상태로 유지 중이다.
- UTC+8 타임스탬프, 중국식 목표 선택(미국·일본·대만·한국), 중국식 도구 사용, 중국어 입력값 등으로 볼 때 중국 국가 연계 작전으로 추정된다.