해커들, 리눅스 SSH 치명적 취약점 악용… 몇 초 만에 루트 권한 탈취

사이버 범죄자들이 최근 발견된 OpenSSH 취약점(CVE-2026-123158)을 악용해 리눅스 서버를 탈취하고 AI가 생성한 백도어와 암호화폐 채굴 도구를 유포하고 있다.

보안 연구원들이 리눅스 시스템에서 새롭게 공개된 치명적인 취약점을 노린 실제 공격이 활발히 발생하고 있다고 경고했다. 이 취약점을 활용하면 인증되지 않은 공격자도 몇 초 만에 최고 권한 계정에 로그인할 수 있다.

'CVE-2026-123158'로 추적되며 '*sshole'이라는 별명이 붙은 이 결함은 널리 쓰이는 OpenSSH 제품군과 libc의 경량 대안 코드 라이브러리인 musl 사이의 위험한 상호작용에서 비롯된다. 지난주 처음 공개된 이 취약점은 현재 전 세계 여러 위협 그룹의 표적이 되고 있다.

실제 악용 사례 및 AI 생성 백도어

보안업체 Greynoise는 동남아시아 전역에서 운영 중인 허니팟(honeypot)이 GT10으로 추적되는 위협 그룹의 공격을 받았다고 밝혔다. 연구원들은 실시간 모니터링 시스템에 대한 "성숙한 침입"을 포착했으며, 이후 GT10 서버에 접근해 공격 도구와 잠재적 피해자 데이터를 확보했다.

이러한 침입 과정에서 GT10은 'TAC Agent'라는 이름으로 추적되는 맞춤형 백도어를 유포했다. Greynoise에 따르면 이 백도어 코드에는 중국어 주석이 포함되어 있으며 AI의 도움을 받아 생성된 것으로 보인다. 해당 페이로드는 쉘 실행, 시스템 정찰, 지속성(persistence) 유지 기능을 지원한다. 공격자들은 실행을 보장하기 위해 침해된 기기에 Python3 패키지가 설치되어 있지 않은 경우 이를 수동으로 설치하고 있다.

다른 보안 기관들도 동시다발적인 공격 물결을 확인했다:

watchTowr: 봇넷 및 암호화폐 채굴 작업과 관련된 취약점 악용 활동을 포착함.

Previdian: 9개국 13개의 고유 IP 주소에서 발생한 20건의 서로 다른 취약점 악용 시도를 탐지했다고 보고함.

CVE-2026-123158의 작동 방식

이 취약점이 악용되려면 특정 시스템 조건이 충족되어야 한다:

대상 시스템이 기본 libc 대신 musl 표준 C 라이브러리와 함께 컴파일된 OpenSSH를 실행해야 한다.

OpenSSH가 PAM(Pluggable Authentication Modules)을 활성화하지 않은 상태로 작동해야 한다.

SSH 시스템에 SHA256 또는 SHA512 비밀번호 해싱을 사용하는 계정이 최소 하나 이상 존재해야 하며, 동시에 /etc/shadow 파일의 비밀번호 필드에 별표(*)를 입력해 비밀번호가 없는 계정을 설정해 두어야 한다.

악용은 공격자가 256자 이상의 비정상적으로 긴 비밀번호 문자열을 제출해 비밀번호가 없는 계정에 로그인을 시도할 때 발생한다. OpenSSH가 초과된 크기의 입력을 처리할 때 musl의 비밀번호 해싱 함수에서 오류가 발생하여 *를 반환한다. 비밀번호가 없는 계정에 대해 저장된 shadow 파일 항목 역시 *이기 때문에, 시스템은 이를 일치하는 것으로 잘못 검증하게 된다. Red Hat이 지적했듯이, 이 결함은 "문자열이 비밀번호 해시인지 여부에 대한 오해석"에 기인한다.