중국 해커그룹이 일반적인 오픈 소스 코드인 로그(Log)4j 취약점을 악용해 대규모 학술기관을 표적으로 공격을 감행했다는 주장이 제기됐다.
29일 악시오스 등에 따르면 글로벌 보안기업 크라우드스트라이크는 “‘아쿠아틱 판다’로 명명된 중국 해커그룹이 대규모 학술기관을 상대로 Log4j를 이용한 해킹 공격을 감행했다”면서 “이런 학술기관을 보호하기 위해 개입했다”고 밝혔다.
‘아쿠아틱 판다’는 정보 수집과 산업 스파이 활동을 벌이는 해커그룹으로, 작년부터 중반기부터 활동했을 가능성이 있지만 이번에 처음으로 확인됐다.
크라우드스트라이크는 “‘아쿠아틱 판다’의 해킹을 사전에 차단해 그들의 정확한 공격 의도는 확인하지 못했다”고 설명했다.
최근 발견된 ‘로그4j’ 취약성은 인터넷 역사상 최악의 보안 결함이라는 지적이 나온다.
로그4j는 인터넷 서비스 운영과 유지 관리 등의 과정에서 일어나는 모든 기록을 관리할 수 프로그램의 자바(JAVA) 기반 소프트웨어다. ‘디버그’ 시간을 단축시키는 이점이 있지만, 로그 메시지를 조작해 데이터를 훔치거나 랜섬웨어 등 악성코드를 실행할 수 있다는 취약점이 발견됐다.
무료 오픈소스라 세계적으로 사용하는 곳이 많다. 로그4j를 직접 쓰지 않더라도 사용 중인 오픈 소스 라이브러리가 이 소프트웨어에 의존해 사실상 대다수 정부 기관 및 기업이 직·간접적으로 이 소프트웨어를 사용하고 있는 것으로 추정된다.
세계 보안 전문가들은 Log4j 취약성을 악용한 공격이 확대될 것이라고 예상하면서 긴급 패치 등 대응을 촉구하고 있다.
