[긴급] 리눅스 서버 ‘비상’…탐지 불가능 악성코드 ‘플래그(Plague)’ 기승

 

66개 백신 무력화, 흔적까지 지우는 초정밀 위협 등장

---

“리눅스 서버에 감염된 줄도 모른 채, 내부 정보를 통째로 넘기고 있을 수 있습니다.”
최근 발견된 신종 악성코드 ‘플래그(Plague)’는 백신이 전혀 탐지하지 못하고, 접속 흔적까지 완벽하게 제거해 사후 분석조차 어렵게 만드는 초위협군 악성코드입니다.

---

🧨 플래그 악성코드, 어떤 특징을 가졌나?

항목내용

감염 대상	리눅스 기반 서버 시스템
탐지 회피	66개 백신 모두 탐지 실패 (VirusTotal 기준)
위장 방식	PAM 인증 모듈로 가장, 시스템에 합법적으로 존재하는 것처럼 보임
난독화 기법	XOR → RC4 유사 다단계 암호화, 샌드박스 회피
포렌식 회피	접속 로그 삭제, 쉘 기록 리디렉션, 환경변수 제거
감염 메시지	“Mr. The Plague, sir? I think we have a hacker” (영화 해커스 인용)

 

---

🕵️‍♀️ 침투 방식 & 동작 원리 요약

1. SSH 포트 통한 무차별 대입 또는 인증 우회 침투
2. pam_sm_authenticate() 함수 후킹 → PAM 모듈로 위장
3. 백도어 패스워드 하드코딩 → 인증 없이 자유로운 접근 가능
4. 모든 명령 로그 삭제 → 공격자 활동 전면 은폐
5. 시스템 패치·업데이트에도 지속 접근 가능 (고정 설치)

---

🧬 왜 탐지가 불가능한가?

• 시그니처 없는 변형 공격
• 파일명·구조 모두 정상으로 위장
• 기존 백신은 ‘정적 분석’ 중심 → 악성코드 구조 파악 실패
• 탐지 회피 설계 및 디버깅 방해 기술 포함

---

📛 플래그가 시사하는 것

“이제 백신만으로는 충분하지 않습니다.”

 

플래그는 단순한 악성코드가 아닌,
리눅스 인증 구조의 근본적인 약점을 노린 APT형 공격으로 평가됩니다.

정상처럼 보이면서 내부 인증 시스템을 장악해버리기 때문에,
사고 발생 후에도 로그가 남지 않아 ‘있었는지도 모르게’ 피해가 발생합니다.

---

✅ 대응 방안 체크리스트

1. PAM 모듈 무결성 감사

• /etc/pam.d/ 경로 내 설정 파일 점검
• 비정상 파일 추가 여부 확인 (권한 변경, 날짜 변경 등)

2. 인증 패턴 실시간 모니터링

• 이상 로그인 횟수, 시간, IP 감지
• 비인가 계정 생성, 관리자 권한 변경 탐지 설정 강화

3. 시스템 무결성 감시 도구 도입

• Tripwire, OSSEC 등 무결성 감시 도구로 행위 기반 보안 체계 강화

4. SSH 접근 보안 강화

• 포트 변경, 공개키 인증, 2FA 적용
• 로그인 실패 횟수 제한 설정

5. 정기 백업 및 복구 시나리오 마련

• RPO/RTO 기반 복구 시뮬레이션 점검

---

🔐 전문가 메시지

“플래그는 기존 백신을 모두 우회하며
‘합법적인 시스템 구성 요소’처럼 숨는 가장 위험한 형태의 악성코드입니다.
이제는 행위 기반 탐지와 시스템 무결성 검증을 중심으로 보안 전략을 재편해야 합니다.”

---

📌 결론: 시그니처 기반 보안의 한계를 넘어서야 할 때

• 🧠 플래그는 단지 리눅스 악성코드의 진화가 아닙니다.
  이는 운영체제 수준의 인증 구조를 위협하는 새로운 보안 패러다임입니다.
• ⚠️ 시스템 관리자 및 보안 담당자는 지금 당장 PAM 구성 감사 및 이상 행위 모니터링부터 시작해야 합니다.