아텍스 콘솔 1465개 인터넷 노출…국내 호스트 21개

아텍스(ARTEX) 관리 콘솔 1465개가 인터넷에 노출됐고, 이 가운데 국내 호스트는 21개로 집계됐다.

센시스(Censys)는 5일 조사 결과를 공개했다. 집계 기준일은 4일이며, 센시스는 조사 보고서에서 1465개가 공격 건수나 피해 기관 수가 아니라 콘솔이 노출된 호스트 수라고 밝혔다.

전체 호스트 가운데 약 650개는 동일하게 설정된 두 서버군에 몰려 있었다. 센시스는 이를 제외한 서로 다른 것으로 보이는 배포 사례를 약 815개로 추렸다.

국가별로는 미국이 726개로 가장 많았고 홍콩 387개, 중국 177개, 일본 51개가 뒤를 이었다. 국내 호스트는 21개였다.

센시스는 아텍스 호스트 155개에서도 다른 위협 도구를 탐지했다. 여기에는 다른 AI 공격 프레임워크와 정찰·터널링 도구, Vshell·Cobalt Strike·Adaptix C2 같은 원격 제어 도구가 포함됐다.

또 다른 아텍스 호스트 32개에서는 외부에서 열람할 수 있는 디렉터리가 발견됐다. 센시스는 이들 디렉터리에 침투 후 사용하는 도구와 악성 프로그램이 담겨 있었다고 밝혔다.

아텍스는 7월 공개된 오픈소스 자동 침투시험 도구다. 사용자가 시험 범위와 목표를 정하면 AI 에이전트가 시스템을 살피고 작업을 수행하며, 보안 점검에 쓰일 수 있는 동시에 공격에 악용된 사례도 보고됐다.

도구는 목표에 맞춰 작업을 나누고 여러 에이전트가 정찰과 실행을 이어가는 구조다. 따라서 관리 콘솔을 외부에 공개하지 않아도 운영할 수 있지만, 센시스는 조사한 콘솔들이 인터넷에서 접근 가능했다고 설명했다.

센시스는 공개된 콘솔을 모두 악의적으로 운영한다고 볼 수는 없으며, 허가받은 보안 시험에 쓰이는 사례도 있을 수 있다고 밝혔다. 다만 콘솔을 인터넷에 공개해야 할 필요는 없다고 덧붙였다.

국내 금융기관을 겨냥한 공격에서도 아텍스가 확인됐다. 크라우드스트라이크(CrowdStrike)는 9월 말부터 10월 초까지 이어진 공격과 관련해 공격자 서버의 공개 디렉터리에서 아텍스 설정 파일과 AI 도구의 작업 기록을 발견했다고 밝혔다. 크라우드스트라이크의 분석은 이 공격으로 데이터가 유출됐다고 설명했다.

센시스는 해당 서버의 공개 디렉터리가 8월 18일부터 노출돼 있었다고 밝혔다. 디렉터리에 남은 파일명에는 국내 은행 외에 결제·게임 서비스와 관련된 표적도 담겨 있었다.

본지는 앞서 금융사 7곳의 해킹 사건에서 공격자의 AI 활용 정황이 포착됐다고 보도했다. 센시스의 이번 조사는 그 공격에 쓰인 것으로 지목된 서버가 공격 분석이 공개되기 전부터 인터넷에 노출돼 있었음을 보여준다.

아텍스는 국내 금융기관 공격 외에 커넥트와이즈(ConnectWise) 관련 침해에서도 사용됐다. 마이크로소프트($MSFT)는 10월 21일 분석에서 중국 연계 행위자 Storm-0940이 커넥트와이즈 클라우드 백업 공급망 침해 과정에서 아텍스로 표적을 탐색하고 암호 대입을 자동화했다고 밝혔다. 마이크로소프트의 분석에 따르면 일부 공격에서는 최초 표적 지정부터 클라우드의 높은 권한을 얻기까지 3시간이 걸리지 않았다.

아텍스 개발자는 10월 8일 공개 개발을 중단하고 이후 소스코드를 공개하지 않겠다고 밝혔다. 센시스는 원래 저장소가 내려간 뒤에도 코드 보관본과 번역본, 다른 이름으로 배포된 버전이 유통되고 있다고 전했다.