알파인 SSH 취약점 악용 뒤 GT10의 Python3 설치 시도 확인

알파인 리눅스의 SSH 인증 우회 취약점을 악용한 공격자가 보안업체 그레이노이즈(GreyNoise)의 관측 서버에 침입했다. 공격 집단 GT10이 Python3를 설치하려 한 정황과 원격제어 프로그램 TAC Agent를 사용한 사실도 드러났다.

그레이노이즈는 9일 공개한 추적 자료에서 동남아시아에 둔 허니팟 서버가 GT10으로 추적 중인 집단의 침입을 받았다고 밝혔다. 허니팟은 공격 시도와 침입을 관찰하기 위해 운용하는 서버다. 그레이노이즈는 GT10이 사용한 서버에도 접근해 잠재적 피해 대상과 공격 도구에 관한 단서를 확보했다.

그레이노이즈는 GT10이 Python3가 없는 서버에 Python3를 설치하려 했으며 공격에 TAC Agent를 사용했다고 밝혔다.

TAC Agent는 셸 명령 실행과 시스템 정보 수집, 접근 유지 기능을 지원한다. 프로그램에는 중국어 주석이 있었고, 그레이노이즈는 AI를 이용해 생성한 것으로 보인다고 설명했다.

프리비디안은 자체 센서에서 취약점을 겨냥한 공격 시도 20건을 기록했다. 공격자 IP 주소는 13개였고, 주소의 위치는 9개국으로 집계됐다. 20건은 공격 시도 횟수로, 침입에 성공한 서버나 피해 조직의 수를 뜻하지 않는다.

watchTowr는 6일 봇넷과 가상자산 관련 활동에 연결된 취약점 악용을 관측했다고 밝혔다. 이는 그레이노이즈가 확인한 GT10의 관측 서버 침입과 별도로 보고된 활동이다.

문제가 된 취약점은 CVE-2026-123158로, OpenSSH가 musl과 함께 작동하는 환경에서 발생할 수 있다. OpenSSH는 SSH 원격 접속을 처리하며, 취약점은 비밀번호 확인 과정에서 나타난다.

musl은 널리 쓰이는 libc를 대체하는 리눅스 라이브러리다. PAM은 사용자 인증과 계정 접근 검사를 처리하는 모듈이다.

모든 리눅스 서버가 취약한 것은 아니다. PAM을 사용하지 않고 SSH 비밀번호 인증이 켜져 있어야 한다. /etc/shadow에 비밀번호 필드가 ‘*’인 계정과 SHA256 또는 SHA512 방식으로 해시된 비밀번호를 가진 다른 계정도 함께 있어야 한다.

공격자는 비밀번호가 설정되지 않은 계정에 256자를 넘는 비밀번호를 입력한다. OpenSSH가 입력값을 해시해 /etc/shadow에 저장된 정보와 대조하는 과정이 취약점의 발동 지점이다.

이때 musl의 비밀번호 해시 함수는 오류값 ‘'’를 반환한다. OpenSSH가 이를 저장된 ‘'’와 일치한다고 해석하면, 비밀번호가 맞지 않아야 하는 계정의 인증이 통과될 수 있다.

알파인 리눅스는 이런 구성에서 키 전용 계정도 영향을 받을 수 있다고 경고했다. 취약한 조건이 갖춰지면 공격자는 인증 없이 권한이 높은 계정에 접근할 수 있다.

본지는 앞서 알파인 리눅스 SSH 취약점의 실제 악용과 패치 권고를 전했다. 이번에 추가로 드러난 내용은 공격 집단이 관측 서버에 침입한 뒤 Python3를 설치하려 하고 TAC Agent를 공격에 사용한 정황이다.

OpenSSH는 공격을 막는 수정판을 배포했다. 알파인 리눅스는 OpenSSH 패키지를 업데이트한 뒤 SSH 서비스를 재시작하라고 안내했다. 패키지만 바꾸면 실행 중인 SSH 데몬에 수정 사항이 적용되지 않으므로, 바로 업데이트하기 어렵다면 비밀번호 인증을 끄고 서비스도 재시작하라고 권고했다.