피플소프트 서버 공격 재개…문자 인코딩으로 특정 경로 차단 규칙 우회

구글 맨디언트와 위협인텔리전스그룹은 ShinyHunters와 연계된 공격자가 오라클 피플소프트 취약점의 대규모 악용을 재개했다고 밝혔다. 문제의 CVE-2026-35273은 로그인 절차 없이 원격에서 코드를 실행할 수 있는 결함이며, CVSS 점수는 9.8로 평가됐다. 오라클은 제로데이 악용이 확인된 뒤 이 결함을 수정했다. 구글은 이 행위자를 UNC6240으로 추적한다.

차단 규칙과 서버가 요청을 다르게 읽었다

공격자는 경로의 P를 퍼센트 인코딩 값인 %50으로 바꿔 /%50SEMHUB/ 형태로 요청을 보냈다. 이렇게 하면 /PSEMHUB/ 문자열을 막도록 설정된 규칙에 걸리지 않는다. 다수의 웹 애플리케이션 방화벽과 리버스 프록시는 디코딩 전 경로를 규칙과 비교한다. 반면 피플소프트 애플리케이션 서버는 요청을 디코딩한 뒤 취약한 서블릿으로 넘긴다. 차단 지점과 처리 지점의 해석이 어긋난 셈이다. 구글은 공격자가 다른 퍼센트 인코딩이나 대소문자 혼용 변형을 쓸 수 있다고 경고했다.

정찰에서 웹셸·백도어로

본격 악용에 앞서 공격자는 /%50SEMHUB/hub로 직렬화된 자바 객체를 담은 POST 요청을 5~15회 보내 대상 운영체제 정보를 확인했다. 이 단계에서는 파일 기록이나 서비스 방해가 없었다. 이어 공격자는 PSEMHUB 허브 서블릿의 자바 역직렬화 처리를 악용해 메모리에서 명령을 실행하거나 웹셸을 배포했다. 배포된 웹셸은 명령 실행용 x.jsp와 대용량 파일 업로드용 u.jsp로, PSEMHUB.war 디렉터리에 놓였다.

윈도 서버에서는 u.jsp로 Ple64.exe를 올렸다. 이 파일은 서명된 Light Alloy 미디어플레이어 설치파일로 위장해 SIDEEYE 백도어를 메모리에서 구동했다. SIDEEYE는 C++로 작성됐고 외부 서버 162.219.30.165와 TCP로 통신하며, 브라우저와 데스크톱 애플리케이션의 자격증명을 탈취하고 프로세스·파일 관리, 대화형 리버스 셸, 리버스 프록시 기능을 수행했다. 공격자는 오픈소스 터널링 도구 Neo-reGeorg를 준비했고, 리눅스 시스템에는 정식 원격관리 도구 MeshAgent를 설치해 지속적 접근을 확보했다.

피해 범위와 점검 기준

새 공격 활동에서는 고등교육·기술·IT서비스·의료·농업·운송·정부 부문의 전 세계 수십 개 시스템에 웹셸이 배포됐다. 실행된 명령의 약 4분의 1은 root 또는 NT Authority\SYSTEM 권한으로 수행됐고, 나머지는 피플소프트나 웹로직 서비스 계정 권한이었다. 이 취약점은 제로데이 단계에서 학술기관을 상대로 악용됐다. 맨디언트는 취약 엔드포인트와 IP가 일치한 전 세계 100곳이 넘는 조직에 통보를 시작했으며, 대부분은 미국에 있었다.

맨디언트는 CVE-2026-35273 보안 업데이트 적용을 권고했다. 다중 서버 구성에서는 환경관리허브 서비스를 비활성화하고, 단일 서버 구성에서는 PSEMHUB 애플리케이션을 제거하라는 방안도 제시했다. 업데이트나 환경관리허브 비활성화가 당장 어려운 조직에는 /PSEMHUB/* 경로의 외부 접근 차단이 앞서 권고됐다.

점검 항목으로는 웹로직 접근 로그에서 /PSEMHUB/와 인코딩 변형 요청을 찾고, PSEMHUB.war 디렉터리의 JSP 파일을 확인하는 절차가 제시됐다. 피플소프트 서비스 계정이 읽을 수 있는 자격증명 교체, 임시·웹 접근 경로의 대용량 압축파일 탐색, 인사·급여·학생 기록 테이블의 대량 조회·내보내기 감사로그 검토, 피플소프트 호스트의 외부 통신 감시도 함께 제시됐다.