내용

AhnLab SEcurity intelligence Center(ASEC)은 ASD 인프라로 윈도우 운영체제에 설치된 MS-SQL 서버와 MySQL 서버를 대상으로 하는 공격을 관측하고 분류했다. 이 문서는 2026년 3분기에 확인된 로그를 바탕으로 피해 현황, 공격 현황, 그리고 공격에 사용된 악성코드 유형을 정리한 보고서이다.

목적 및 범위

보고서는 MS-SQL 서버와 MySQL 서버를 대상으로 한 공격의 통계와 사용된 악성코드 분류를 다룬다. 또한 실제 공격 사례를 통해 웹쉘, 백도어, CoinMiner, VPN 도구가 함께 사용되는 양상을 설명한다. 피해 현황은 악성코드 또는 공격자에 의해 제어가 획득되고 악성코드 설치 이력이 확인된 시스템을 의미한다.

공격 사례

2026년 3분기 사례에서는 XMRig, GotoHTTP, SoftEther가 사용되었다. 공격자는 MS-SQL 서버를 대상으로 악성 명령을 실행해 추가 페이로드를 내려받았고, 웹쉘을 설치해 지속성을 유지했다. 사용된 웹쉘로는 Sharp4WebCmd(명령 실행형 ASPX 웹쉘), Suo5(터널링 기능), 파워쉘 웹쉘이 있었다. 파워쉘 웹쉘은 기본 인증 정보로 사용자 이름 “joke”를 사용했다.

또한 공격자는 암호화된 파일과 RingQ를 이용해 GotoHTTP를 메모리에서 실행했고, 백도어 계정 “MSSQLSERVERS$”, “mssql$”를 추가해 추후 RDP 원격 제어를 가능하게 하려 했다. VShell(Go 기반 백도어)도 사용되었으며, 원격 명령 실행과 파일 관리 기능을 제공했다. 공격자는 reg save HKLM\SYSTEM 명령으로 자격 증명 탈취를 시도했고, HackBrowserData(브라우저 저장 정보 탈취 도구), Fscan(내부 네트워크 스캐너), Cloudflared(로컬 포트 노출 도구)도 활용했다. 최종적으로 XMRig를 설치해 모네로 채굴을 수행했고, SoftEther VPN 서버를 Cascade Connection 방식으로 동작시켜 C&C 인프라로 활용한 정황도 확인되었다.

결론

보고서는 데이터베이스 서버 공격의 주된 원인이 취약점 악용뿐 아니라 Brute Forcing과 Dictionary Attack, 그리고 부적절한 계정 관리에 있음을 보여준다. 특히 MS-SQL과 MySQL 서버는 여러 공격자와 악성코드의 표적이 되기 쉬워 다양한 감염 흔적이 동시에 남는다. 보고서는 강력한 비밀번호 사용, 주기적 변경, 최신 패치 적용, 외부 공개 서버에 대한 방화벽과 보안 제품 적용이 필요하다고 정리했다.