2026년 3분기 리눅스 SSH 서버 대상 악성코드 통계 보고서
내용
AhnLab SEcurity intelligence Center(ASEC)은 허니팟을 통해 부적절하게 관리되는 리눅스 SSH 서버를 대상으로 한 공격 로그를 수집했다. 본 보고서는 2026년 3분기에 확인된 공격지(Attack Source)와 그 공격지에서 수행된 공격, 그리고 사용된 악성코드를 분류해 통계를 정리한 내용이다.
목적 및 범위
보고서는 스캐닝 이후 실제 악성코드 설치까지 이어진 사례를 중심으로 정리했다. 대상은 무차별 대입 공격(Brute Forcing), 사전 공격(Dictionary Attack), 일부 취약점 공격을 통해 접근이 이뤄진 리눅스 SSH 서버이다.
공격 사례
2026년 3분기에는 ShellBot과 백도어 악성코드 Fisieredoor가 사용된 사례가 확인됐다. 공격자는 로그인 성공 후 wget 또는 curl로 ShellBot을 내려받아 실행했고, 이후 다운로더를 통해 유저 모드 루트킷, XHide, XMRig를 설치한 것으로 보인다.
ShellBot은 PerlBot이라고도 불리며 Perl로 개발된 DDoS Bot이다. C&C 정보로는 103.157.217[.]38과 128.199.127[.]217이 확인됐다. 지원 기능에는 @portscan, @udp, @conback이 포함됐다.
런처 악성코드 x는 유저 모드 루트킷 libSSL2.3.0.so를 /etc/ld.so.preload를 이용해 동작시키고, XHide h64(프로세스 이름을 변경하는 도구)로 -bash처럼 위장해 실행해 XMRig를 구동했다. 채굴에는 “ALIENSrootX” 사용자가 사용됐다.
Fisieredoor는 내부 문자열 Fisiere를 참고해 분류된 백도어이다. 명령 실행 외에도 SSH 사전 공격 도구를 설치할 수 있으며, down_all 명령으로 ts.tgz를 내려받아 goauto와 tsm 계열 도구를 실행했다. tsm은 i 파일에서 대상 목록을, p 파일에서 ID/PW를 읽어 로그인 시도를 수행한 뒤 성공하면 uname -a를 실행하고 결과와 인증 정보를 C&C 서버로 전송했다.
결론
리눅스 SSH 서버 대상 공격은 취약한 계정 정보에 대한 무차별 대입 공격과 사전 공격이 핵심이며, 패치되지 않은 시스템을 노린 취약점 공격도 존재했다. 계정 비밀번호를 추측하기 어렵게 설정하고 주기적으로 변경하며, 최신 패치를 적용하고, 외부 공개 SSH 서버에는 방화벽 등으로 접근을 통제해야 한다. ASEC은 리눅스 SSH 허니팟으로 공격지 주소를 실시간 수집하고 있으며, 확인된 주소는 AhnLab TIP를 통해 제공 중이다.
