2026년 3분기 윈도우 웹 서버 대상 악성코드 통계 보고서
내용
AhnLab SEcurity intelligence Center(ASEC)는 AhnLab Smart Defense(ASD) 로그를 바탕으로 2026년 3분기 Windows 웹 서버 공격 현황을 분석했다. 대상은 Windows 환경의 Internet Information Services(IIS) 웹 서버와 아파치 톰캣 웹 서버이며, 주로 패치되지 않은 취약점, 잘못된 설정, 부적절한 관리 환경이 공격 대상이 됐다. 공격자는 웹쉘 업로드, 원격 코드 실행 취약점 악용, 프록시 도구 사용, 권한 상승 도구 사용 등으로 서버 제어를 획득했다.
목적 및 범위
이 보고서는 2026년 3분기에 확인된 로그를 기준으로 Windows 웹 서버의 피해 현황과 공격 통계를 정리했다. 또한 공격에 사용된 악성코드를 분류하고, 웹쉘 유형과 실제 공격 사례를 함께 다뤘다. 웹쉘은 통계 분류에서 제외했으며, 주요 유형만 별도로 정리했다.
공격 사례
- Telerik UI for ASP.NET AJAX는 Microsoft ASP.NET 기반 웹 애플리케이션 개발에 사용되는 UI 컴포넌트 제품이다. CVE-2019-18935는 RadAsyncUpload의 .NET 역직렬화 취약점이며, 악용 시 IIS 웹 서버의 w3wp.exe 권한으로 원격 코드 실행이 가능하다. 본 보고서는 국내에서 관찰된 두 가지 공격 사례와 대응 방안을 정리한다.
- 첫 번째 사례에서는 취약점 악용 후 리버스 쉘을 실행하고 hostname.exe 명령으로 시스템 이름, 권한, 실행 중인 프로세스 등을 조회하였다. 이후 Potato 계열 도구를 이용한 권한 상승 시도가 확인되었고, 최종적으로 Godzilla 방식의 웹쉘이 설치되었다.
- 리버스 쉘은 Windows 소켓을 생성한 뒤 206[.]82.6.22의 80번 포트로 TCP 연결을 시도하고, 연결 성공 시 cmd.exe를 실행하는 형태였다. 이를 통해 공격자는 원격에서 명령을 전달하고 결과를 수신할 수 있었다. 감염 시스템에서는 SweetPotato를 비롯한 여러 변형된 Potato 계열 권한 상승 도구도 진단되었으며, 이 도구들은 PrintSpoofer 등의 토큰 가장 기법을 이용해 SYSTEM 권한을 획득할 수 있었다.
- 웹쉘은 Telerik 기반 ASP.NET 환경에 메모리 웹쉘을 주입하는 방식이었다. 페이로드 DLL이 로드되면 Telerik.Web.UI가 로드된 환경을 탐색한 뒤 godmemshell.dll을 메모리에 로드하고, ASP.NET의 VirtualPathProvider에 악성 요청 처리 기능을 등록하였다. 설치된 웹쉘은 HTTP 요청으로 .NET 페이로드를 전달받아 실행하는 Godzilla 방식이었다.
- 두 번째 사례에서는 CVE-2019-18935를 악용해 대상 시스템에 스캐너 파일을 생성하고 실행하였다. 이 사례에서는 리버스 쉘이나 웹쉘은 사용되지 않았고, 취약점 악용 페이로드에서도 스캐너 실행 명령만 확인되었다.
- 해당 스캐너는 원격 서버에서 검사 대상 목록을 수신한 뒤, WordPress 설치·설정 페이지로 연결되는 URL을 비동기로 탐색하는 Rust 기반 스캐너였다. WordPress가 설치된 서버로 판단되면 URL 및 공인 IP를 red.txt라는 첨부 이름으로 Telegram에 전송하였다. 검사 기준은 53개의 후보 경로에서 /wp-admin/setup-config.php 또는 /wp-admin/install.php 포함 여부를 확인하는 방식이었다.
결론
Windows 웹 서버는 외부에 공개되는 경우가 많아 다양한 공격자와 악성코드의 표적이 된다. 공격자는 웹쉘을 통해 초기 제어를 얻은 뒤 권한 상승, 프록시 활용, 원격 제어, 코인 채굴, VPN 서버화 같은 후속 행위를 이어갔다. 보고서는 웹 프레임워크와 서비스, 플랫폼을 최신 버전으로 패치하고, 방화벽 등으로 외부 노출을 줄이며, V3를 최신 상태로 유지하는 대응이 필요하다고 정리했다.
0a4be0b6c650ffdcd1c22db56f1c4aec
10f705728d228ad949b7894c1a85a2b1
177e34d9174766a1d187a0c82de4c02f
18fb4e070653fc9791e0e408d8cb1c8e
1dbfda02d74b6a7586c4430175204c28
http[:]//2[.]59[.]133[.]147[:]31338/ins[.]txt
http[:]//2[.]59[.]133[.]147[:]31338/sm[.]json
http[:]//206[.]82[.]6[.]22/
http[:]//45[.]138[.]16[.]187[:]31337/bb[.]json
http[:]//45[.]138[.]16[.]187[:]31337/cofuz[.]json
