SK텔레콤 유심 해킹 사건 분석

조사단 및 보안업계에 따르면, 해커들은 SK텔레콤 내부망에 접근하기 위해 VPN(Virtual Private Network) 시스템의 보안 취약점을 노린 것으로 추정됩니다. 국내 언론 보도에 따르면, 대만 사이버보안업체 TeamT5는 "중국과 연계된 해커 그룹이 Ivanti사의 VPN 장비 취약점을 악용해 여러 기관을 공격했다"는 정보를 공개했고, SKT 해킹 역시 이러한 이반티(Ivanti) VPN 취약점과 관련되었을 가능성이 제기되었습니다.

구체적으로는, Ivanti Connect Secure⁴라는 SSL VPN 솔루션에서 2025년 초에 보고된 취약점(CVE-2025-0282, CVE-2025-22457 등)이 SKT 해킹의 초기 침입 경로로 거론되었습니다. 공격자는 해당 VPN 장비의 제로데이/엔데이 취약점을 통해 SKT 내부망에 원격으로 침투한 후, 리눅스 서버에 악성코드 설치 권한을 획득한 것으로 보입니다. TeamT5는 "2025년 4월 이후 Ivanti VPN 기기를 대상으로 한 공격 시도가 관찰되었으며, 다수의 장비가 마비되어 악성코드 삽입이 가능해졌다"고 밝힌 바 있습니다.

SK텔레콤 측도 조사 중 다양한 가능성을 열어두고 VPN 취약점 연관성을 확인하고 있으나, 공식적으로는 "조사 중인 사항이라 구체적 확인이 어렵다"며 언급을 자제했습니다. 하지만 4월 18일 SKT 보안관제센터가 처음 이상 트래픽을 탐지한 장소가 과금 분석용 리눅스 서버였고, 이 서버가 외부와 연결되는 VPN 경로에 위치했던 점 등을 고려하면, VPN 취약점→리눅스 서버 악성코드 심기→내부망 장악의 흐름이 유력해 보입니다.

실제로 SKT는 조사 과정에서 자사 VPN 장비가 어느 제조사 제품인지를 명확히 밝히지 않았으나, 공격 정황 상 리눅스 기반 VPN 서버가 공격 통로였을 가능성이 높습니다. 또 다른 가설로는 내부자 계정 탈취나 관리자 권한 오남용 등이 있으나, 현재까지 공개된 정황은 외부 침입에 무게가 실립니다.

요약하면, 초기 침투 경로는 공격자가 SKT의 경계 보안을 뚫기 위해 VPN 솔루션의 알려지지 않은 취약점을 악용했고, 이를 통해 내부 망 진입 및 리눅스 서버 접근 권한 획득에 성공한 것으로 판단됩니다. 이 점은 과거 다른 통신사 해킹 사례에서도 공통으로 나타나는 수법으로 (예: 2023년 LG U+ 해킹 때도 VPN 계정 탈취 의혹), 기업 원격접속 장비의 보안취약 관리가 얼마나 중요한지 일깨워줍니다.

민관 합동조사단의 2차 조사에서 가장 주목받고 있는 침투 방안은 웹셸을 통한 공격입니다. 조사단은 BPF도어 외에도 웹셸 악성코드 1종을 추가로 발견했으며, 이것이 2022년 6월 최초 공격의 핵심 수단이었을 것으로 추정하고 있습니다. 웹셸은 웹 서버의 취약점을 이용해 공격자가 원격에서 서버를 제어하고 명령을 실행할 수 있도록 만든 악성 스크립트 파일로, 해커가 SKT 서버를 최초 침입하는 과정에서 내부 권한을 획득하고 백도어 악성코드인 BPF도어를 설치하는 발판 역할을 했습니다.

보안 전문가들은 웹셸 공격이 망분리 환경에서도 효과적인 침투 수단이 될 수 있다고 분석합니다. 이는 "망분리 환경에서도 80/443 웹 포트는 거의 유일한 통로"이기 때문이며, DMZ에서 내부망으로 향하는 연결은 웹서비스 정도만 열려있는 경우가 많아 공격자가 웹셸·RCE를 노려 침투·측면이동하는 주요 원인이 됩니다.

웹셸 공격의 구체적인 시나리오를 보면, 공격자는 WebLogic, Tomcat, 혹은 자체 웹앱 취약점을 악용하여 HSS 관리 또는 관련 웹 서버 중 취약 버전에 침투한 후, curl -F file=@shell.jsp 같은 방식으로 웹셸을 업로드하거나 RCE 익스플로잇을 사용했을 것으로 추정됩니다.

한국인터넷진흥원(KISA)이 발견한 또 다른 중요한 침투 경로는 SAP의 '넷위버'에서 파일 업로드 취약점입니다. SAP는 전사지원관리(ERP) 전문 소프트웨어 기업으로 통합 실행 플랫폼 넷위버를 제공하며, SKT는 2000년부터 SAP의 ERP를 도입해 현재 S/4HANA라는 ERP 제품을 프라이빗 클라우드 환경에서 사용하고 있습니다.

보안 전문가들은 "SKT가 구축한 프라이빗 클라우드가 단일 포트로만 구축된 완전한 폐쇄망이 아니라면 외부 공격에 노출될 가능성이 있다"고 분석합니다. 특히 SAP의 피오리 포털은 스마트폰과 PC 등 개인 디바이스에서 접근할 수 있어 더욱 해킹에 취약합니다. 이 경우 웹 통신 규약인 HTTP 포트를 열어야 하기 때문에 해커 입장에서는 공격 표면이 추가로 확보되는 셈입니다.

KISA는 SAP코리아의 권고에 따라 4월 중 넷위버에 최신 보안 패치를 적용했으며, 넷위버는 국내에서 구형 ERP 시스템을 사용하는 일부 기업만 사용 중인 것으로 확인됩니다.

KISA는 리눅스 커널에서 발생하는 권한 상승 취약점(CVE-2025-21756)에 대한 보안 공지를 발표했는데, 이 취약점이 SKT 해킹과 연관될 가능성이 제기되고 있습니다. 이 취약점은 일반 사용자 권한만으로도 시스템 최고 권한인 '루트(root)' 접근을 가능하게 만드는 심각한 보안 결함입니다.

루트 권한을 획득한 공격자는 서버 내부를 마음껏 조작할 수 있으며, 이 상태에서는 BPF도어 같은 백도어를 설치하는 것도 어렵지 않습니다. SKT 서버에 설치된 BPF도어 역시 이 권한 상승 취약점을 활용해 심어졌을 가능성이 있으며, 업계 관계자는 "SKT 해킹은 단일 침입경로가 아닌 웹, 커널, 계정관리 등 다층 방어 체계가 동시에 무너진 시나리오를 배제할 수 없다"고 분석했습니다.

전문가들은 이번 SKT 해킹이 단일 침투 경로가 아닌 다중 벡터를 통한 복합적 공격일 가능성이 높다고 보고 있습니다. 한 업계 전문가는 "피싱 이메일과 웹서버 취약점으로 이전부터 침입한 것 같다"며 "긴 시간에 걸쳐 단계적으로 접근 권한을 높이면서 HSS에 접근 가능했을 것"이라고 분석했습니다.

보안 분석가들이 제시한 가설적 침투 시나리오를 종합하면, 공격자는 먼저 "인터넷 노출된 웹 서비스를 발판 삼아 HSS 서버에 침투하고, BPFDoor를 설치하여 장기 거점을 확보했을 개연성이 높다"고 평가됩니다. 이후 낮은 권한의 웹서버 계정(tomcat, www-data)으로 시스템 내부에 진입한 후, SUID 파일, 커널 버그, sudo misconfig 등을 악용하여 root 권한을 확보하고, 최종적으로 BPF도어를 업로드 및 실행하여 HSS DB에 접근해 자료를 탈취했을 것으로 추정됩니다.

SK텔레콤 침해사고에서 발견된 악성코드 중 가장 핵심은 "BPFDoor"로 알려진 패시브 백도어입니다. BPFDoor는 리눅스 커널의 BPF⁵(eBPF, 확장 Berkeley Packet Filter) 기능을 악용하여 거의 모든 흔적을 숨긴 채 원격에서 공격자 명령을 수신하고 제어 권한을 제공하는 특수한 악성코드입니다. 이번 사건에서도 해커는 내부망에 잠입한 후 BPFDoor를 주요 서버에 설치함으로써, 장기간 탐지되지 않고 HSS 데이터에 접근할 은신 통로를 마련했습니다.

BPFDoor 악성코드의 아키텍처 및 작동 메커니즘 다이어그램

탐지 회피 기법 및 유사 악성코드와의 비교:

이러한 특성들로 인해 BPFDoor는 "네트워크상 패킷 흔적이 0에 수렴"하는 스텔스 백도어로 평가됩니다. 2021년 PwC 보고서에서 최초 존재가 공개된 이후 중동과 아시아 지역의 통신망 공격에 중국계 APT 그룹(일명 "레드멘션")이 활발히 활용해왔으며, 2022년 소스코드 유출 이후에는 다양한 공격자가 사용할 수 있게 되었습니다. CVE 번호가 없는 악성툴(시스템 합법 기능을 악용할 뿐 특정 취약점을 이용하지 않음)이라서, 시그니처 기반 방어체계로는 탐지 곤란하다는 점도 위험도를 높입니다.

SKT 사건에서 공격자는 이 BPFDoor를 과금서버 및 HSS 서버 등에 심어놓고 원격에서 내부망에 지속 접근했을 것으로 보입니다. 실제 KISA 조사단은 4월 19일 밤 SKT 내부에서 BPFDoor 계열 악성코드 의심 경보를 이미 인지한 것으로 전해졌고, 4월 25일 KISA가 공개한 보안 공지에도 BPFDoor 관련 해시와 IOC가 포함되었습니다. 또한 SKT 내부 포렌식에서UDP 53, TCP 443 포트로 역쉘(reverse shell)이 열린 흔적이 식별되었다는 제보가 있어, BPFDoor 활동을 뒷받침합니다.

정리하면, 해커는 내부 침투 후 BPFDoor 백도어를 심어 지속적이고 은밀한 통신 채널을 확보했고, 이를 통해 HSS 서버를 원격 제어·탈취 자료 유출에 악용했습니다. BPFDoor의 존재로 미루어 공격자들은 단발성 범죄 해커라기보다 APT 형태의 전문 조직일 가능성이 큽니다. (실제로 국가 지원을 받는 중국계 그룹이 연루되었을 가능성이 거론됩니다.) BPFDoor 자체는 초기 침투를 가능케 한 취약점을 발생시킨 원인은 아니지만, 침투 후 흔적을 숨기고 권한을 유지하는 데 결정적 역할을 했습니다. 향후 이런 스텔스 백도어에 대비하려면, 메모리 상주 악성코드 탐지, 행위 기반 이상징후 탐지 (예: iptables 변조 모니터링) 등 고급 보안 모니터링 체계가 필요함을 본 사건이 보여주었습니다.

공격자는 BPFDoor 등의 툴로 내부 거점을 확보한 후, 최종 목표인 HSS(Home Subscriber Server)에 접근하여 거기 저장된 USIM 가입자 인증정보를 탈취했습니다. HSS는 LTE/5G 코어망에서 가입자 프로필(USIM 정보)을 관리하는 데이터베이스로, 가입자 식별과 인증에 필요한 거의 모든 정보(IMSI, 인증키 등)를 가지고 있습니다. 즉, 이동통신망의 핵심 신원정보 저장소라고 할 수 있습니다.

SKT의 HSS는 서울 성수동 사옥 IDC에 물리적으로 위치한 것으로 알려졌으며, 5대의 HSS 장비 중 3대가 이번 공격에 직접 피해를 입었습니다. 이는 해커가 HSS 클러스터 일부에 악성코드를 심어 DB 덤프 혹은 파일 형태로 가입자 정보를 탈취했다는 뜻입니다. 실제 확인된 바에 따르면 4월 19일 밤, 3개 HSS에서 총 9.7GB 규모의 데이터가 외부로 전송된 로그가 포착되었습니다. KISA 조사 결과 이 파일들에는 가입자별 USIM 관련 정보가 다수 포함되어 있었고, 해커가 이를 빼낸 뒤 파일 삭제 흔적까지 남겼습니다.

공격자들은 이렇게 확보한 대량의 가입자 데이터를 4월 18~19일 사이 한번에 외부로 빼내는 과정에서 트래픽 폭증을 일으켰고, 이것이 SOC(보안관제센터)에 포착된 것입니다. 18일 오후에 감지된 "장비 간 비정상 데이터 이동"이 바로 HSS→외부로의 대량 전송이었던 것이죠. SKT는 즉시 해당 구간 네트워크를 살펴 악성코드 존재를 확인하고 차단했지만, 이미 수GB의 자료가 유출된 뒤였습니다.

특이한 점은, 유출된 데이터 양(약 9.7GB) 대비 SKT 가입자 수가 2천3백만 명 수준이라는 것입니다. 단순 계산으로 가입자 1인당 수백 바이트~수 킬로바이트 수준 정보만 있다면 9.7GB는 훨씬 많은 가입자 분량을 담고 있습니다. SKT 조사단은 "가입자당 USIM 정보는 100~300KB 수준"이라고 밝혔는데, 9.7GB라면 약 3천만~1억 건 범위의 레코드에 해당합니다. 여기에는 중복이나 기타 부가 데이터가 포함되었을 가능성이 높습니다.

KISA와 조사단은 이후 해커의 행위 타임라인과 침입 지점을 포렌식으로 재구성 중이며,"정확한 악성코드 유입 시점과 경로를 확인하고 있다"고 밝혔습니다. 아직 초기 침투 시각(HSS에 악성코드가 심긴 시점)이 언제인지 공식 발표되진 않았으나, 4월 18일 이전 며칠간 혹은 수주간 잠복해 있었을 가능성도 있습니다. (APT 공격에서는 몇 개월간 잠복 후 특정일에 작전 개시하는 경우도 흔함.)

요컨대, HSS 침투 과정은 "외부 → VPN 취약점 → 내부 리눅스 서버 → 백도어 설치 → HSS 서버로 이동 → 데이터 탈취"의 단계적 Lateral Movement⁹가 이루어진 사례로 볼 수 있습니다. 해커들은 최종 목표 시스템인 HSS에 도달하기까지 다단계로 움직였고, 각 단계마다 은폐 기술을 활용하여 보안 장비의 탐지를 회피했습니다. 이러한 해킹의 전술 기법은 전형적인 APT 공격 패턴과 부합하며, 목표지향적이고, 필요한 모든 수법(취약점 익스플로잇, 백도어, 권한상승, 적응형 데이터 유출)을 동원했습니다.

이번 해킹 사고를 더 깊이 이해하기 위해 SK텔레콤의 전체적인 네트워크 구조와 HSS 서버의 위치를 살펴볼 필요가 있습니다. SK텔레콤은 국내 최대 통신사로서 4G/5G 네트워크를 포괄하는 복잡한 네트워크 인프라를 운영하고 있습니다.

SK텔레콤 모바일 네트워크 구조

LTE 네트워크 구조

SK텔레콤 LTE 네트워크 구조

5G 네트워크 구조

SK텔레콤 5G 네트워크 구조

출처: 넷마니아즈(Netmanias) - SK Telecom Network Architecture

SK텔레콤의 네트워크는 크게 무선 액세스 네트워크(RAN)와 코어 네트워크로 구분됩니다. 4G/5G 네트워크에서 HSS(Home Subscriber Server)는 코어 네트워크의 핵심 요소로, 가입자 데이터베이스 역할을 담당합니다. 특히 HSS는 EPC(Evolved Packet Core) 내에 위치하며, 삼성전자, 에릭슨 등의 장비를 사용하고 있습니다. 5G 네트워크에서는 HSS의 기능이 UDM/UDR로 진화하였습니다.

SK텔레콤의 4G/5G 네트워크 구조를 고려할 때, 이번 해킹은 단순한 시스템 침입을 넘어 통신사 코어 인프라의 가장 민감한 부분을 노린 고도의 표적 공격이었습니다. 특히 HSS 서버가 네트워크 구조상 여러 보안 레이어로 보호되어 있음에도 불구하고 침투가 가능했다는 점은, 다단계 방어(Defense-in-Depth) 전략의 중요성과 내부자 위협에 대한 대비가 필요함을 시사합니다.

이번 해킹 사태에서 공격자는 BPF 기술을 악용한 BPFDoor 악성코드를 사용했지만, 실제 Berkeley Packet Filter(BPF)와 그 확장 버전인 eBPF는 현대 리눅스 시스템의 중요한 기술적 기반입니다. 여기서는 BPF/eBPF의 동작 원리와 아키텍처, 그리고 효과적인 방어 방안을 심층적으로 살펴보겠습니다.

BPF와 eBPF 기술 자체는 네트워크 및 시스템 성능을 향상시키고 보안을 강화하는 데 중요한 도구이지만, BPFDoor와 같은 악성코드에 악용될 수 있습니다. 보안 관리자는 이러한 기술의 양면성을 이해하고, 정당한 사용을 허용하면서도 악의적인 활동을 탐지하고 차단할 수 있는 체계를 구축해야 합니다. 이러한 커널 수준의 보안 위협에 대비하기 위해서는 지속적인 모니터링과 심층 방어 전략이 필수적입니다.