단일 시스템 침투가 전체 인프라 붕괴로 이어지는 치명적인 권한 상승 버그
백신 설치가 어려운 산업 제어 환경의 특수성 노린 맞춤형 위협 증가 추세

[보안뉴스 김형근 기자] 산업 현장에서 널리 쓰이는 ‘CODESYS Control 런타임’ 플랫폼에서 관리자 권한을 탈취할 수 있는 보안 결함이 발견됐다.


CODESYS는 일반 산업용 PC나 임베디드 장치를 IEC 61131-3 표준을 따르는 고성능 PLC(Programmable Logic Controller)로 변환해 주는 소프트웨어다. 수자원 처리 시설이나 발전망 시스템, 자동화 제조 공정 등 다양한 산업 분야에서 쓰이는데, 제어권이 넘어가면 단순 침해사고를 넘어 정전이나 폭발 등 물리적 재난으로 이어질 수 있다.

노조미 네트웍스에 따르면 공격자들은 단일 취약점을 노리는 대신, 발견된 여러 보안 결함을 엮어(Chaining) 정상적인 제어 애플리케이션을 백도어 버전으로 교체하는 수법을 구사했다.

공격의 시작은 권한 탈취다. 해커들은 불충분한 파일 권한 설정 취약점(CVE-2025-41658)을 통해 로컬 사용자의 비밀번호 해시를 추출해 시스템에 침투한다. 내부 접속에 성공하면 인증서 관련 취약점(CVE-2025-41659)으로 암호화 키 데이터에 접근해 플랫폼의 코드 서명과 암호화 체계를 무력화한다.

이후 악성코드를 주입한 바이너리에 재서명하고, 자원 전송 과정의 취약점(CVE-2025-41660)을 이용해 변조된 부팅 애플리케이션을 시스템에 업로드한다. 이후 애플리케이션이 재시작되거나 시스템이 재부팅되면 주입된 백도어가 루트 권한으로 실행되며, 시스템을 장악하는 방식이다.

이러한 다단계 침투 시나리오는 폐쇄망으로 운영되는 OT/ICS 시스템이더라도 초기 접속 권한만 탈취하면 내부망에서의 측면 이동과 권한 상승을 통해 시스템 전체를 장악할 수 있음을 보여준다.

문제가 불거지자 CODESYS는 해당 취약점을 해결한 런타임 4.21.0.0 버전 및 툴킷 3.5.22.0 버전을 공식 출시했다. 또, 추가적인 변조 공격을 막기 위해 모든 PLC 코드 배포 및 실행 전 코드 서명을 기본으로 의무화하는 보안 정책을 도입했다.

노조미 네트웍스는 현장의 보안 관리자들이 제공된 업데이트를 즉시 적용해야 한다고 강력히 권고했다. 아울러 네트워크 세분화를 통해 공격 표면을 줄이고, 이상 징후를 식별할 수 있는 실시간 트래픽 감시 체계를 한층 강화할 것을 당부했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>