요약

  • APNIC은 허니팟에 SSH로 로그인한 뒤 같은 한 줄 명령을 실행한 출발지 IP 2,621개를 기록했다. 명령은 기존 ~/.ssh를 삭제하고 authorized_keys에 공격자 키를 기록한 다음 권한을 설정했다.
  • 키가 설치되면 비밀번호는 더 이상 필요하지 않다. APNIC은 SHA-256 지문을 공개하고, 그 키가 authorized_keys에 있는 서버는 침해된 상태라고 밝혔다.

비밀번호를 바꾼 뒤에도 누군가 다시 들어온다면, 문 옆에 남은 열쇠부터 확인해야 한다. APNIC의 새 허니넷 보고서는 로그인 성공 다음에 벌어진 일을 기록했다.

2026년 9월 21일부터 27일까지 APNIC은 SSH 로그인 후 같은 명령을 실행한 출발지 IP 2,621개를 관측했다. 명령은 기존 ~/.ssh 디렉터리를 지우고 공격자 키를 authorized_keys에 기록한 뒤 권한을 설정한다. APNIC 설명대로라면 키가 놓인 순간 비밀번호는 더 이상 접근에 필요하지 않다.

계정의 신뢰 목록이 바뀐다. 먼저 .ssh 디렉터리를 삭제한 뒤 새 키를 쓴다. 최초 세션 뒤에 운영자가 승인한 적 없는 공개키가 다음 접속을 맡는다.

APNIC은 허니넷에서 포착한 키의 SHA-256 지문 SHA256:MkYY9qiVsFGBC5WkjoClCkwEFW5iSjcGQF7m4n4H7Cw를 공개했다. 키 주석은 mdrfckr로 끝난다. APNIC의 운영 지침은 분명하다. 이 키가 서버의 authorized_keys에서 발견되면 해당 서버는 침해된 상태다.

9월 21일부터 27일까지 9,669개 출발지 IP가 SSH 로그인을 시도했고, 2,621개가 로그인 뒤 명령을 실행했다. APNIC은 별도로 센서에 파일을 남긴 IP 8,797개와 그 결과물인 파일 506종을 집계했다. 두 IP 집합의 교집합 수치는 보고서에 없다. 각 측정은 따로 읽어야 한다.

비밀번호와 공개키는 별도의 접근 경로다. 비밀번호를 바꿔도 authorized_keys에 남은 승인 키는 계속 유효하다. 서버가 공개키 로그인을 받는 동안 그 키는 독립적인 출입 허가로 작동한다.

대응은 지문 검색부터 시작한다. 모든 authorized_keys에서 지문을 찾고 ~/.ssh의 예기치 않은 변경을 살핀다. 키가 발견되면 APNIC 기준으로 서버는 침해된 상태다. 승인되지 않은 키를 제거하고 로그인 뒤의 변경을 조사한 다음 신뢰할 수 있는 기록에서 정당한 키를 복원하고 노출된 비밀번호도 교체한다.

APNIC 허니넷은 SSH, Telnet, Windows 등 여러 서비스를 흉내 낸다. 여기서 결정적인 장면은 로그인 한 번이 운영자가 발급하지 않은 새 자격 증명으로 이어지는 순간이다.

출처: APNIC의 1주일 허니넷 보고서.