ASUS 공유기 해킹 확인
SSH 백도어·AiCloud 점검 순서
ASUS 공유기 관리 화면에서 SSH가 켜져 있고 포트 번호가 53282로 되어 있다면, 내가 켠 설정이 아닐 가능성이 높습니다. 이 백도어는 펌웨어를 최신으로 올려도 그대로 남기 때문에, 업데이트만 하고 안심하면 안 됩니다.
보안 업체 GreyNoise는 2025년 ASUS 공유기 수천 대에 공격자가 SSH 접속 열쇠를 심어 둔 사례(AyySSHush)를 공개했습니다. 이 설정은 공유기 저장 공간(NVRAM)에 들어가 재부팅·펌웨어 업데이트 뒤에도 남는다고 밝혔습니다. 같은 해 말에는 AiCloud 기능을 통한 'WrtHug' 공격이 약 5만 대 규모로 보고됐고, 일본 JVN은 2026년 1월 AiCloud 취약점(CVE-2025-2492)을 다시 공지했습니다.
아래에서 내 공유기가 대상인지 → 관리 화면에서 볼 세 곳 → 이미 뚫렸을 때 → 업데이트가 끊긴 모델이라면 순서로 확인합니다. ASUS 관리 화면 메뉴 이름은 펌웨어 버전과 한글·영문 표시에 따라 조금 다를 수 있습니다.
1. 우리 집 ASUS 공유기도 해당되는지 먼저 보세요
보고된 공격은 주로 인터넷 쪽으로 관리 기능이 열려 있던 공유기를 노렸습니다. 아래 표에서 내 공유기에 해당하는 줄이 있는지 보세요.
| 조건 | 위험도 | 이유 |
|---|---|---|
| AiCloud를 켜 둔 적 있음 | 높음 | WrtHug와 CVE-2025-2492의 진입 경로 |
| 외부(WAN)에서 관리 화면 접속 허용 | 높음 | 원격 로그인 공격 대상 |
| 펌웨어를 1년 넘게 안 올림 | 높음 | 알려진 취약점이 그대로 남음 |
| 원격 기능을 모두 끄고 최신 펌웨어 유지 | 낮음 | 보고된 공격 경로가 막힘 |
JVN 공지에 따르면 AiCloud 취약점이 있는 펌웨어 계열은 3.0.0.4_382, 3.0.0.4_386, 3.0.0.4_388, 3.0.0.6_102이고, 해결 방법은 최신 펌웨어 업데이트입니다. 내 펌웨어 버전은 관리 화면 첫 페이지 위쪽에서 확인할 수 있습니다.
2. 관리 화면에서 이 세 곳만 확인하면 됩니다
① SSH 설정
관리(Administration) > 시스템에서 SSH 사용 여부와 포트를 봅니다. 직접 켠 적이 없는데 켜져 있거나 포트가 53282라면 의심 신호입니다.
② 등록된 키(Authorized Keys)
같은 화면의 인증 키 칸에 내가 넣지 않은 ssh-rsa 키가 들어 있는지 봅니다. GreyNoise가 공개한 공격자 키는 'AAAAB3NzaC1yc2EAAAABIwAAAQEAo41n'으로 시작합니다.
③ AiCloud와 원격 접속
AiCloud 메뉴가 켜져 있는지, 시스템 화면의 WAN 웹 접속(원격 관리)이 켜져 있는지 봅니다. 쓰지 않는다면 끕니다.
세 곳 모두 깨끗하고 원격 기능이 꺼져 있다면 펌웨어만 최신으로 올리면 됩니다. 하나라도 의심스럽다면 다음 섹션으로 넘어가세요.
3. 업데이트했는데 왜 아직 위험한가요
이번 공격이 까다로운 이유가 여기 있습니다. 공격자는 공유기 자체 설정 기능으로 SSH와 키를 넣었기 때문에, 펌웨어를 새로 올려도 그 설정은 지워지지 않습니다. GreyNoise는 펌웨어 업데이트로 백도어가 제거되지 않는다고 분명히 적었습니다. 그래서 취약점이 고쳐진 펌웨어를 쓰는 공유기에도 백도어는 남아 있을 수 있습니다.
① 인터넷 선 뽑기
의심되면 먼저 모뎀과 공유기 사이 선을 뽑아 바깥 접속을 끊습니다.
② SSH 끄고 키 삭제
SSH를 사용 안 함으로 바꾸고 인증 키 칸을 비운 뒤 저장합니다.
③ 펌웨어 최신으로
ASUS 지원 페이지에서 모델명으로 최신 펌웨어를 받아 올립니다.
④ 확신이 없으면 공장 초기화
설정이 저장 공간에 남는 공격이므로, 확실히 하려면 공장 초기화 후 백업 파일을 쓰지 말고 손으로 다시 설정합니다.
⑤ 비밀번호 모두 교체
관리자 비밀번호와 와이파이 비밀번호를 새것으로 바꿉니다.
초기화 뒤 예전 설정 백업 파일을 그대로 불러오면 심어진 설정까지 되살아날 수 있습니다. 번거롭더라도 와이파이 이름·비밀번호·포트포워딩 정도는 직접 다시 넣는 편이 안전합니다.
4. 업데이트가 끊긴 모델을 계속 써야 한다면
ASUS는 더 이상 업데이트를 받지 못하는 모델이라면 인터넷 쪽으로 열린 기능을 모두 끄라고 권합니다.
| 끌 기능 | 대신 쓸 방법 |
|---|---|
| AiCloud | 파일 공유는 클라우드 서비스로 |
| WAN 원격 관리 | 관리 화면은 집 안에서만 접속 |
| DDNS·VPN 서버·포트포워딩·DMZ | 꼭 필요한 기기만 남기고 정리 |
| FTP·포트 트리거 | 쓰지 않으면 끄기 |
CCTV 원격 보기 때문에 포트포워딩이나 DMZ를 꼭 써야 한다면, 그 공유기는 교체를 진지하게 검토할 때입니다. CCTV 쪽 설정 점검은 CCTV 해킹 예방 수칙 글에 정리돼 있습니다. 지금 할 일은 하나입니다. 오늘 ASUS 관리 화면의 시스템 메뉴를 열어 SSH가 꺼져 있는지만 확인하세요.
자주 하는 질문
Q1. 공유기를 껐다 켜면 백도어가 사라지나요?
아닙니다. 설정이 공유기 저장 공간에 남기 때문에 재부팅이나 펌웨어 업데이트로는 지워지지 않습니다. SSH를 끄고 키를 지우거나 공장 초기화를 해야 합니다.
Q2. ipTIME 등 다른 공유기도 같은 공격을 받나요?
이번에 보고된 두 공격은 ASUS 공유기를 대상으로 했습니다. 다만 원격 관리를 열어 두고 펌웨어를 방치하는 위험은 다른 제조사도 같으므로 같은 원칙으로 점검하면 됩니다.
Q3. 해킹되면 어떤 피해가 있나요?
보고된 사례에서는 공격자가 공유기를 원격으로 조종할 수 있는 상태로 만들어 두었습니다. 이런 공유기는 다른 공격의 중계 거점으로 쓰일 수 있어, 내 인터넷이 범죄에 이용될 위험이 있습니다.
Q4. 내 모델이 업데이트가 끊겼는지 어떻게 아나요?
ASUS 지원 페이지에서 모델명을 검색해 마지막 펌웨어 날짜를 보세요. 오랫동안 새 버전이 없다면 지원 종료 모델일 가능성이 큽니다.
관련기관 공식 홈페이지
마무리
ASUS 공유기 해킹 확인은 SSH 포트·등록 키·AiCloud 세 곳만 보면 됩니다.
의심 흔적이 있으면 업데이트만으로 끝내지 말고, 키 삭제나 공장 초기화까지 마치고 비밀번호를 바꾸세요.
