파이어아이 “랜섬웨어 ‘워너크라이’ 유포방식 바꿀 가능성 있어”

송고 2017.05.16 16:10 | 수정 2017.05.16 16:10
김언한 기자 (unhankim@ebn.co.kr)

다양한 방식 랜섬웨어 출현 예고

윈도우 SMB 취약점 악용

파이어아이는 랜섬웨어 ‘워너크라이(WannaCry)’ 공격이 급속히 진행되고 있는 가운데 위험 관리가 필요하다고 16일 밝혔다.

워너크라이(일명 WCry, WanaCryptor) 멀웨어는 자체적으로 확산되는 랜섬웨어로 마이크로소프트 서버 메시지 블록(SMB) 프로토콜의 취약점을 악용한다. 공공 인터넷과 내부 네트워크를 통해 확산된다.

데이터 파일들의 확장자를 ‘.WCRY’로 암호화하고 이 파일들의 복호화를 댓가로 300~600달러(비트코인)를 요구한다.

워너크라이 공격과 관련된 악성 바이너리는 서로 다른 두 개의 요소로 구성된다. 하나는 랜섬웨어 기능을 제공하며, 지난 12일 이전에 보고된 바 있는 워너크라이 멀웨어 샘플과 유사하게 행동한다. 다른 하나는 확산에 사용되며 스캐닝과 SMB 취약점 악용 기능들을 활성화하는 역할을 한다.

워너크라이는 윈도우의 SMB 취약성을 악용하여 확산된다. 이러한 확산 메커니즘은 감염된 네트워크에서 내부적으로는 물론 공공 인터넷을 통해 멀웨어를 유포할 수 있다. 사용된 익스플로잇(exploit)은 이터널블루(EternalBlue)라는 코드명으로 섀도우브로커(ShadowBrokers)가 유출했다.

또 워너크라이는 두 가지 스레드로 증식한다. 첫 번째 스레드는 네트워크 어댑터들을 나열해 시스템이 어떤 서브넷에 위치해 있는지를 판단한다.

그 후 멀웨어는 그 서브넷의 각 IP에 대해 스레드를 생성한다. 이 스레드는 TCP 포트 445의 IP에 연결을 시도하며 성공하면 시스템 악용을 시도한다.

취약성 악용에 대응해 마이크로소프트는 워너크라이에 대응한 위험 관리 단계를 제공했다. 워너크라이 랜섬웨어가 주로 SMB 취약점을 악용해 확산되고 있지만, 주 공격자들이 다른 유포 방식을 사용할 가능성도 배제할 수는 없다.

지금까지 식별된 각 워너크라이 변종(웜과 유사한 기능 실행)에는 여러 보안 연구자들이 멀웨어의 파일 암호화 방지에 사용했던 킬스위치(killswitch)가 포함돼있다. 그러나 새로운 도메인을 가진 다양한 변종이 등장한 것으로 미뤄 공격자들은 이 기능을 제거 또는 수정할 수 있는 것으로 파악된다.

전수홍 파이어아이코리아 지사장은 “이번 랜섬웨어 사태는 시스템을 최신상태로 업데이트하는 것이 얼마나 중요한지를 보여주는 사례”라며 “랜섬웨어 공격 방어를 위해서는 마이크로소프트 보안 업데이트를 최신 버전으로 설치하는 것을 권장한다. 만약 업데이트가 불가능할 경우, 시스템을 인터넷 연결로부터 차단하는 조치를 취한 후 다른 보안 컨트롤을 실행하는 것이 중요하다”고 당부했다.

USD$	1,331.0	▼4.3
EUR€	1,479.6	▼0
JPY¥	934.5	▲12.7
CNH¥	187.2	▼0.4

파이어아이 “랜섬웨어 ‘워너크라이’ 유포방식 바꿀 가능성 있어”

관련기사

전체 댓글 0

매매기준율