워너크라이

워너크라이(WannaCry, WannaCrypt, WanaCrypt0r)는 2017년 5월 12일부터 전 세계로 퍼진 랜섬웨어로, 윈도우의 SMB 버전 1 취약점을 이용해 사용자가 아무것도 열지 않아도 네트워크로 스스로 퍼지는 웜 기능을 가졌다.

개요

워너크라이는 감염된 컴퓨터의 문서·사진·데이터베이스 같은 파일을 암호화하고 확장자를 .WNCRY 로 바꾼 뒤, 복호화하는 대가로 비트코인(처음 300달러, 3일이 지나면 600달러)을 요구했다. 며칠 사이에 150개 가까운 나라의 컴퓨터 20만 대 이상이 감염되었고, 영국 국민보건서비스(NHS) 병원, 독일 철도, 자동차 공장 같은 곳의 업무가 멈췄다. 국내에서도 극장 광고 서버, 일부 기업 PC 등에 감염 신고가 들어왔다.

전파 방식

윈도우 SMBv1 원격 코드 실행 취약점(MS17-010, CVE-2017-0144)을 이용했다. 이 취약점을 노리는 공격 도구 이터널블루(EternalBlue)는 미국 국가안보국(NSA)에서 유출되어 2017년 4월 섀도 브로커스(Shadow Brokers)라는 집단이 공개한 것이다
감염된 PC 는 같은 네트워크와 인터넷의 임의 IP 에 TCP 445 포트로 접속을 시도해, 패치하지 않은 윈도우 PC 를 찾으면 바로 감염시킨다. 메일 첨부 파일을 열거나 링크를 누르지 않아도 퍼진다는 점이 다른 랜섬웨어와 달랐다
리눅스·유닉스의 원격 접속 프로토콜(SSH·텔넷 등)을 이용한 것이 아니다. 공격 대상은 윈도우(특히 지원이 끝난 윈도우 XP·서버 2003 과 패치하지 않은 윈도우 7)다
마이크로소프트는 2017년 3월 보안 업데이트로 이 취약점을 고쳤고, 확산 직후에는 지원이 끝난 윈도우 XP 용 패치도 이례적으로 내놓았다

킬 스위치

악성코드는 실행할 때 등록되지 않은 특정 도메인에 접속해 보고, 접속이 되면 활동을 멈추게 되어 있었다. 한 보안 연구자가 그 도메인을 등록하자 새로 감염된 PC 가 암호화를 멈추면서 첫 확산이 크게 꺾였다. 그 뒤 킬 스위치를 뺀 변종이 나왔다.

대응

윈도우 보안 업데이트(MS17-010)를 적용한다
쓰지 않는 SMBv1 을 끈다. SMB 1.0 은 취약점이 많아 사용 중지가 권고된다 → 서버 메시지 블록
인터넷과 맞닿은 방화벽에서 TCP 445(및 139) 포트를 막는다
감염된 PC 는 곧바로 네트워크에서 분리해 확산을 막는다. 복구는 깨끗한 백업으로 한다 → 랜섬웨어

영향

2017년 6월의 페트야 변종(NotPetya)도 같은 이터널블루 취약점으로 퍼졌다
미국·영국 정부는 2017년 12월 워너크라이의 배후로 북한과 연계된 해킹 조직 라자루스(Lazarus)를 지목했다
몸값을 비트코인 같은 가상 자산으로 받는 방식과 웜처럼 스스로 퍼지는 방식이 함께 쓰인 사례로, 그 뒤 기업의 패치 관리와 SMB 노출 점검이 강화되는 계기가 되었다

같이 보기