'워너크라이' 본뜬 웜 방식 공격
취약점 MS 모든 버전 윈도 해당
네트워크망 스스로 돌아다니며
악성코드 피해 급속히 확산
"배후·목적 판단하기 힘들어"
취약점 MS 모든 버전 윈도 해당
네트워크망 스스로 돌아다니며
악성코드 피해 급속히 확산
"배후·목적 판단하기 힘들어"
'페트야' 랜섬웨어 전세계 확산
유럽을 강타한 '페트야(Petya)' 랜섬웨어는 최근 전 세계 150여개국 약 30만대 PC를 감염시킨 '워너크라이'를 본뜬 모방 사이버 공격이란 분석이다.
지난 27일(현지시각) 미국·유럽 등 서구를 중심으로 발생한 페트야 공격은 컴퓨터의 부팅 관련 파일 및 이용자 파일을 암호화해 장애를 유발시켰다. 보안업계에 따르면 우크라이나를 시작으로 유럽과 미국에서 공격을 진행 중인 페트야는 워너크라이와 마찬가지로 마이크로소프트(MS) 윈도 운영체제(OS)의 SMB(파일공유) 프로토콜 취약점을 파고들어 PC를 감염시킨 뒤 300달러(34만원) 상당의 비트코인(가상화폐)을 요구하는 것으로 드러났다.
윈도 SMB 취약점은 최신 윈도10을 비롯해 모든 버전 윈도에 해당한다. 이동근 한국인터넷진흥원(KISA) 침해사고분석단장은 "현재까지 파악된 것은 워너크라이에서 사용된 MS SMB의 메커니즘을 그대로 활용한 것"이라면서 "그러나 워너크라이처럼 단순히 데이터를 암호화하는 것을 넘어 부팅영역인 마스터부트레코드(MBR)까지 암호화한다"고 말했다.
이번 페트야의 특징 중 하나는 SMB 취약점을 활용한 악성코드가 내부에 연결된 네크워크망을 스스로 돌아다니며 피해를 급속히 확산시킨다는 것이다. 윤광택 시만텍코리아 최고기술경영자(CTO)는 "현재까지 배후가 누구인지 어떤 목적인지는 판단하기 힘들지만 페트야에서 가장 주목해야 할 점은 워너크라이와 동일하게 SMB 취약점을 이용한 웜 방식"이라면서 "전파력과 파괴력이 큰 만큼 앞으로 대부분의 랜섬웨어 공격은 SMB 취약점을 통한 웜 전파 방식을 모방해 일어날 것"이라고 내다봤다.
러시아 보안업체 카스퍼스키랩은 이번 랜섬웨어는 이전에는 보고되지 않은 새로운 유형으로 분석했다. 이창훈 카스퍼스키랩코리아 지사장은 "페트야는 다양한 공격 벡터가 포함된 복잡한 형태인 것으로 보인다"면서 "이터널블루(Eternal Blue) 익스플로잇의 변형 버전이 네트워크 감염에 활용된 것을 확인했다"고 전했다. 이터널블루는 원래 미국국가안보국(NSA)이 윈도의 취약점을 활용해 만든 해킹 도구로, 지난 4월 해커 조직 섀도 브로커스(Shadow Brokers)가 훔쳐 인터넷상에 공개했다.
특히 보안업계는 페트야가 확산을 저지하는 '킬스위치(kill switch)'가 없는 새로운 변종의 강력한 악성코드로 파악하고 있다. 따라서 이번 공격이 수개월에 걸쳐 진행될 수 있다는 우려가 제기된다. 또 이번 공격의 피해가 러시아와 우크라이나 등에 집중된 이유는 윈도XP 구 버전 사용 비중이 높기 때문이란 분석이다.
한편 지난달 워너크라이 공격 당시 이미 많은 사용자가 PC에 최신 윈도 보안 패치를 설치했기 때문에 피해 확산은 지켜봐야 한다는 시각도 있다. 이날 오후 8시 기준 한국인터넷진흥원에 공식 접수된 랜섬웨어 피해는 없는 상황이다.
이경탁기자 kt87@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
