150개국 30만대 감염 워너크라이
중국은 3만4000여 기관서 피해
페트야는 체르노빌 원전에 침투
선제 대응 한국, 피해 적었지만
내년 국내 타깃 해킹 발생 위험
중국은 3만4000여 기관서 피해
페트야는 체르노빌 원전에 침투
선제 대응 한국, 피해 적었지만
내년 국내 타깃 해킹 발생 위험
결산 2017 지구촌 뒤흔든 랜섬웨어
과거 해킹, 사이버 공격 등은 일반 대중의 관심과는 동떨어진 이야기였지만 올해를 기점으로 분위기가 확 바뀌었다. 지구촌을 공포로 몰아넣은 '랜섬웨어'라는 대규모 사이버 공격이 잇따라 발생했기 때문이다. 워너크라이·페트야 등의 랜섬웨어 출현으로 이제 전 세계 어디, 누가 됐든 더 이상 '보안 안전지대'는 없게 됐다.
◇세계 네트워크를 제집처럼 넘나들며 독감처럼 퍼져=2017년 5월 12일은 보안업계에 충격적인 날이었다. 이날 발생한 워너크라이는 며칠 만에 전 세계 150여 개국에서 최소 30만대 이상을 랜섬웨어에 감염시켰다. 최초 사고는 영국과 스페인 등에서 발생한 것으로 알려졌다. 영국은 잉글랜드와 스코틀랜드의 국민복건서비스(NHS) 산하 48개의 의료기관이 감염돼 진료에 차질을 빚었다. 스페인은 대형 통신업체인 텔레포니카의 내부 시스템이 감염됐다. 중국은 출입국관리소를 비롯해 각종 기업·기관 3만여 개와 대학 등 4000여 교육기관이 피해를 입었다.
러시아는 정부기관인 내무부 컴퓨터를 포함해 다수의 공공기관에서 피해가 보고됐다. 일본은 철도회사인 JR히가시니혼의 시스템이 감염돼 신칸센 예약 서비스가 중단됐고, 히타치·이온몰·카와사키 상하수도국·오사카 시청 등 다수의 기업과 기관이 피해를 입었다.
◇윈도 SMB 취약점 공격해 빠른 확산=워너크라이가 최초 발견된 것은 지난 2월이지만 5월 당시 사고에서 사용된 워너크라이의 특징은 미국 NSA(미국국가안전보장국)가 개발한 이터널블루 취약점이 해커들에 의해 유출된 후 악용된 것이다. 윈도 통신 프로토콜 중 하나인 'SMB'의 취약점을 이용해 랜섬웨어가 스스로 주변으로 자체 전파를 한 것이 전 세계로 빠르게 확산된 원인이었다.
임의의 IP를 로컬네트워크나 인터넷에 생성한 후 해당 IP 대상으로 SMB 포트에 스캔을 해 취약점이 존재할 경우 자기 자신을 복사 및 실행시키는 과정을 반복하는 방식으로 감염을 확산시킨다.
영국의 보안전문가 마커스 허친스가 워너크라이 전파를 무력화할 수 있는 '킬 스위치(작동중지기능)'를 찾아 워너크라이 확산이 잠시 주춤했으나, 다음날인 5월 14일 킬 스위치가 없는 워너크라이 2.0 버전이 등장했고 이 때문에 감염이 줄어들지 않았다.
◇한국은 극심한 피해 피해=워너크라이 랜섬웨어로 상당수 해외 정부기관 시스템과 서비스가 중단되는 등 피해가 컸지만, 상대적으로 국내에서는 심각도가 덜했다. 당시 워너크라이를 최전선에서 대응한 한국인터넷진흥원(KISA)은 국내에서 워너크라이 피해가 적었던 이유로 랜섬웨어가 발생한 환경적·시간적(주말) 요인 등을 꼽는다. 한국 기준으로 출퇴근이 없는 주말에 발생, 사전 공지와 언론 보도 등을 통해 사전에 선제적으로 대응한 것이 주효했던 것.
워너크라이에 이어 6월 발생한 동유럽발 페트야 랜섬웨어 또한 체르노빌 원전의 방사능 측정 시스템까지 감염시켰다. 킬스위치가 없고 워너크라이보다 정교한 공격 방식이었다는 평가지만, 워너크라이 사태 당시 대비했던 시스템 덕분에 국내 차단을 막을 수 있었다.
그러나 보안업계에 따르면 내년부터 가상화폐를 노리고 지능형지속위협(APT) 공격과 결합한 형태의 랜섬웨어가 국내를 타깃으로 등장할 전망이어서 안심할 수 없는 상황이다. 특히 북한 해커조직의 랜섬웨어 공격 가능성도 제기된다.
최상명 하우리 CERT실장은 "북한 IP로 확인된 해커 조직이 상용화된 도구를 이용해 랜섬웨어를 제작 중인 것으로 확인됐다"며 "북한은 기업의 중앙 관리 솔루션을 통해 악성코드를 유포하는데 여기에 랜섬웨어가 포함되면 회사 전체가 감염될 수 있어 위험한 상황을 맞을 수 있다"고 우려했다.
이경탁기자 kt87@dt.co.kr
과거 해킹, 사이버 공격 등은 일반 대중의 관심과는 동떨어진 이야기였지만 올해를 기점으로 분위기가 확 바뀌었다. 지구촌을 공포로 몰아넣은 '랜섬웨어'라는 대규모 사이버 공격이 잇따라 발생했기 때문이다. 워너크라이·페트야 등의 랜섬웨어 출현으로 이제 전 세계 어디, 누가 됐든 더 이상 '보안 안전지대'는 없게 됐다.
◇세계 네트워크를 제집처럼 넘나들며 독감처럼 퍼져=2017년 5월 12일은 보안업계에 충격적인 날이었다. 이날 발생한 워너크라이는 며칠 만에 전 세계 150여 개국에서 최소 30만대 이상을 랜섬웨어에 감염시켰다. 최초 사고는 영국과 스페인 등에서 발생한 것으로 알려졌다. 영국은 잉글랜드와 스코틀랜드의 국민복건서비스(NHS) 산하 48개의 의료기관이 감염돼 진료에 차질을 빚었다. 스페인은 대형 통신업체인 텔레포니카의 내부 시스템이 감염됐다. 중국은 출입국관리소를 비롯해 각종 기업·기관 3만여 개와 대학 등 4000여 교육기관이 피해를 입었다.
러시아는 정부기관인 내무부 컴퓨터를 포함해 다수의 공공기관에서 피해가 보고됐다. 일본은 철도회사인 JR히가시니혼의 시스템이 감염돼 신칸센 예약 서비스가 중단됐고, 히타치·이온몰·카와사키 상하수도국·오사카 시청 등 다수의 기업과 기관이 피해를 입었다.
◇윈도 SMB 취약점 공격해 빠른 확산=워너크라이가 최초 발견된 것은 지난 2월이지만 5월 당시 사고에서 사용된 워너크라이의 특징은 미국 NSA(미국국가안전보장국)가 개발한 이터널블루 취약점이 해커들에 의해 유출된 후 악용된 것이다. 윈도 통신 프로토콜 중 하나인 'SMB'의 취약점을 이용해 랜섬웨어가 스스로 주변으로 자체 전파를 한 것이 전 세계로 빠르게 확산된 원인이었다.
임의의 IP를 로컬네트워크나 인터넷에 생성한 후 해당 IP 대상으로 SMB 포트에 스캔을 해 취약점이 존재할 경우 자기 자신을 복사 및 실행시키는 과정을 반복하는 방식으로 감염을 확산시킨다.
영국의 보안전문가 마커스 허친스가 워너크라이 전파를 무력화할 수 있는 '킬 스위치(작동중지기능)'를 찾아 워너크라이 확산이 잠시 주춤했으나, 다음날인 5월 14일 킬 스위치가 없는 워너크라이 2.0 버전이 등장했고 이 때문에 감염이 줄어들지 않았다.
◇한국은 극심한 피해 피해=워너크라이 랜섬웨어로 상당수 해외 정부기관 시스템과 서비스가 중단되는 등 피해가 컸지만, 상대적으로 국내에서는 심각도가 덜했다. 당시 워너크라이를 최전선에서 대응한 한국인터넷진흥원(KISA)은 국내에서 워너크라이 피해가 적었던 이유로 랜섬웨어가 발생한 환경적·시간적(주말) 요인 등을 꼽는다. 한국 기준으로 출퇴근이 없는 주말에 발생, 사전 공지와 언론 보도 등을 통해 사전에 선제적으로 대응한 것이 주효했던 것.
워너크라이에 이어 6월 발생한 동유럽발 페트야 랜섬웨어 또한 체르노빌 원전의 방사능 측정 시스템까지 감염시켰다. 킬스위치가 없고 워너크라이보다 정교한 공격 방식이었다는 평가지만, 워너크라이 사태 당시 대비했던 시스템 덕분에 국내 차단을 막을 수 있었다.
그러나 보안업계에 따르면 내년부터 가상화폐를 노리고 지능형지속위협(APT) 공격과 결합한 형태의 랜섬웨어가 국내를 타깃으로 등장할 전망이어서 안심할 수 없는 상황이다. 특히 북한 해커조직의 랜섬웨어 공격 가능성도 제기된다.
최상명 하우리 CERT실장은 "북한 IP로 확인된 해커 조직이 상용화된 도구를 이용해 랜섬웨어를 제작 중인 것으로 확인됐다"며 "북한은 기업의 중앙 관리 솔루션을 통해 악성코드를 유포하는데 여기에 랜섬웨어가 포함되면 회사 전체가 감염될 수 있어 위험한 상황을 맞을 수 있다"고 우려했다.
이경탁기자 kt87@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
