최근 발견된 웜 '이터널록스(EternalRocks)'는 킬 스위치(kill switch)가 없어 차단이 어렵고, 전파력이 매우 강한 것으로 알려졌습니다. 이 악성코드는 미국 국가안보국(NSA)에서 유출된 해킹 도구를 활용하며, 랜섬웨어·은행 관련 트로이 목마·원격 접속 트로이(RAT) 등으로 언제든 '무기화'될 수 있는 잠재력을 지니고 있습니다.
지난 10일간 워너크라이(WannaCry) 랜섬웨어가 전 세계에 큰 피해를 일으킨 가운데, 보안 연구원 미로슬라브 스탬파르(Miroslav Stampar)가 새로운 악성코드 '이터널록스'를 확인했습니다. 그는 자신의 윈도우 7 허니팟(honeypot)에 감염된 샘플을 분석하던 중 이를 발견했습니다.
이터널록스의 원래 이름은 'MicroBotMassiveNet'이며, 스탬파르는 이를 '둠즈데이웜(DoomsDayWorm, 종말의 웜)'이라 명명했습니다. 시스템에서는 Taskhost 속성의 제품명으로 'EternalRocks'가 표시됩니다.
이터널록스는 워너크라이가 사용했던 EternalBlue를 비롯해 유출된 SMB 익스플로잇 전부를 활용해 확산됩니다. EternalChampion, EternalRomance, EternalSynergy뿐 아니라 ArchiTouch, SMBTouch, DoublePulsar 커널 익스플로잇까지 사용합니다. 자가 복제형 악성코드인 이터널록스는 워너크라이보다 훨씬 많은 위협 요소를 담고 있어 더욱 악질로 평가됩니다.
이터널록스에 대해 꼭 알아야 할 핵심 사항
- 현재 상태의 이터널록스는 파일을 잠그거나 손상시키지 않고, 감염된 PC로 봇넷(botnet)을 구축하지도 않습니다. 다만 감염된 컴퓨터를 원격 명령에 취한 상태로 만들어, 언제든 공격 도구로 전환될 수 있습니다.
- 이터널록스는 워너크라이보다 강력합니다. 워너크라이의 확산을 늦추고 우회하게 만들었던 취약점과 킬 스위치가 전혀 없기 때문입니다.
- 이터널록스는 감염 후 24시간 동안 아무런 활동도 하지 않아 탐지가 더욱 까다롭습니다. 24시간에 걸쳐 2단계로 나뉘어 확산됩니다.
허니팟(Honeypot)이란?
허니팟은 정보 시스템에 대한 무단 접근을 시도하는 해커를 유인·탐지·차단하기 위해 설계된 보안 메커니즘입니다. 사이버 공격자에게 의도적으로 노출하고 기만함으로써 인터넷상의 악성 활동을 식별하는 역할을 합니다.
이터널록스 vs 워너크라이, 무엇이 다른가?
이터널록스는 워너크라이와 동일한 경로와 취약점으로 윈도우 시스템을 감염시키지만, NSA에서 유출된 7개의 해킹 도구를 모두 사용한다는 점에서 훨씬 더 위험한 것으로 평가됩니다.
워너크라이는 단 2개의 NSA 도구만으로 150개국, 24만 대가 넘는 컴퓨터를 감염시키며 재앙을 일으켰습니다. 7개의 도구를 동원하는 이터널록스가 만들 피해는 짐작하기 어렵습니다.
'종말의 웜'의 독특한 특징은 백도어를 통해 C&C(명령·통제) 서버에서 추가 악성코드를 내려받기 전까지 조용히 24시간을 기다린다는 점입니다. 반면 워너크라이는 보안 블로거가 킬 스위치를 발견하면서 다행히 확산이 멈췄습니다.
1단계에서 이터널록스는 C&C 통신 채널로 TOR을 설치합니다. 24시간이 지난 후 시작되는 2단계에서는 C&C 서버가 shadowbrokers.zip 파일로 응답하면 이 파일의 압축을 풀고, 인터넷상에서 열려 있는 445번 SMB 포트를 무작위로 스캔하기 시작합니다.
TOR이란?
TOR은 사용자가 익명으로 웹을 검색할 수 있게 해주는 소프트웨어입니다. 원래 '양파 라우터(The Onion Router)'라 불렸는데, 사용자 활동 정보를 숨기는 '어니언 라우팅(onion routing)' 기법을 사용하기 때문입니다. TOR은 식별 정보와 라우팅을 분리하고 IP 주소를 포함한 데이터를 암호화해 인터넷 활동 추적을 크게 어렵게 만듭니다.
C&C(명령·통제) 통신 채널이란?
명령·통제 서버(C&C 서버, C2)는 공격자가 대상 네트워크 내 침해된 시스템들과 통신을 유지하기 위해 사용하는 컴퓨터를 말합니다.
이터널록스가 사용하는 ShadowBrokers 유출 NSA 도구 7가지
- EternalBlue — 네트워크 침입에 쓰이는 SMB1·SMB2 익스플로잇
- EternalRomance — Windows XP, Server 2003, Vista, Windows 7/8, Server 2008, Server 2008 R2를 겨냥한 원격 SMB1 네트워크 파일 서버 익스플로잇
- EternalChampion — SMBv2 익스플로잇 도구
- EternalSynergy — SMB3 대상 원격 코드 실행 익스플로잇
위 4가지 도구는 취약한 윈도우 컴퓨터를 침해하기 위해 설계되었습니다.
- SMBTouch — SMB 정찰(reconnaissance) 도구
- ArchTouch — SMB 정찰 도구
이 2가지는 공개 네트워크에서 열려 있는 SMB 포트를 스캔하는 데 사용됩니다.
- DoublePulsar — 랜섬웨어 설치에 활용되며, 같은 네트워크 안에서 컴퓨터 간 웜 확산을 돕습니다.
워너크라이만이 EternalBlue나 DoublePulsar 백도어를 이용하는 것은 아닙니다. '아딜커즈(Adylkuzz)'라는 암호화폐 채굴 악성코드는 이미 감염된 PC에서 가상화폐를 채굴 중이며, 유사한 공격 경로로 확산되는 'UIWIX'도 확인되었습니다.
다행스러운 점
아직까지 이터널록스가 무기화되었다는 보고는 없으며, 랜섬웨어 같은 악성 페이로드가 탑재되었다는 사례도 접수되지 않았습니다.
우려되는 점
SMB 패치가 늦게 적용되는 환경에서는 이터널록스에 감염된 컴퓨터가 NSA 도구 DOUBLEPULSAR를 통해 원격 접근이 가능한 상태로 방치될 수 있습니다. 이터널록스가 남긴 백도어 트로이 목마 DOUBLEPULSAR는 해커에게 문을 계속 열어두는 셈입니다.
이런 공격으로부터 안전해지는 방법
무엇보다 공용 인터넷에서 SMB 포트로의 외부 접근을 차단해야 합니다.
- 모든 SMB 취약점 패치 적용
- C&C 서버 접근 차단 및 Torproject.org 접속 차단
- 새로 생성된 예약 작업(scheduled tasks) 모니터링
- 윈도우 OS 최신 상태 유지
- 백신 프로그램 설치 및 정기적인 업데이트
- 시스템 방화벽 설치·활성화로 의심스러운 링크로부터 시스템 보호
- 뻔한 설정값과 단순한 비밀번호는 피하고, 영문자와 숫자를 조합하고 대소문자를 혼합해 사용
또한 불법 복제본 윈도우를 사용해서는 안 됩니다. 정품이 아닌 윈도우는 감염에 훨씬 취약하므로, 반드시 정품 윈도우 OS를 설치해 사용하는 것이 안전합니다.