고대 노르드 신화에는 요르문간드(Jörmungandr)라는 거대한 뱀이 등장합니다. 세상 전체를 빙 둘러 감쌀 만큼 거대해서, 제 꼬리를 문 채 세상 끝에서 세상 끝까지 몸을 뻗고 있다는 존재죠.
이런 황홀한 전설은 대개 신화 속에만 머무릅니다. 하지만 2017년 5월, 우리는 현실 세계에 디지털판 '세계 뱀'이 탄생하는 순간을 목격했습니다. 전 지구를 덮을 정도로 급속히 번진 컴퓨터 웜, 바로 워너크라이(WannaCry)입니다. 영국 국립보건서비스(NHS)와 스페인 통신사 텔레포니카(Telefónica) 같은 핵심 서비스와 대형 기업들이 잇달아 감염 피해를 입었습니다.
전문가들은 여전히 이 웜의 확산 경로와 대응책을 연구 중이지만, 무슨 일이 벌어졌는지, 그리고 여러분의 시스템을 지키려면 어떤 조치를 취해야 하는지는 이미 상당히 명확해졌습니다.
워너크라이, 무슨 일이 있었나?
2017년 5월 12일, 정체불명의 랜섬웨어(ransomware)가 대규모 사이버 공격을 개시했습니다. 이후 워너크라이로 명명된 이 악성코드는 피싱(phishing)과 SMB(서버 메시지 블록) 취약점 악용을 결합해, 단 며칠 만에 150개국 23만 대가 넘는 시스템을 감염시키며 전례 없는 피해를 냈습니다.
감염된 컴퓨터는 파일 접근이 차단되고, 화면에는 돈을 요구하는 메시지가 떠올랐습니다. 3일 안에 비트코인 300달러를 지급하면 파일을 되찾을 수 있고, 그렇지 않으면 몸값이 두 배로 오른다는 조건이었죠.
랜섬웨어의 전형적인 작동 방식이지만, 워너크라이에는 확산 속도를 극단적으로 끌어올린 장치가 하나 더 있었습니다. 파일과 프린터 공유를 담당하는 SMB 프로토콜의 취약점을 이용해, 같은 네트워크(서브넷) 안의 다른 컴퓨터로 스스로 번져나간 것입니다. 단 한 대만 감염되면 연결된 네트워크 전체가 무너질 수 있는 구조였습니다. NHS와 같은 대형 기관에서 이 공격이 악몽처럼 번진 이유가 바로 여기에 있습니다.
한 가지 더 주목할 점이 있습니다. 이번 공격에 쓰인 SMB 익스플로잇(취약점 공격 코드)은 한 달여 전 유출된 미국 NSA 해킹 도구 키트에서 가져온 것이었다는 사실입니다. 앞서 보도한 CIA의 볼트7(Vault 7) 파일 유출 사건에서도 언제든 실전에 투입할 수 있는 다양한 공격 코드가 포함돼 있었습니다. 국가급 해킹 도구의 유출이 곧바로 전 세계적 사이버 공격으로 이어질 수 있음을 보여준 사례입니다.
'킬스위치'의 발견
그러나 이 위기에도 반전이 있었습니다. '맬웨어텍(MalwareTech)'이라는 닉네임을 쓴 익명의 보안 연구원이 워너크라이 코드 속에 숨겨진 도메인을 등록하면서, 악성코드의 확산을 멈춰 세운 것입니다.
원리는 의외로 간단합니다. 워너크라이는 실행될 때마다 특정 도메인(정확히는 iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com)이 존재하는지 확인합니다. 해당 도메인이 등록되어 접속이 가능하면 악성코드는 즉시 확산을 중단하도록 설계되어 있었던 겁니다. 제작자가 상황이 완전히 통제 불능에 빠질 경우를 대비해 비상 브레이크를 심어둔 셈이죠. 우연히도 이 도메인이 등장하면서 랜섬웨어는 더 큰 참화를 저지르지 못하고 멈췄습니다. 적어도 당장은요.
하지만 여기에는 냉정한 진실이 하나 숨어 있습니다. 행복한 결말은 아직 아니라는 점입니다. 코드를 디컴파일하면 WinAPI 함수 'InternetOpenURLA()' 또는 'InternetOpenA()'를 호출하는 부분을 쉽게 찾을 수 있고, 킬스위치 도메인에 접속을 시도하는 코드 조각을 제거하는 것도 어렵지 않습니다. 고급 프로그래밍 실력이 필요한 작업이 아니기 때문에, 사용자들이 시스템을 패치하기 전에 누군가 킬스위치를 떼어낸 변종 워너크라이를 만들어 배포한다면 확산은 계속될 수 있습니다. 욕심 많은 해커라면 몸값 입금용 비트코인 계좌까지 바꿔 큰돈을 벌 생각도 할 겁니다.
실제로 서로 다른 킬스위치 도메인을 사용하는 워너크라이 변종이 이미 야생에서 발견되었으며, 킬스위치 자체가 아예 없는 버전의 등장 여부는 아직 확인되지 않았습니다.
우리는 어떻게 대응해야 할까?
사태가 터진 후 마이크로소프트는 신속히 움직였습니다. 지원이 종료된 Windows XP까지 포함해 관련 보안 패치를 긴급 배포했습니다. 시스템을 최신 상태로 유지하기만 해도 SMB 수준의 감염은 충분히 막을 수 있습니다.
다만 패치만으로 모든 위험이 사라지는 것은 아닙니다. 피싱 이메일을 열면 여전히 감염될 수 있습니다. 이메일 첨부파일 중 실행 파일(.exe 등)은 절대 열지 않는 습관이 중요합니다. 조금만 신중을 기하면 이런 공격의 직격탄을 피할 수 있습니다.
해킹당한 정부 기관들에게는 더 근본적인 교훈이 남습니다. 국가 핵심 업무를 담당하는 미션 크리티컬(mission-critical) 시스템을 외부 인터넷과 물리적으로 분리해 운영하는 에어갭(air-gap) 방식을 적용했더라면, 이번 참사는 충분히 예방할 수 있었을 겁니다.
미국 정보기관 보안 유출 사건에서 나온 익스플로잇을 활용한 더 과감한 사이버 공격이 이어질까요? 여러분의 생각을 댓글로 들려주세요!