.jpg)
.jpg)
하루 동안 분석해보니, 랜섬웨어 모양만 갖춘 파괴형 멀웨어
아직 최초 감염 경로 및 방법에 대해서는 의견 모아지지 않아
[보안뉴스 문가용 기자] 두 번째 워너크라이가 될지도 모르는 대규모 페트야/낫페트야 랜섬웨어 사태가 일어나고 24시간이 지났다. 많은 분석가들이 샘플을 공유하며 분석에 들어갔다. 하루 만에 밝혀진 것들에는 어떤 것이 있을까? 해결 방법은 나온 것일까? 여태까지 밝혀진 내용들과 주장들을 정리해보았다.
가장 충격적인 건 “페트야가 랜섬웨어가 아니”라는 보도다. 해커뉴스(The Hacker News)가 보도한 바에 따르면 “피해자로부터 300달러를 요구하는 등 랜섬웨어의 모양을 갖추긴 했지만 애초에 공격자들은 데이터를 복구할 의향을 가지고 있지 않았다”고 한다. 그리고 “사실은 삭제형 멀웨어”였다고 보안 업체 코메이 테크놀로지스(Comae Technologies)의 분석 결과를 인용했다.
그러면서 해커뉴스는 “워너크라이 사태가 불과 한 달 전에 일어났다는 사실에 착안한 누군가가 그와 비슷한 사태를 일으켜 시선을 돌리기 위해 페트야/낫페트야 멀웨어를 랜섬웨어처럼 보이게 설계”했고, “실제 공격의 목적과 표적은 달랐을 것”이라고 보도했다. 삭제형 멀웨어가 적국에 혼란을 일으키기 위한 사이버전에 자주 사용되는 것과, 러시아와 우크라이나의 불편한 관계를 떠올렸을 때 해커뉴스의 보도는 사실상 “사이버전”으로 결론을 내리고 있다고 볼 수 있다.
그런 맥락에서인지 또 다른 보안 매체 쓰레트포스트(Threat Post)는 “페트야 랜섬웨어에 감염되면 데이터 복구 거의 되지 않는다”고 보도했다. 쓰레트포스트에 의하면 여태까지 범인에게 돈을 지불한 피해자는 약 50명/단체이며, 총 금액은 1천 2십만원 정도라고 한다. 그러나 카스퍼스키와 코메이 테크놀로지스의 의견을 인용해 “데이터 복구 가능성은 극히 낮다”라고 했다. 카스퍼스키는 “멀웨어 코드에 오류가 있어서” 복호화가 불가능하다고 했고, 코메이 측은 위에서 말한대로 “삭제형 멀웨어이기 때문에” 안 된다는 입장이다.
IT 및 보안 매체 더 레지스터(The Register)도 페트야/낫페트야에 대해 알려진 사실들을 종합하며 “지갑을 채우기 위한 범행이 아니라 혼란을 일으키기 위한 공격”이라고 결론을 내렸다. 그러면서 ‘요약본’을 싣기도 했다. 대부분 페트야/낫페트야의 메커니즘에 관한 내용이며, 다음은 그 요약본의 요약본이다.
1) 페트야/낫페트야는 오픈소스인 미니캣츠(Minikatz)의 빌드 중 변형된 버전을 사용해 한창 돌아가고 있는 메모리에서 관리자 크리덴셜을 빼내간다.
2) 이 크리덴셜을 활용해 다른 기기에 접근한다.
3) PsExec과 WMIC를 사용해 다른 기기들도 감염시키고 명령 실행이 가능하게 만든다.
4) 서브넷을 스캔해 또 다른 기기들을 찾아내거나 DHCP 서비스를 사용해 알려진 호스트를 찾아낸다.
5) NSA의 해킹 툴로 알려진 이터널블루(EternalBlue) 또한 활용한다. 이 부분은 워너크라이 사태 때 알려진 것이다.
6) 이터널블루에 더해 또 다른 NSA 해킹 툴인 이터널로맨스(EternalRomance)도 사용됐다. 이 역시 SMB 취약점을 익스플로잇하는 기능을 가지고 있다.
7) 즉, 페트야/낫페트야 공격자는 관리자 권한 취득을 위해 미니캣츠를 활용한 공격을 가하거나 이터널블루/이터널로맨스를 동시에 활용한 건데, 성공 확률은 미니캣츠 측이 더 높았을 것으로 보인다. SMB 취약점은 이미 패치가 나왔기 때문이다.
8) 관리자 접근 권한을 탈취하기 위해 공격자들이 사용한 또 다른 방법은 악성 소프트웨어 업데이트를 주입하는 것이었다. 이 방법은 우크라이나의 세금 업무 관련 소프트웨어 툴을 공격할 때 활용되었다.
9) 감염에 성공하면 해당 기기는 재부팅되면서 협박 편지가 나타난다. 페트야처럼 MBR 영역을 통째로 암호화하기 때문에 윈도우로 넘어가지 않는다.
10) NTFS 파일 시스템 테이블과 파일들도 암호화 가능하다. AES-128이 활용된다.
이미 어제부터 예견된 바지만 카스퍼스키나 비트디펜더 등의 보안 전문 업체는 “우크라이나가 가장 공격을 많이 받았다”고 공식적으로 발표했다. 마이크로소프트는 총 65개국에서 공격이 발견되었다고 했으며 횟수로 따지면 총 2000번이 넘는다고 한다. 그 대부분은 우크라이나에서 일어났으며 보안 매체 시큐리티위크(Security Week)는 비트디펜더의 수석 분석가인 보그단 보테자투(Bogdan Botezatu)의 말을 인용하며 “처참할 지경”이라고 표현했다.
IBM은 “결국 돈을 노린 공격은 아닌 것으로 보인다”고 연구에 대한 결론을 조심스럽게 내린다. 비트디펜더도 “데이터 파괴를 목적으로 한 공격인 것으로 생각한다”고 밝혔다. 그런 와중에 이스라엘의 보안 업체인 사이버리즌(Cybereason)은 ‘백신’을 발견했다고 공표했다. “확장자 없이 perfc라는 파일을 C:\Windows\ 폴더에 생성하면 됩니다.” 이 ‘백신’에 대해서 비판적인 의견이 나오기도 했으나 이를 따라서 시도해본 많은 사람들이 “효과 있다”고 속속 증언을 보내고 있다.
현재 보안 업계는 ‘최초 감염 경로’를 찾아내려고 분석을 이어가고 있는 중이다. 그 최초 감염 후 벌어진 일들에 대해서는 위 요약본에 나온 것처럼 분석이 되었으나, 첫 번째 감염이 이루어지는 시나리오에 대해서는 의견이 분분하다.
[국제부 문가용 기자(globoan@boannews.com)]
아직 최초 감염 경로 및 방법에 대해서는 의견 모아지지 않아
[보안뉴스 문가용 기자] 두 번째 워너크라이가 될지도 모르는 대규모 페트야/낫페트야 랜섬웨어 사태가 일어나고 24시간이 지났다. 많은 분석가들이 샘플을 공유하며 분석에 들어갔다. 하루 만에 밝혀진 것들에는 어떤 것이 있을까? 해결 방법은 나온 것일까? 여태까지 밝혀진 내용들과 주장들을 정리해보았다.
[이미지 = iclickart]
가장 충격적인 건 “페트야가 랜섬웨어가 아니”라는 보도다. 해커뉴스(The Hacker News)가 보도한 바에 따르면 “피해자로부터 300달러를 요구하는 등 랜섬웨어의 모양을 갖추긴 했지만 애초에 공격자들은 데이터를 복구할 의향을 가지고 있지 않았다”고 한다. 그리고 “사실은 삭제형 멀웨어”였다고 보안 업체 코메이 테크놀로지스(Comae Technologies)의 분석 결과를 인용했다.
그러면서 해커뉴스는 “워너크라이 사태가 불과 한 달 전에 일어났다는 사실에 착안한 누군가가 그와 비슷한 사태를 일으켜 시선을 돌리기 위해 페트야/낫페트야 멀웨어를 랜섬웨어처럼 보이게 설계”했고, “실제 공격의 목적과 표적은 달랐을 것”이라고 보도했다. 삭제형 멀웨어가 적국에 혼란을 일으키기 위한 사이버전에 자주 사용되는 것과, 러시아와 우크라이나의 불편한 관계를 떠올렸을 때 해커뉴스의 보도는 사실상 “사이버전”으로 결론을 내리고 있다고 볼 수 있다.
그런 맥락에서인지 또 다른 보안 매체 쓰레트포스트(Threat Post)는 “페트야 랜섬웨어에 감염되면 데이터 복구 거의 되지 않는다”고 보도했다. 쓰레트포스트에 의하면 여태까지 범인에게 돈을 지불한 피해자는 약 50명/단체이며, 총 금액은 1천 2십만원 정도라고 한다. 그러나 카스퍼스키와 코메이 테크놀로지스의 의견을 인용해 “데이터 복구 가능성은 극히 낮다”라고 했다. 카스퍼스키는 “멀웨어 코드에 오류가 있어서” 복호화가 불가능하다고 했고, 코메이 측은 위에서 말한대로 “삭제형 멀웨어이기 때문에” 안 된다는 입장이다.
IT 및 보안 매체 더 레지스터(The Register)도 페트야/낫페트야에 대해 알려진 사실들을 종합하며 “지갑을 채우기 위한 범행이 아니라 혼란을 일으키기 위한 공격”이라고 결론을 내렸다. 그러면서 ‘요약본’을 싣기도 했다. 대부분 페트야/낫페트야의 메커니즘에 관한 내용이며, 다음은 그 요약본의 요약본이다.
1) 페트야/낫페트야는 오픈소스인 미니캣츠(Minikatz)의 빌드 중 변형된 버전을 사용해 한창 돌아가고 있는 메모리에서 관리자 크리덴셜을 빼내간다.
2) 이 크리덴셜을 활용해 다른 기기에 접근한다.
3) PsExec과 WMIC를 사용해 다른 기기들도 감염시키고 명령 실행이 가능하게 만든다.
4) 서브넷을 스캔해 또 다른 기기들을 찾아내거나 DHCP 서비스를 사용해 알려진 호스트를 찾아낸다.
5) NSA의 해킹 툴로 알려진 이터널블루(EternalBlue) 또한 활용한다. 이 부분은 워너크라이 사태 때 알려진 것이다.
6) 이터널블루에 더해 또 다른 NSA 해킹 툴인 이터널로맨스(EternalRomance)도 사용됐다. 이 역시 SMB 취약점을 익스플로잇하는 기능을 가지고 있다.
7) 즉, 페트야/낫페트야 공격자는 관리자 권한 취득을 위해 미니캣츠를 활용한 공격을 가하거나 이터널블루/이터널로맨스를 동시에 활용한 건데, 성공 확률은 미니캣츠 측이 더 높았을 것으로 보인다. SMB 취약점은 이미 패치가 나왔기 때문이다.
8) 관리자 접근 권한을 탈취하기 위해 공격자들이 사용한 또 다른 방법은 악성 소프트웨어 업데이트를 주입하는 것이었다. 이 방법은 우크라이나의 세금 업무 관련 소프트웨어 툴을 공격할 때 활용되었다.
9) 감염에 성공하면 해당 기기는 재부팅되면서 협박 편지가 나타난다. 페트야처럼 MBR 영역을 통째로 암호화하기 때문에 윈도우로 넘어가지 않는다.
10) NTFS 파일 시스템 테이블과 파일들도 암호화 가능하다. AES-128이 활용된다.
이미 어제부터 예견된 바지만 카스퍼스키나 비트디펜더 등의 보안 전문 업체는 “우크라이나가 가장 공격을 많이 받았다”고 공식적으로 발표했다. 마이크로소프트는 총 65개국에서 공격이 발견되었다고 했으며 횟수로 따지면 총 2000번이 넘는다고 한다. 그 대부분은 우크라이나에서 일어났으며 보안 매체 시큐리티위크(Security Week)는 비트디펜더의 수석 분석가인 보그단 보테자투(Bogdan Botezatu)의 말을 인용하며 “처참할 지경”이라고 표현했다.
IBM은 “결국 돈을 노린 공격은 아닌 것으로 보인다”고 연구에 대한 결론을 조심스럽게 내린다. 비트디펜더도 “데이터 파괴를 목적으로 한 공격인 것으로 생각한다”고 밝혔다. 그런 와중에 이스라엘의 보안 업체인 사이버리즌(Cybereason)은 ‘백신’을 발견했다고 공표했다. “확장자 없이 perfc라는 파일을 C:\Windows\ 폴더에 생성하면 됩니다.” 이 ‘백신’에 대해서 비판적인 의견이 나오기도 했으나 이를 따라서 시도해본 많은 사람들이 “효과 있다”고 속속 증언을 보내고 있다.
현재 보안 업계는 ‘최초 감염 경로’를 찾아내려고 분석을 이어가고 있는 중이다. 그 최초 감염 후 벌어진 일들에 대해서는 위 요약본에 나온 것처럼 분석이 되었으나, 첫 번째 감염이 이루어지는 시나리오에 대해서는 의견이 분분하다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
