공지사항

[긴급] Windows SMB 취약점을 이용한 WanaCry 랜섬웨어 전세계 감염 확산

2017-05-14 14:56:50

Windows SMB 원격코드의 취약점을 악용하여 아무런 행위 없이도 원격으로 감염되는 랜섬웨어가 전세계적으로 급속도로 확산되고 있습니다.

해커는 암호화 파일 복호화를 위해 $300 를 비트코인으로 요구하고 있습니다.

현재 피해자의 PC 상태부터 비용 지불 과정, 지불 후 처리 과정까지 상세하게 안내를 해두었고,

최근 유행하는 랜섬웨어처럼 Contact Us 메뉴를 통해 해커에게 질의를 남길 수 있는 서비스를 제공합니다.

MicroSoft 에서 해당 취약점을 발견하고 2017년 3월 14일 업데이트(MS17-010)를 게시했지만

사실상 원활한 업데이트가 불가능한 대규모 서버 PC들이 대거 감염당하여 피해를 보고 있습니다.

국내외 대표적인 피해사례를 살펴보면

영국의 국민보건서비스(NHS), 미국 운송업체 페덱스, 프랑스 르노, 중국의 여러 대학, 연구소 등과

국내의 대규모 제조업체의 PC 또 해당 PC와 연결된 서버 PC 여러대도 감염당하여 큰 피해를 보고 있습니다.

복호화를 위한 결제 안내 페이지에 한국어를 포함한 28개국의 언어가 포함되어있습니다.

한국을 대상으로 공격 시도가 많이 이루어지고 있으니 주의하시기 바랍니다.

이 랜섬웨어는 파일을 암호화 한 뒤 감염된 파일의 이름 뒤에 .WNCRYT로 변경 하였다가,

.WNCRY 파일로 다시 생성한 뒤 암호화된 원본파일을 삭제하여 복원을 불가능하게하는 치밀함을 보였습니다.

그러나 완전히 취약점이 없는것은 아니었습니다.

해당 랜섬웨어는 특정 도메인에 접속하여 해당 도메인이 활성화 돼 있지 않으면 감염을 진행하고

활성화가 되면 감염을 중단하는 킬스위치를 갖고 있었습니다.

이를 발견한 영국의 보안 블로거(@MalwareTechBlog)는 이를 발견하여 해당 도메인을 등록하였고,

이로 인해 감염 확산이 중단되었으나,

해커가 도메인을 변경하거나, 새로운 공격 방식을 취해 다시 감염이 확산되고 있습니다.

랜섬웨어는 예방이 중요합니다.

데이터가 안전하게 백업이 되어있다면 랜섬웨어는 전혀 위협적인 존재가 아닙니다.

반드시 소중한 자료를 백업해 두시기 바랍니다.

*WanaCry 바이러스 침투방식*

*WanaCry 킬스위치 동작 방식*