다수의 언론 매체를 공격한 배드래빗 랜섬웨어 주요 현황

러시아 언론 매체인 인터팍스(Interfax)는 24일 오전 성명서를 통해 바이러스 공격으로 인해 서버가 오프라인 상태라고 밝혔다. 뉴스국이 복구작업을 진행하는 동안 매체 업무는 페이스북으로 보도하고 있었다.


Credit: Steve Ragan

발표 이후 얼마되지 않아 러시아 보안업체인 그룹-IB(Group-IB)는 배드래빗(BadRabbit)이라 부르는 실행 중인 랜섬웨어 스크린샷을 게시했다. 그룹-IB는 최소 3개의 러시아 언론 매체가 공격을 받았지만 인터낵스 만이 공격 사실을 확인했다고 밝혔다. 그룹–IB는 공격을 받은 다른 매체의 이름은 밝히지 않았다.


Credit: Group-IB

배드래빗 피해자 방문 페이지에 따르면, 몸값은 현재 비크코인 환율에 따라 약 283달러(약 32만원)다. 이 사건은 계속 진행중이며, 추가 업데이트를 계속 게시할 것이다.

베드래빗에 대해
이 랜섬웨어는 가짜 플래시 업데이트를 통해 확산될 가능성이 높다. 이셋(ESET)은 인기있는 도메인에서 워터링 홀 공격(watering hole attacks)으로 가짜 업데이트가 발생했다고 말했다.

배드래빗은 이전에 알려지지 않은 랜섬웨어 계열이지만 페트야(Petya)와 코드를 공유하기 때문에 이 랜섬웨어의 변형으로 알려진다. 분석 결과, 배드래빗은 페트야와 코드를 13%를 공유하지만 주요 암호화 기능은 합법적인 암호화 도구인 디스크크립터(DiskCryptor)로 처리되고 있다.

이셋이 발표한 수치에 따르면, 피해자들은 러시아가 65%로 가장 많고 우크라이나(12.2%), 불가리아(10.2%), 터키(6.4%), 일본(3.8%) 순으로 나타났다.

이셋은 "대기업 모두가 동시에 공격받았다는 점에서 흥미롭다. 이 공격 그룹은 이미 네트워크 내에 발을 들여놨을 지 모르며, 이와 동시에 워터링 홀 공격을 시작했을 가능성도 배제할 수 없다"고 밝혔다. 이셋은 여전히 조사중이며 무언가를 발견한다면 발표할 것이라고 전했다.

카스퍼스키랩은 지금까지 표적이 약 200개라고 말했지만 피해자들이 직접 자사가 표적이 됐다고 말하지 않기 때문에 표적이란 단어는 어울리지 않는다. 지금까지 국가의 후원을 받는 공격으로 추정할 만한 것은 아무것도 없다.

배드래빗을 탐지하고 예방하기 위한 팁
카스퍼스키랩은 다음과 같은 파일의 실행을 차단하고 있다.

c:\Windows\infpub.dat
c:\Windows\cscc.dat

악성코드 확산을 막는 또다른 방법은 가능한 한 WMI 서비스를 사용하지 않도록 설정하는 것이다. 케빈 뷰 몬트는 예전 인터뷰에서 인바운드 SMB 차단, 윈도우 크리덴셜 가드(Credential Guard) 사용, 예약된 작업과 서비스 만들기 모니터링, 그리고 특정 네트워크의 관리자 수 제어 등을 제안한 바 있다.

크리스티안 비크는 페스트빈에 필요한 이들을 위해 악성코드 위협을 확인하고 정리하기 위해 고안된 오픈소스 툴인 야라 룰(Yara rule)을 업로드했다. 로이스 윌리엄은 배드래빗이 출현해 확인된 링크와 정보가 담긴 라이브 문서를 만들었다.

마이크로소프트는 검사 로그가 지워졌음을 나타내는 이벤트 로그에 ID 1102와 106을 기록하는 메모와 배드래빗과 관련된 예정된 작업을 포함해 관리자를 위한 지침을 게시했다.

10월 24일 업데이트 1
이셋 연구원에 따르면, 배드래빗은 가짜 플래시 업데이트를 통해 확산되고 있으며, 공격자가 컴퓨터나 네트워크의 공격 발판을 마련할 수 있게 해주는 오픈소스 악용도구인 미미캣츠(mimikatz)와 통합되어 있다. 또한 이 게시물은 페트야 랜섬웨어와 연결되어 있다.


Credit:: Jiri Kropac

24일 오전, 우크라이나 컴퓨터 침해 사고 대응반(CERT-UA)은 국가의 정보 자원에 대한 새로운 사이버 공격이 시작될 가능성에 대해 경고했다. 이 경고가 배드래빗과 관련되어 있는지 확실치는 않지만, 이 권고는 우크라이나 오데사 공항과 키예프 지하철에 사건과 연관되어 있다.

10월 13일 CERT-UA는 지난 6월 전 세계의 대규모 감염 사태를 일으킨 악성코드인 페트야-A(Petya-A)의 변형을 이용하는 랜섬웨어 공격에 대해 일반 대중에게 경고한 바 있다.

10월 24일 업데이트 2
바이러스토털(VirusTotal)이 제출한 견본을 기반으로 이셋, 카스퍼스키, 시만텍, 체크포인트, 팔로알토 네트웍스를 포함한 여러 보안업체가 배드래빗을 탐지하고 있다. 탐지 횟수는 시간이 지나면서 증가할 것으로 예상된다. 또한 윈도우 디펜더(Windows Defender)는 악성코드의 일부를 신고하고 있다.

10월 24일 업데이트 3
이셋 연구원에 따르면, 배드래빗은 언론 매체 외에도 우크라이나의 여러 운송 업체와 정부 기관들을 표적으로 삼았다. 이전에 CERT-UA는 키예프 지하철, 오데사 공항이 감염됐다고 보고한 바 있다. 이 때에도 우크라이나의 인프라와 재정 부처도 표적이 된 것으로 알려졌다.

또한 이셋은 배드래빗이 페트야의 변종임을 재확인했다. 미미카츠의 사용법은 김염된 시스템에서 자격증명 양식을 추출하는 것이다. 이셋 네덜란드 전무 데이브 마스랜드는 트위터에서 "취약점 공격 도구인 이터널블루(EternalBlue)를 악용해 확산되고 있다"고 전했다. 하지만 이터널 블루 탐지는 오탐일 수도 있다.

이셋의 원격측정 데이터에 따르면, 우크라이나, 러시아, 터키, 불가리아 및 기타 국가의 악성코드에 대한 조회가 수백 번 있었다.

10월 24일 업데이트 4
맥아피 연구원은 오피스 형식과 저장 형식을 비롯한 일반적인 모든 문서들이 배드래빗에 의해 암호화된다고 밝혔다. 전체 목록은 맥아피의 수석 과학자이자 수석 엔지니어인 크리스티안 비크에 의해 게시됐다.

공격에서 발견된 flash_install.php(업로드 시 PHP 파일 이름을 사용하는 실행 파일) 분석도 게시됐다. 또한 랜섬웨어가 합법적인 도구인 디스크크립트를 사용해 피해자의 하드드라이브를 암호화한다는 것이 확인됐다.

배드래빗은 자격증명과 관련해 관리자, 게스트, 사용자, 루트, 지원, rdpadmin, 작업, 백업, NAS, nasuser, nasadmin, netguest 등의 일반적인 하드코딩된 자격 증명 목록을 사용한다. 카스퍼스키랩은 이셋과 동일한 감염 위치를 많이 보고하고 있다. 독일 또한 감염 목록에 추가됐다.

업데이트 5
미국 인터넷침해사고대응지원센터(US-CERT)는 배드래빗에 대한 자문을 통해
관리자에게 위협 권고인 TA17-132A와 TA17-181A를 검토하도록 권유하고 있다. 특히 US-CERT는 피해자에게 몸값을 내지 말라고 촉구했다.

문제는 적절한 백업이 없거나 백업이 관리되지 않다는 점이며, 지불하는 경우에도 암호화된 상태로 남아있을 수 있다는 것이다.

이셋과 카스퍼스키는 배드래빗의 현황에 대해 계속해서 업데이트하고 다른 전문가들은 완화 및 조사 전략을 공유하면서 세부적인 사항에 대해 파헤치고 있다. 에일리언 볼트(Alien Vault)의 OTX(Open Threat Exchange)와 같은 공유 인텔리전스에 악성코드에 대한 세부사항을 게시했다.

문제는 랜섬웨어의 감염 경로를 추적하기 어렵다는 점이다.

업데이트 6
보안업체인 어베스트(Avast)는 배드래빗 감염이 미국으로 확산됐음을 트위터에 발표했지만, 시간 차이 때문에 추가 세부정보나 정보를 제공하지 못했다. 맥아피 수석 엔지니어 크리스티안 비크는 맥아피는 미국에서의 감염은 탐지되지 않았으며, 이를 계속 유지해야 한다고 말했다.

또한 배드래빗이 미국으로 확산됐다는 증거를 뒷받침하는 것으로 US-CERT 권고를 언급한 뉴스나 보안업체들이 있다. 하지만 그렇지 않다. 모든 권고에서 배드래빗은 실제로 존재한다는 걸 발표하고 관리자가 페트야와 워너크라이와 관련된 이전 발표된 위협 주의사항을 읽도록 권장했다.

맥아피, 시스코의 탈로스(Talos)는 배드래빗에 대해 블로그에 게시했다. 새로운 정보를 포함하고 있진 않지만, 악성코드 자체에 대해 보안 관계자들이 읽을 만한 흥미로운 기술적 내용이 담겨있다.

사이버리즌(Cybereason) 보안 연구원 아밋 서퍼는 배드레빗을 위한 백신이라는 제목의 블로그 게시물을 발표했다.

카스퍼스키 연구원들은 새로운 정보를 제공했다. 트위터에서 코스틴 라이우는 배드래빗의 배후에 있는 공격자들이 적어도 2017년 7월 이후로 감염 네트워크를 구축하고 있다고 밝혔다. 카스퍼스키랩의 악성코드 분석가 안톤 이바노프는 배드래빗이 와이퍼가 아니며 실제 암호 해독이 이뤄지는 장면의 이미지를 트윗했다.

초기 배드래빗의 존재를 전 세계에 경고한 그룹-IB는 새로운 정보를 공개했다. 그룹-IB는 공격자의 비트코인 지갑 주소 2개를 공개했다. 이 소식을 전달하는 시점에 2개의 지갑에는 하나의 트랜젝션도 없었다.

1GxXGMoz7HAVwRDZd7ezkKipY4DHLUqzmM
17GhezAiRhgB8DGArZXBkrZBFTGCC9SQ2Z

마지막으로 그룹-IB는 배드래빗과 블랙에너지 사건 간의 연결 고리가 있음을 시사했다. editor@itworld.co.kr