워너크립터(워너크라이) 랜섬웨어 분석 및 대응 조치

워너크립터(WannaCryptor)는 워너크라이(WannaCry), W크립트(WCrypt) 등으로 불리는 랜섬웨어로 2017년 5월 12일(현지 시간 기준) 스페인, 영국, 러시아 등을 시작으로 전 세계에서 피해가 보고되고 있다.

* 랜섬웨어는 Ransom(몸값)과 ware(제품)의 합성어로 악성코드를 이용해 컴퓨터의 파일을 암호화한 후 돈을 요구하는 프로그램이다.

워너크립터는 마이크로소프트(Microsoft, 이하 MS) Windows 운영체제의 SMB(Sever Message Block, MS17-010) 취약점)을 이용한 악성코드를 통해 감염된다. 감염 PC의 파일을 암호화한 후 바탕화면을 변경하고, 암호화한 파일을 인질로 삼아 300달러 상당의 비트코인(Bitcoin)을 요구한다. 워너크립터의 랜섬노트는 현재는 28개 언어로 지원되는 것으로 알려져 있다.

워너크립터는 이메일 첨부 파일이나 취약한 웹사이트를 통해 감염되는 일반적인 랜섬웨어와 유사하나, 5월부터 SMB 취약점을 악용하면서 전파력이 커진 것으로 보인다. 워너크립터에 악용된 SMB 취약점은 MS가 2017년 3월 보안 업데이트를 공개했지만 보안 업데이트가 적용되지 않은 시스템은 위험에 노출되며 패치 되지 않은 시스템이 다수 존재한다. 특히 워너크립터는 SMB 취약점 보안 패치가 적용되지 않는 시스템에서는 별도의 동작 없이도 감염될 수 있으므로 MS 최신 패치를 업데이트하는 것이 중요하다. 또한 MS에서 보안 업데이트 지원을 중단한 Windows Vista 이하 버전을 이용하는 사용자는 윈도우 7 이상의 운영체제로 업그레이드할 것이 권장된다.

SMB 취약점 영향을 받는 시스템은 Windows 8.1, Windows RT 8.1, Windows 7, Windows Server 2016, Windows Server 2012 R2, Windows server 2008 R2 SP1 SP2 등이다. 단, Windows 10은 취약점을 가지고 있으나 워너크립터의 공격 대상은 아니다.

일부 언론보도에 따르면 워너크립터는 2017년 2월 최초 발견되었으며, 악성코드 제작자는 미 국가안보국(NSA)이 해커 그룹에서 탈취당한 이터널블루(EternalBlue)를 이용한 변형을 2017년 5월에 제작됐다고 한다.

현재 워너크립터 변종이 지속적으로 발견되고 있으며, 감염 후에는 치료와 복구가 어렵기 때문에 사용자의 각별한 주의가 필요하다. 사용 중인 백신은 실시간 검사 기능 상태로 사용해야 하며, 미진단 변종이 존재할 수 있으므로 MS Windows 최신 보안 패치를 반드시 적용해야 한다.

그 밖에 워너크립트 랜섬웨어 피해 방지를 위한 행동 요령(출처: 미래창조과학부, 한국인터넷진흥원)은 다음과 같다. ​

한편, 안랩은 현재 V3 제품군과 MDS 제품에서 워너크립터 랜섬웨어의 진단∙제거 기능을 제공하고 있으며, 시큐리티대응센터(ASEC) 블로그에 자세한 분석 정보를 소개하고 있다.  

< 참고 자료 >
1. 워너크립터 분석 정보 (*출처: AhnLab ASEC 블로그)
- SMB 취약점으로 전파되는 워너크립터 (WannaCryptor) 랜섬웨어 

2. 워너크립터 예방 요령 (*출처: 한국인터넷진흥원 보호나라)
- 한국인터넷진흥원(KISA) WannaCryptor(일명 WannaCry) 랜섬웨어 예방 요령
3. Windows OS 별 패치 정보 (*출처: 마이크로소프트)
https://technet.microsoft.com/ko-kr/library/security/ms17-010.aspx
4. Q&A로 정리한 랜섬웨어 기본 정보 (*출처: 안랩닷컴)
https://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?menu_dist=2&seq=25176
5. 랜섬웨어 피해 예방을 위한 7대 보안 수칙 (*출처: 안랩닷컴)
https://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?seq=26397