Offcanvas

CSO / 랜섬웨어 / 보안 / 서버

취약한 MS SQL 서버 공격… ‘프리월드 랜섬웨어 주의’ 

2023.09.04 Lucian Constantin  |  CSO
보안이 취약한 일부 마이크로소프트SQL(MS SQL) 서버를 악용해 랜섬웨어 변종인 코발트 스트라이크(Cobalt Strike)와 프리월드(FreeWorld)를 유포하려는 공격자 그룹이 발견됐다.
 
ⓒ Getty Images Bank

취약한 MS SQL 서버는 랜섬웨어 조직과 여러 공격자 그룹의 주요 표적이다. 최근 MS SQL 서버에 무차별적으로 암호를 대입해 손상을 입히고 랜섬웨어 변종인 ‘코발트 스트라이크’와 ‘프리월드’를 배포하려는 위협 행위자가 식별됐다. 이들의 공격 캠페인은 ‘DB#재머(DB#JAMMER)’라는 이름으로 알려졌다.

보안 기업 시큐로닉스(Securonix) 연구원들은 새 보고서를 통해 “DB#재머가 눈에 띄는 점은 공격자의 툴링 인프라와 페이로드가 사용되는 방식에 있다. 공격자들은 열거(enumeration) 소프트웨어, RAT 페이로드, 익스플로잇 및 자격 증명 도난 소프트웨어, 그리고 랜섬웨어 페이로드를 도구로 사용했다”라고 설명했다.

MS SQL 서버 최초 접속과 지속성 획득
공격자는 무차별 암호 대입(Brute Force) 기술을 사용해 표적 MS SQL 서버의 자격 증명을 유추했다. 사전 공격(dictionary attack)이나 비밀번호 스프레이 공격을 시도했는지는 불분명하다. 비밀번호 스프레이 공격은 일반적으로 다른 데이터베이스 유출을 통해 얻은 사용자 이름과 비밀번호를 조합하는 방식이다.

공격자는 최초 접속 이후 데이터베이스에 접근할 수 있는 모든 사용자를 열거해 데이터베이스를 파악하고, xp_cmdshell이라는 함수가 활성화돼 있는지 확인했다. 해당 트랜잭트 SQL(Transact-SQL) 명령문은 데이터베이스 사용자가 윈도우에서 셸 명령을 실행하고 텍스트로 출력하는 것을 허용한다. 공격자는 xp_cmdshell 함수를 활용해 먼저 wmic.exe, net.exe, ipconfig.exe 등의 윈도우 도구를 열어 시스템 및 네트워크 환경에 대한 정보를 수집했다. 이후 윈도우 계정과 시스템 레지스트리를 수정했다.

시큐로닉스 측은 “피해 호스트에 윈도우, adminv$, mediaadmin$ 등 새로운 사용자가 생성됐다. 각 사용자는 원격 데스크톱 사용자와 관리자 그룹에 추가됐다. 공격자들은 사용자를 생성하고 그룹 권한을 수정하는 명령을 실행하려고 시도했다. 다른 언어로 된 그룹을 설명하기 위해 몇 가지 변형된 명령(영어, 독일어, 폴란드어, 스페인어, 카탈루냐어)도 실행됐다”라고 언급했다.

새 사용자의 비밀번호와 로그인 세션이 만료되지 않도록 추가 수정도 이뤄졌다. 또한 원격 데스크톱 프로토콜(RDP) 서비스 활성화, 사용자 액세스 제어 제한 비활성화, 로컬 로그인 화면에서 원격 로그인 사용자 숨기기 등 광범위한 레지스트리 변경도 있었다.

악성 페이로드에 코발트 스트라이크 명령 및 제어 에이전트도 포함돼
알려진 내용에 따르면 공격자들은 자신들이 제어하는 서버에 원격 SMB 공유를 설정해 여러 도구와 페이로드가 있는 디렉토리를 로컬 경로에 연결했다. 디렉토리에는 srv.exe로 저장된 코발트 스트라이크 명령 및 제어 에이전트와 원격 데스크톱 소프트웨어 애니데스크(AnyDesk)의 사본도 담겼다.

공격자들은 네트워크 내 다른 시스템으로 측면 이동하기 위해 네트워크 포트 스캐너와 미미카츠(Mimikatz) 자격 증명 덤핑 도구를 배포했다. 또한 시스템이 완전히 통제됐다고 판단한 뒤에는 5000.exe라는 파일도 배포했다. 이 파일은 공격자들이 프리월드라고 부르는 랜섬웨어 프로그램의 드롭퍼로 알려졌지만, 실제로는 새로운 미믹(Mimic) 랜섬웨어 변종 중 하나였다.

프리월드와 미믹은 암호화할 파일을 찾는 데 쓰이는 Everything.exe라는 애플리케이션을 함께 사용한다. 암호화된 파일은 ‘.FreeWorldEncryption’ 확장자로 저장되며, 몸값을 지불하는 방법이 적힌 ‘FreeWorld-Contact.txt’ 텍스트 파일도 배포된다.

MS SQL 기반 공격에 대한 방어
보안 기업 트러스트웨이브(Trustwave)가 지난 7월 발표한 보고서에 따르면, MS SQL은 현재 공격자들에게 가장 자주 표적이 되는 관계형 데이터베이스 관리 시스템이며 대부분의 공격은 무차별 암호 대입 방식으로 이뤄진다. 다시 말해 MS SQL 데이터베이스의 고유하고 복잡한 비밀번호를 인터넷에 노출시키는 것은 매우 위험하다. 이번 공격에서 강조됐듯 xp_cmdshell 함수 활성화는 심각한 위험을 초래할 수 있기에 시스템에서 가능한 한 제한해야 한다. 이 함수가 활성화되지 않았다면 공격자가 시스템에서 원격 코드 실행 권한을 얻기가 훨씬 더 어려웠을 것이다. 

시큐로닉스 연구원은 인터넷에 직접 노출하는 대신 VPN 터널을 사용해 MS SQL 서버에 액세스하는 것을 권장했다. 또한 ‘C:\Windows\Temp’와 같은 일반적인 멀웨어 설치 경로를 항상 모니터링하고, 시스몬(Sysmon)이나 파워셸(PowerShell) 로깅 같은 프로세스 수준의 로깅을 배포하라고 조언했다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.