Offcanvas

랜섬웨어 / 서버 / 악성코드

“VM웨어 ESXi 서버 랜섬웨어, 복구 스크립트 무력화하는 버전 나왔다”

2023.02.10 Jon Gold  |  Network World
FBI와 CISA가 VM웨어 ESXi 서버를 타깃으로 한 ESXiArgs 랜섬웨어용 복구 스크립트를 내놨지만 해당 랜섬웨어가 이 복구 절차를 우회하도록 업데이트됐다는 보도가 전해졌다.  

지난 수요일(현지 시각) FBI와 CISA(Cybersecurity and Infrastructure Security Agency)가 전 세계 VM웨어 ESXi 서버를 타깃으로 한 대규모 랜섬웨어 공격으로 피해를 입은 기업들을 위해 복구 스크립트를 배포했다. 하지만 해당 맬웨어가 이 복구 절차를 무력화하도록 진화했다는 보도가 나왔다. 
 
ⓒGetty Images Bank

VM웨어의 ESXi 베어메탈 하이퍼바이저를 타깃으로 한 [이번] 공격은 프랑스의 사이버 침해 사고 대응팀(CERT-FR)에 의해 2월 3일 처음 알려졌으며, 이전 버전의 소프트웨어를 실행하거나 최신 버전으로 패치되지 않은 ESXi 인스턴스를 대상으로 삼았다. 

→ “VM웨어 가상화 서버, 대규모 랜섬웨어 공격 감염” 전 세계 정부 기관 경보 잇달아

CISA와 FBI는 전 세계적으로 약 3,800개의 서버가 피해를 봤다고 밝혔다. 이 랜섬웨어는 취약한 가상머신의 구성 파일을 암호화하여 [잠재적으로] 사용할 수 없게 만든다. 피해를 입은 한 기업에는 약 2만 3,000달러의 비트코인이 몸값으로 요구됐다. 

CISA는 FBI와 함께 복구 스크립트를 공개하면서, 해당 스크립트가 피해를 본 구성 파일을 삭제하지 않고 새 구성 파일을 만든다고 말했다. 이어 몸값 요구를 피할 수 있는 보장된 방법이 아니며, 애초에 ESXiArgs 공격을 허용한 근본적인 취약점을 수정하진 못하지만 영향을 받은 회사에 중요한 첫 단계가 될 수 있다고 전했다. 

아울러 CISA는 스크립트를 실행한 후 즉시 서버를 최신 버전으로 업데이트하고, ESXiArgs 공격자가 가상머신을 손상시키는 데 사용한 SLP(Service Location Protocol) 서비스를 비활성화하며, 시스템을 다시 초기화하기 전에 ESXi 하이퍼바이저를 공용 인터넷에서 차단해야 한다고 권고했다. 

하지만 CISA가 지침을 발표한 이후 이 랜섬웨어의 새로운 버전이 서버를 감염시키고, 해당 복구 방법을 무력화하고 있다는 보도가 나왔다. 이 소식은 블리핑 컴퓨터(Bleeping Computer)에 의해 처음 보고됐다. 

보도에 따르면 한 가지 중요한 변화는 해당 랜섬웨어가 타깃으로 삼는 구성 파일의 더 많은 비율을 암호화하여 CISA 스크립트가 클린한 대안을 만드는 것을 [불가능하진 않더라도] 어렵게 만든다는 것이다. 또 블리핑 컴퓨터의 시스템 관리자는 ESXiArgs 공격의 새로운 버전은 SLP가 활성화되지 않은 시스템에서도 작동할 수 있다고 언급했다. 

가트너의 수석 애널리스트 존 아마토는 “[개인적으로] 이것이 사실인지 확인할 수 없었다. 다른 유명 보안 연구기관도 마찬가지다. 확실히 그럴 듯하긴 하지만 그럴듯함과 확인 사이에는 큰 차이가 있다”라고 말했다. 이어 그는 피해를 입은 기업이 복구 스트립트를 시도하는 것은 여전히 좋은 생각이라면서, “시도할 가치가 있다. 몇 분 밖에 들지 않는다”라고 덧붙였다. 

한편 FBI와 CISA는 피해를 입은 기업이 다음의 3단계를 취해야 한다고 권장했다. 가능하다면 시스템을 최신 표준(ESXiArgs 공격에 취약하지 않음)으로 패치하고, SLP 서비스를 종료하며, 공용 인터넷에서 시스템을 차단하는 것이다. 해당 랜섬웨어 공격은 이미 알려진 CVE-2021-21974 취약점을 노렸다. 이 취약점 패치는 2021년 2월 23일에 배포됐다. 

사이버 보안 회사 센시스(Censys)에 의하면 이 공격은 주로 프랑스, 미국, 독일의 서버를 타깃으로 했으며, 아울러 캐나다와 영국에서도 상당수의 피해 기업이 발생했다. 

추가 공격을 방지하기 위해 CISA와 FBI는 정기적인 오프라인 백업 유지, 알려진 맬웨어 벡터(예: SMB 네트워크 프로토콜 초기 버전 등) 제한, 높은 수준의 내부 보안 등을 포함하는 추가 조치 목록도 공개했다. ciokr@idg.co.kr
 
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.