24시간 만에 네트워크 장악... 신종 랜섬웨어 ‘스파이럴스’ 발견

요약 : 시만텍 위협 분석팀이 남아시아 IT 기업을 대상으로 최초 침투부터 네트워크 전체 암호화까지 24시간이 걸리지 않는 초고속 장악력을 보인 신종 랜섬웨어 「스파이럴스(Spirals)」를 발견했으며, 공격자는 인터넷에 노출된 IIS 웹 서버를 손상시켜 ASP.NET 웹셸로 초기 접근한 뒤 정상 브라우저 파일로 위장한 터널링 도구와 클라우드플레어 터널 클라이언트로 다중 은닉 채널을 구축하고 UAC 우회로 권한을 상승시켜 SAM 하이브를 탈취했으며, 이튿날 PsExec으로 네트워크 내 수많은 표적 시스템에 파워셸 스크립트를 동시 배포해 윈도우 디펜더 실시간 모니터링을 비활성화하고 가상화·백업·DB 등 23개 핵심 서비스를 강제 종료한 뒤, 정상 윈도우 유틸리티 「bitsadmin.exe」로 위장한 러스트(Rust) 언어 기반 풀스택 암호화 도구로 시스템을 암호화하고 6일 이내 몸값 미지급 시 데이터 공개를 협박하는 이중 갈취 행태를 보인 만큼, 외부 노출 웹 서버의 웹셸 탐지 강화·비정상 WMI 및 PsExec 행위 감사·주요 시스템 자격 증명 보호 등 공격 표면 축소가 시급하다는 것이 기사의 주된 메시지입니다.

느낀점/소감 : 결국 공개된 인터넷 사이트를 통해 초기 접근을 한건데 여기서부터 막았으면 문제 없겠는데… 하지만 아쉬울 뿐이다. 그래서 초기 접근부터 잘 봉쇄를 하거나 따로 보안 조치를 잘 해놨으면 크게 문제는 없어보이는데 웹셸을 잘 막아놓지 못한건지 아쉬운 상황같고 이런 기사를 보며 나도 클라우드 서버를 이용중에있어 보안 점검을 한번 더 해봐야겠다는 생각이 들었다.