윈도우 디펜더 무력화 및 백업 프로세스 강제 종료
러스트 언어 기반 풀스택 암호화 도구로 이중 갈취

[보안뉴스 김형근 기자] 지난남아시아 IT 기업을 대상으로 신종 랜섬웨어 ‘스파이럴스’(Spirals)가 발견됐다. 이들은 최초 침투부터 네트워크 전체 암호화까지 24시간이 걸리지 않는 초고속 장악력을 보이며, 보안업계에 충격을 줬다. 이 악성코드는 이번 공격을 위해 특수 제작됐거나, 완전히 새로운 러스트(Rust) 언어 기반 페이로드로 분석된다.


[출처: gettyimagesbank]

시만텍 위협 분석팀(Symantec Threat Hunter Team) 분석에 따르면, 공격자는 인터넷에 노출된 인터넷 정보 서비스(IIS) 웹 서버를 손상시키고 ASP.NET 웹셸을 업로드해 초기 접근 권한을 확보했다.

이후 단 몇 분 만에 정상 브라우저 파일로 위장한 터널링 도구와 클라우드플레어 터널 클라이언트를 구축해 외부와 통신하는 다중 은닉 채널을 확보했다. 3시간가량 이어진 대화형 세션에서 사용자 계정 컨트롤(UAC) 우회로 권한을 높이고 보안 계정 관리자(SAM) 하이브를 탈취했다.

이튿날에는 원격 실행 도구인 PsExec을 활용해 대규모 페이로드 배포를 시작했다. 단일 호스트에서 몇 초 간격으로 네트워크 내 수많은 표적 시스템에 동일한 악성 파워셸 스크립트를 밀어 넣었다. 해당 스크립트는 윈도우 디펜더 실시간 모니터링을 즉각 비활성화했다. 또 암호화 과정에서 파일 핸들 충돌을 막기 위해 가상화·백업·데이터베이스(DB) 등 23개 핵심 서비스를 강제로 멈춰 세웠다.

스파이럴스 랜섬웨어의 실행 파일은 정상 윈도우 유틸리티를 위장한 ‘bitsadmin.exe’ 이름으로 여러 네트워크 공유 폴더에 복제됐다. 이 악성코드는 러스트 언어로 작성됐고, 방어 회피 및 권한 상승 기능을 갖춘 풀스택 암호화 도구다.

시스템을 암호화한 뒤엔 6일 이내에 몸값을 지불하지 않으면 탈취한 기업 데이터를 공개하겠다는 내용이 담긴 랜섬노트를 남겨 전형적인 이중 갈취 행태를 보였다.

시만텍 위협 분석팀은 “현재 스파이럴스의 공격 사례는 단 한건만 보고됐으나, 해커들의 작전 수행 능력을 고려할 때 대규모 연쇄 공격으로 번질 위험이 크다”며 “외부로 노출된 웹 서버에 대한 웹셀 탐지 강화를 비롯해 비정삭적 WMI 및 PsExec 행위감사, 주요 시스템 자격 증명 보호 등 공격 표면을 축소하는 보안 활동 및 방어막 구축이 필요하다”고 말했다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>