랜섬웨어 Q1 공격 경로: 초기 접근에서 횡적 이동까지

세 고객의 피해 사례에서 시작합니다

올해 1분기 저희는 랜섬웨어 사건 세 건을 처리했습니다. 한 건은 RDP 무차별 대입, 한 건은 피싱 메일, 또 한 건은 공급업체가 원격 유지보수를 하던 중 백도어가 심어진 사례였습니다. 세 사례의 공격 경로는 거의 교과서적인 침해 체인을 이룹니다. 사후 분석에서 고객들은 모두 같은 질문을 했습니다. “방화벽이 분명히 켜져 있는데 어떻게 들어온 거죠?” 답은 대개 이렇습니다. 공격자는 정문으로 들어오지 않았습니다. 측면 문으로 들어왔습니다.

이것은 과장이 아닙니다. 저희가 모니터링한 공격 로그에 따르면, 1분기 베이징 지역 기업이 겪은 랜섬웨어 공격 가운데 78%의 초기 접근이 세 가지 일반적 경로에서 발생했습니다: RDP 3389 포트 노출, 메일 피싱, 그리고 협력업체를 통한 공급망 침투. 이 세 가지 경로가 중소기업 랜섬웨어 피해 시나리오의 거의 전부를 차지합니다. 이제 공격 체인을 단계별로 풀어보겠습니다. 각 단계마다 실제 사례를 익명 처리해 분석합니다.

1단계: 초기 접근 — 세 개의 열쇠로 하나의 자물쇠를 엽니다

공격자의 첫 단계는 언제나 ‘입장권’을 확보하는 것입니다. 이들은 가리지 않습니다. 쓸모 있는 열쇠라면 무엇이든 사용합니다.

RDP 무차별 대입은 가장 흔한 열쇠입니다. 작년 한 무역 회사에서 IT 관리자가 간편하게 처리하려고 재무 서버의 3389 포트를 그대로 공용 인터넷에 매핑했고, 비밀번호는 “Admin123!”으로 설정했습니다. 공격자는 사전 대입 스크립트를 사흘 동안 돌려 로그인에 성공했습니다. 그날 밤 공격자는 서두르지 않고 2주에 걸쳐 이 회사의 AD 구조와 백업 정책, 심지어 재무 소프트웨어의 관리자 계정까지 파악했습니다. 실제 암호화는 어느 금요일 밤 9시에 시작되었습니다. IT 담당자가 다음 날 출근했을 때 18대의 서버가 모두 감염되어 있었습니다.

피싱 메일은 또 다른 만능 열쇠입니다. 올해 2월에 겪은 사례에서 공격자는 순펑 택배로 위장해 피싱 메일을 보냈고, 첨부된 압축 파일 안에는 평범해 보이는 PDF 아이콘이 들어 있었습니다. 직원이 더블클릭하자 HTA 스크립트가 백그라운드에서 Cobalt Strike를 내려받았고, PowerShell은 파일을 남기지 않고 메모리에서 직접 실행했습니다. 보안 소프트웨어가 반응했을 때에는 이미 측면 이동이 절반 넘게 완료된 상태였습니다.

공급망 침투는 가장 막기 어려운 열쇠입니다. 공격 대상이 당신이 아니라 당신의 서비스 제공업체이기 때문입니다. 한 제조업 고객이 해킹당한 이유는 황당합니다. ERP 구축을 맡은 외주 업체가 원격 유지보수에 취약한 비밀번호의 VPN을 사용했고, 공격자가 그 회선을 따라 고객 내부망까지 곧바로 들어온 것입니다. 이는 마치 우리 집 방범문이 아무리 튼튼해도 옆집이 열쇠를 잃어버리면 도둑이 그대로 들어올 수 있는 것과 같습니다.

2단계: 측면 이동 — 한 대의 장비에서 전체 네트워크 붕괴까지

초기 진입점을 확보한 공격자는 한 대의 장비에 만족하지 않습니다. 이들이 노리는 것은 전체 네트워크를 장악할 때까지 세력을 확장하는 것입니다.

흔한 측면 이동 기법으로는 Pass-the-Hash, Mimikatz 자격 증명 탈취, NTLM 릴레이, 그리고 ms17-010 같은 내부망 구형 취약점 악용이 있습니다. 내부망의 특정 장비에서 관리자 자격 증명을 확보하면, 공격자는 Cobalt Strike나 유사 도구로 내부망의 살아 있는 호스트를 대량 탐색합니다. 저희가 관찰한 바로 랜섬웨어가 가장 먼저 노리는 장비는 도메인 컨트롤러, 백업 서버, VMware vCenter, 그리고 공유 스토리지가 연결된 파일 서버입니다. 당연한 일입니다. 이 장비들을 먼저 장악하면 암호화 효과가 가장 크고 몸값 수익이 극대화됩니다.

측면 이동 과정에서 공격자는 한 가지 일을 더 합니다. 보안 소프트웨어를 끄는 것입니다. PsExec로 원격에서 명령줄을 실행하거나, 메모리에 악성 프로세스를 직접 로드해 백신의 행위 탐지를 우회합니다. 한 사건에서 고객은 유명 백신을 설치했지만, 공격자가 GPO로 백신 비활성화 정책을 일괄 배포했습니다. 원인은 도메인 관리자 비밀번호 유출이었고, 공격자는 도메인 컨트롤러 권한을 그대로 획득했습니다.

측면 이동 전체는 보통 48~72시간 이내에 완료되지만, 공격자는 일부러 속도를 늦추며 정상 관리자의 행동을 모방하는 경우가 많습니다. 예를 들어 업무 시간에만 조작하고, 로그를 지우고, 낮은 권한의 계정으로 먼저 정찰합니다. 이 때문에 임계값 기반 경보 시스템 상당수가 완전히 무력화됩니다.

방어 핵심: 6단계로 공격 체인 끊기

공격 경로를 아는 것만으로 막을 수 있는 것은 아닙니다. 실무에서는 다음 우선순위에 따라 대응할 것을 권합니다.

1. RDP 직접 노출 차단. 3389 포트를 공용 인터넷에서 내리고 VPN 또는 Siwenlide의 제로 트러스트 접속 솔루션으로 대체하십시오. RDP가 반드시 필요하다면 네트워크 수준 인증(NLA) + 2단계 인증을 활성화해야 합니다.
2. 메일 보안은 스팸 필터에만 의존할 수 없습니다. 메일 게이트웨이의 첨부 파일 샌드박스 분석을 도입하고, HTA·JS·VBS 같은 스크립트 첨부 파일은 즉시 차단할 것을 권합니다.
3. 공급망 보안은 별도 감사가 필요합니다. 모든 제3자 원격 접속에 개별 계정을 발급하고 점프 서버를 경유하게 하며, 모든 작업을 화면 녹화로 감사하십시오. 저희가 한 제조업 고객의 공급업체 접속 감사를 진행했을 때 원격 계정의 34%가 비밀번호를 한 번도 변경하지 않은 상태였습니다.
4. 내부망 분할 격리. 생산망, 사무망, 방문자망은 반드시 물리적 또는 논리적으로 격리해야 합니다. 도메인 컨트롤러에는 불필요한 소프트웨어를 설치하지 말고, 불필요한 장비에 445 포트를 개방하지 마십시오.
5. 특권 계정 관리. 도메인 관리자, 백업 관리자, 데이터베이스 DBA의 비밀번호는 모두 PAM(특권 접근 관리)으로 관리하고 정기적으로 교체하며, 동일한 비밀번호를 재사용하지 마십시오.
6. 오프라인 백업이 최후의 방어선입니다. 3-2-1 원칙: 최소 세 개의 사본, 두 종류의 매체, 한 개는 오프라인 보관. 랜섬웨어는 섀도 복사본을 우선 삭제하므로, 물리적으로 격리된 백업 매체만이 생명줄입니다.

아직 내부망 침투 테스트를 해본 적이 없다면 가능한 한 빨리 한 차례 진행할 것을 권합니다. 저희가 최근 순이구의 한 공장에 테스트를 마쳤는데, 첫날부터 23대의 노후 서버가 SMBv1을 켜둔 상태였고, ms17-010만으로 작업장 전체 네트워크를 관통할 수 있었습니다. 취약점이 많은 것이 두려운 게 아니라, 어디에 있는지 모르는 것이 두렵습니다.