확산되기 전에 차단된 랜섬웨어 공격

마이크로소프트 디펜더가 최근 QNET 침해 사고를 첫 탐지부터 전체 기기 격리까지 단 128초 만에 중단시키며, 자동화된 보안 도구가 랜섬웨어 공격을 얼마나 빠르게 차단할 수 있는지를 보여줬다. 공격은 정상적인 윈도우 유틸리티인 mshta.exe를 악용하여 은밀하게 악성 페이로드를 가져오는 악성 파일로 시작됐다. 이후 공격자들은 지속성 확보, 자격 증명 탈취, 네트워크 내 이동을 시도했다. 디펜더의 자동 대응은 이 과정이 본격적인 랜섬웨어 사태로 번지기 전에 차단했다.

이 사건은 단순한 속도 때문만이 아니라, 사람 분석가의 개입 없이도 위협에 대응하도록 설계된 현대 보안 도구의 광범위한 변화를 보여준다는 점에서 주목할 만하다.

공격 전개 과정

QNET 침해는 랜섬웨어 캠페인에서 점점 더 흔하게 관찰되는 패턴을 따랐다. 명백히 악의적인 실행 파일을 배포하는 대신, 공격자들은 일반적으로 HTML 애플리케이션을 실행하는 데 사용되는 윈도우 바이너리인 mshta.exe에 기댔다. mshta.exe는 신뢰할 수 있는 서명된 시스템 도구이기 때문에, 낯설거나 서명되지 않은 파일에 초점을 맞춘 일부 전통적인 보안 검사를 우회할 수 있다.

mshta.exe를 통해 악성 파일이 실행되면, 감염된 기기에 발판을 마련하기 위한 2차 페이로드를 가져왔다. 이후 목표는 지속성을 확보하고, 자격 증명을 수집하며, 네트워크 전반으로 확산을 시도하는 것이었는데, 이는 결국 광범위한 암호화와 금품 갈취로 이어지는 많은 랜섬웨어 작전에서 볼 수 있는 기본 구성 요소들이다. 특히 자격 증명 탈취는 매우 중요한 단계로, 도난된 로그인 정보를 통해 공격자가 합법적인 사용자로 가장하여 보호된 시스템에 접근할 수 있게 해준다. 이러한 자격 증명 의존은 러시아 국가 연계 해커들이 Zimbra 제로데이를 악용해 2단계 인증 코드를 탈취한 사건을 비롯한 다른 최근 사례에서도 드러나, 자격 증명 접근이 종종 공격자들이 노리는 진짜 목표임을 보여준다.

128초 대응이 중요한 이유

이번 사건이 특별했던 이유는 공격 기법 자체(잘 알려진 방식) 때문이 아니라, 그것이 얼마나 빨리 무력화되었는가에 있다. 마이크로소프트 디펜더의 자동 기기 격리 기능은 악성 활동을 탐지하고, 최초의 높은 심각도 경고가 발생한 지 약 2분 만에 감염된 기기의 네트워크 연결을 차단했다. 이 격리 조치로 공격자들이 다른 시스템으로 수평 이동하는 것을 막을 수 있었는데, 이는 일반적으로 랜섬웨어 운영자들이 가치 있는 데이터를 식별하고, 백업을 비활성화하며, 전체 환경에 암호화 페이로드를 배포할 준비를 하는 단계다.

많은 랜섬웨어 사례에서 최초 침해부터 네트워크 전체에 영향을 미치기까지의 시간은 몇 시간 또는 며칠에 이를 수 있어, 보안 팀에게 조사할 시간을 주지만 공격자에게는 더 깊이 침투할 시간도 준다. 자동 격리는 이 시간 창을 극적으로 압축한다. 분석가가 경고를 검토하고, 이를 다른 신호와 연관시키고, 수동으로 기기를 격리하기를 기다리는 대신, 탐지에 대한 신뢰도가 충분히 높아지는 순간 시스템이 자체적으로 격리 조치를 취한다.

이것이 의미하는 바

전담 보안 운영 팀이 없는 일반 사용자와 소규모 조직에게는 이런 종류의 자동 대응이 어떠한 단일 탐지 개선보다 더 가치 있을 것이다. 랜섬웨어가 공격자를 탐지할 수 없기 때문에 성공하는 경우는 드물다. 탐지와 조치 사이에 종종 시차가 발생하고, 그 시차가 공격자에게 확산할 여지를 주기 때문에 성공한다. 감염된 기기를 자동으로 격리하는 도구는 그 여지를 거의 없앤다.

이는 랜섬웨어 보도에서 종종 간과되는 점을 강조하기도 한다. 예방도 중요하지만, 예방이 실패했을 때 피해 범위를 제한하는 것도 마찬가지로 중요하다는 점이다. 어떤 시스템도 교묘하게 위장된 악성 파일, 특히 mshta.exe와 같은 신뢰할 수 있는 윈도우 도구를 악용한 파일에 완벽하게 면역일 수는 없다. 격리된 사건과 값비싼 침해 사고를 가르는 요소는 종종 감염된 기기가 다른 모든 것과 얼마나 빨리 분리되느냐이다.

개인에게 실용적인 교훈은 특정 도구 자체보다는, 단순한 탐지 및 경고뿐 아니라 자동 대응 기능을 포함한 엔드포인트 보호의 가치에 관한 것이다. 소규모 비즈니스나 홈 네트워크의 기기를 관리한다면, 누군가가 그 후 조치를 취해야만 하는 알림에만 의존하지 않고 스스로 기기를 격리할 수 있는 보안 소프트웨어를 찾아야 한다.

실천 가능한 핵심 사항

엔드포인트 보호와 운영 체제를 완전히 최신 상태로 유지하라. 공격자들은 구형 방어 체계를 이용해 악성 파일을 탐지망을 빠져나가게 하는 경우가 빈번하기 때문이다. 예상치 못한 파일 다운로드나 이메일 첨부 파일에 주의하라. 이와 같은 사례에서의 초기 접근은 종종 단 하나의 악성 파일에서 시작된다. 가능하다면 경고만 제공하는 모니터링 대신 자동 격리 또는 격리 기능을 제공하는 보안 도구를 사용하라. 마지막으로, 자격 증명 탈취를 최우선 위험으로 간주하라. 가능한 모든 곳에 다중 요소 인증을 활성화하고 비정상적인 로그인 활동을 모니터링하라. 도난된 자격 증명은 공격자가 네트워크 내부에 진입한 후 접근 권한을 확장하는 가장 일반적인 경로 중 하나로 남아 있기 때문이다.

QNET 사례는 대응 속도가 초기 방어의 강도만큼 중요할 수 있음을 보여주는 유용한 사례다. 랜섬웨어 전술이 계속 진화함에 따라, 심각한 피해를 피할 가장 좋은 위치에 있는 조직과 개인은 몇 시간이 아닌 몇 초 만에 대응할 수 있는 도구를 갖춘 곳일 것이다.