하우리(대표 김희천)는 최근 유출된 미국 NSA의 윈도우 취약점 공격도구를 활용해 윈도우 서버를 공격해 서버 내 파일들을 암호화하는 랜섬웨어가 등장해 서버 관리자들의 주의가 필요하다고 밝혔다.

최근 ‘쉐도우브로커’라는 해커조직은 미국 정보기관인 NSA를 해킹해서 사이버무기로 사용하고 있던 윈도우 서버 취약점 공격도구를 유출시키고 이를 공개했다. 해당 취약점은 약 120초 만에 윈도우 서버를 장악할 수 있으며 현재 일반에 공개되며 많은 사이버 범죄자들에 악용되기 시작했다.

특히 이번 랜섬웨어는 해당 취약점을 사용해 윈도우 서버 2008 등 윈도우 서버를 장악하고 해당 서버 내에 있는 실행파일을 제외한 모든 파일들을 암호화한다. 여기에는 웹 서버에서 운영되는 “CGI” 파일들을 비롯하여 이미지, 문서 등이 포함된다. 암호화한 파일에는 “.aes_ni_0day” 확장자를 추가한다.

해당 랜섬웨어는 256비트 키를 갖는 “AES” 암호 알고리즘을 이용해 파일들을 암호화하고, 암호에 사용한 키는 다시 “RSA” 공개키를 이용해 암호화한다. 따라서 해커가 가지고 있는 “RSA” 개인키가 없이는 복호화가 불가능하다. 해당 취약점을 막기 위해서는 마이크로소프트에서 제공하는 최신 보안 업데이트를 수행해야 한다.

최상명 CERT실장은 “현재 해당 취약점에 대한 보안 패치는 나온 상태이므로 반드시 패치를 수행해야 한다”라며 “서버 같은 경우는 안전성을 이유로 보안패치를 늦게 하는 경우가 많은 데 검토 후 최대한 빨리 패치를 할 것을 권고한다”라고 말했다.

★정보보안 대표 미디어 데일리시큐!★