워나크라이 랜섬웨어: 10.69달러짜리 킬 스위치 이야기

이 블로그 글의 AI 요약으로 바로 가기

2017년 5월 12일, 전 세계의 화면이 붉게 물들었습니다.

영국 내 48개 병원이 구급차 수용을 거부했다. 페덱스는 배송을 중단했다. 르노는 프랑스의 생산 라인을 멈췄다. 선더랜드의 닛산도 마찬가지였다. 마드리드의 텔레포니카도 마찬가지였다. 독일의 도이체반 출발 안내판도 멈춰 섰다. 수술이 취소되었다. 물류망이 마비되었다.

불과 몇 시간 만에 150개국에 걸쳐 20만 대 이상의 컴퓨터가 똑같은 메시지와 함께 잠겨버렸습니다:

아차, 파일이 암호화되었습니다.

이 랜섬웨어의 이름은 WannaCry라고 불렸다.

그리고 그 혼란의 한복판에서, 정부의 지휘 본부나 기업의 사고 대응 센터와는 거리가 먼 영국 일프러컴에서, 22세의 서퍼이자 독학으로 사이버보안을 연구하던 한 청년이 코드 속에 숨겨진 이상한 점을 발견했다.

길고 별 의미 없어 보이는 웹 주소.

그는 그것을 10.69달러에 샀다.

그 후 일어난 일로 그는 유명해졌다.

3개월 후 일어난 일 때문에 그 이야기는 결코 잊을 수 없게 되었다.

이것이 바로 TuxCare '트루 사이버 범죄' 만화 시리즈 제4호: WANNACRY입니다.

WannaCry가 이렇게 빨리 확산될 줄은 몰랐다

대부분의 랜섬웨어는 피해자가 먼저 실수를 저지르기를 기다립니다.

위험한 첨부 파일. 악성 링크. 한 번의 부주의한 클릭.

WannaCry는 그런 것들이 전혀 필요하지 않았다.

이는 마이크로소프트의 SMBv1 프로토콜에 존재하는 취약점을 악용하여 EternalBlue – NSA가 개발하고 2017년 4월 섀도우 브로커스(Shadow Brokers)에 의해 유출된 강력한 익스플로잇을 사용하여 마이크로소프트의 SMBv1 프로토콜에 있는 취약점을 악용해 스스로 확산되었습니다. 원나크라이(WannaCry)는 취약한 윈도우 컴퓨터 한 대를 발견하면 자동으로 다음 대를 찾아냈습니다. 그리고 또 다음 대를, 또 다음 대를 찾아냈습니다.

몇 시간 만에 이 웜은 병원, 공장, 물류 기업, 통신사, 공공 인프라를 휩쓸었다. 특히 영국의 국민보건서비스(NHS)가 큰 타격을 입었다. 페덱스, 닛산, 르노 등 여러 기업은 자사 시스템이 마비되는 상황을 실시간으로 지켜봐야 했다. 전 세계의 보안 팀들은 인간의 대응을 기다려주지 않는 악성코드와 갑작스럽게 사투를 벌여야 했다.

가장 불편한 점은?

그 패치는 이미 존재했다.

마이크로소프트는 MS17-010 을 2017년 3월 14일, 즉 사태 발생 두 달 전에 공개했습니다. NHS가 피해를 입은 이유는 패치가 존재하지 않았기 때문이 아닙니다. 패치가 적용되지 않았기 때문입니다. 병원, 공장, 노후화된 인프라 등 현실 세계의 곳곳에서 패치는 단순히 공개되었다는 이유만으로 바로 적용되지는 않습니다. 어떤 시스템은 오래되었고, 어떤 시스템은 취약하며, 어떤 시스템은 비즈니스에 필수적입니다. 또 어떤 시스템은 구석에 방치되어 있으며, 모두가 이해하는 비공식적인 경고가 붙어 있습니다. "꼭 필요한 경우가 아니면 재부팅하지 마십시오."

워나크라이(WannaCry)는 이러한 일상적인 보안 침해 사태를 전 세계적 비상사태로 번지게 만들었다.

아무도 예상하지 못했던 킬 스위치

제4호의 주인공은 마커스 허친스로, 온라인에서는 MalwareTech로 알려져 있습니다.

WannaCry가 확산되던 그날 아침, 허친스는 연단 뒤에 서 있지도 않았고 글로벌 대응팀을 지휘하고 있지도 않았다. 그는 자택에 머물며 자신의 컴퓨터로 악성코드를 분석하고, 전 세계가 어떤 상황에 직면해 있는지 파악하려 애쓰고 있었다.

그러다 그는 그 도메인을 발견했다.

랜섬웨어에 하드코딩된 길고, 뒤죽박죽이며, 등록되지 않은 웹 주소: iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com.

그는 이 앱에 10달러 69센트를 내고 가입했는데, 이를 통해 감염 확산 상황을 파악하는 데 도움이 될지도 모른다고 생각했기 때문이다.

대신 그는 워나크라이의 킬 스위치를 작동시켰다.

도메인 연결이 정상화되자 웜의 전 세계적 확산 속도는 급격히 둔화되었다. 10.69달러짜리 구매가 역사상 가장 파괴적인 사이버 공격 중 하나를 막는 데 일조했으며, 공격자들의 총 수익은 약 14만 3천 달러로 제한했다. 수천만 달러를 벌어들이고 지구상 병원 절반을 마비시킬 뻔했던 작전에 비하면 푼돈에 불과한 금액이다.

해안 마을의 한 서퍼. 인터넷에 유출되어 떠도는 사이버 무기. 이상한 도메인 이름. 호기심과 본능, 그리고 신용카드 한 장이 불러온 세계적 위기.

바로 그 이유 때문에 이 이야기는 만화에 실려야 마땅합니다.

하지만 이건 단순한 영웅 이야기가 아니다

‘워나크라이’에 대한 대중적인 해석은 간단하다. 한 젊은 영국 연구원이 인터넷을 구했다는 것이다.

그 버전이 사실입니다. 하지만 불완전하기도 합니다.

공격이 발생한 지 3개월 후, 허친스는 세계에서 가장 유명한 해커 컨퍼런스인 DEF CON에 참석하기 위해 라스베이거스로 향했다. 그때쯤 그는 사이버 보안계의 유명인사가 되어 있었는데, 바로 워나크라이를 막는 데 일조한 뜻밖의 영웅이었다.

그러다 귀국길에 공항에서 FBI가 그를 체포했다.

‘워나크라이’ 때문이 아니다. 전혀 다른 무언가 때문이었다. 그의 과거 시절에 있었던 일 때문이다.

바로 그곳에서 WANNACRY가 단순한 사이버 공격의 재현을 넘어서는 의미를 갖게 됩니다.

이 이야기는 재능과 결과, 속죄, 그리고 사이버 보안의 기묘한 도덕적 지형에 관한 것이 된다. 바로 악성코드를 만들 수 있는 그 기술적 두뇌가, 동시에 그것을 막을 수 있는 주체가 되기도 하는 그 지형 말이다.

허친스는 흠잡을 데 없는 영웅으로 그려지지 않는다. FBI는 만화 속 악당처럼 묘사되지 않는다. 법정은 이 이야기에 단순한 결말을 선사하지 않는다.

공격자와 수비자의 경계는 항상 명확한 것은 아니다. 때로는 선택과 그 결과, 그리고 자신의 능력이 지닌 무게를 깨달은 후 그 능력을 어떻게 사용할지 결정하는 과정을 거쳐서야 비로소 그 경계가 그려지기도 한다.

그 모호한 경계가 바로 4호의 핵심입니다.

우리가 왜 ‘완나크라이’를 만화로 만들었는지

사이버 보안의 역사는 컨퍼런스 발표 자료의 슬라이드나 연표의 간략한 항목으로 축소되어 전해지는 이야기들로 가득 차 있다.

WannaCry는 더 나은 대우를 받아야 한다.

이 사건에는 모든 요소가 담겨 있습니다. 유출된 NSA의 사이버 무기, 스스로 복제되는 랜섬웨어 웜, 위기에 처한 병원들, 신비로운 킬 스위치, 갑작스레 유명세를 탄 젊은 연구원, 그리고 사건의 전개를 완전히 뒤바꾼 공항에서의 체포까지 말이죠.

하지만 더 중요한 것은, 여전히 중요하다는 점이다.

WannaCry는 강력한 악용 기법이 노후되고 패치가 적용되지 않은 인프라와 만나면 어떤 일이 벌어지는지 미리 보여준 사례였습니다. 이는 기술적 부채가 얼마나 빠르게 운영상의 위기로 이어지는지를 보여주었습니다. 또한 보안은 운이나 영웅적인 행동, 혹은 한 연구원이 적시에 적절한 문자열을 발견하는 것에만 의존해서는 안 된다는 점을 여실히 드러냈습니다. MS17-010 보안 권고문이 발표되었지만, 실제로 적용되지 않았을 뿐입니다.

보안은 반드시 유지되어야 합니다.

매일. 모든 시스템에서. 해당 시스템이 가동되는 한.

그 교훈은 여전히 시급한 문제입니다. 어쩌면 2017년보다 지금이 더 시급할지도 모릅니다.