워너크라이 랜섬웨어 사태

1.스스로 퍼지는 랜섬웨어#

워너크라이는 윈도의 파일 공유 프로토콜(SMB) 취약점을 이용해 네트워크 안의 다른 컴퓨터로 스스로 옮겨 갔다. 이 취약점을 노린 공격 도구 '이터널블루'는 미국 국가안보국(NSA)이 만든 것으로, 그해 4월 해커 집단 섀도 브로커스가 공개했다. 마이크로소프트는 3월에 보안 패치를 냈지만 업데이트하지 않았거나 지원이 끝난 윈도를 쓰던 기관들이 피해를 입었다. 감염된 화면은 파일을 되찾으려면 비트코인으로 300달러를 내라고 했고, 사흘이 지나면 600달러로 올렸다. 몸값은 코드에 박힌 비트코인 주소 세 곳으로 받았다.

2.병원과 킬 스위치#

피해가 가장 크게 드러난 곳은 영국 국민보건서비스(NHS)였다. 영국 감사원(NAO)에 따르면 잉글랜드 병원 트러스트 236곳 가운데 최소 81곳과 일반의 진료소 595곳이 영향을 받았고, NHS 잉글랜드가 확인한 진료 취소만 6,912건이었다. 응급실 다섯 곳은 환자를 다른 병원으로 돌렸다. 확산은 첫날 저녁 영국 보안연구원 마커스 허친스(Marcus Hutchins)가 코드 안에서 등록되지 않은 도메인 이름을 발견해 직접 등록하면서 멈췄다. 악성코드는 이 도메인에 접속되면 활동을 멈추게 짜여 있었고, 이것이 '킬 스위치' 역할을 했다. 감사원은 감염된 기관들이 모두 같은 취약점을 갖고 있었고 기본 보안 조치로 막을 수 있었다고 결론 내렸다.

3.몸값의 행방과 북한#

감염 규모에 비해 들어온 몸값은 적었다. 2017년8월3일 새벽 몸값 주소 세 곳에서 약 52 BTC, 당시 약 14만 달러가 한꺼번에 빠져나갔다. 자금 일부는 가입 없이 코인을 바꿔 주던 셰이프시프트를 거쳐 추적이 어려운 모네로로 바뀌었고, 셰이프시프트는 공격자가 자사 서비스를 쓴 사실을 확인하고 관련 주소를 막았다. 미국 정부는 2017년12월19일 톰 보서트 국토안보보좌관 브리핑에서 워너크라이의 배후로 북한을 공식 지목했고, 영국·호주·캐나다·뉴질랜드·일본도 같은 판단을 냈다. 미국 법무부는 2018년9월6일 북한 위장회사 조선엑스포 소속 프로그래머 박진혁을 워너크라이, 2014년 소니픽처스 해킹, 2016년 방글라데시 중앙은행 8,100만 달러 탈취에 가담한 혐의로 기소했다. 이 조직은 흔히 라자루스 그룹으로 불린다.

4.연표6건

1. 2017.03출시마이크로소프트, SMB 취약점 보안 패치(MS17-010) 배포
2. 2017.04사건섀도 브로커스, NSA 공격 도구 이터널블루 공개
3. 2017.05사건5월12일 워너크라이 확산, NHS 등 150개국 피해, 같은 날 킬 스위치 도메인 등록
4. 2017.08사건8월3일 몸값 주소에서 약 52 BTC 인출, 일부 모네로로 전환
5. 2017.12규제12월19일 미국 정부, 북한을 배후로 공식 지목
6. 2018.09규제9월6일 미국 법무부, 북한 프로그래머 박진혁 기소