파일 전송 소프트웨어 하나가 세계를 흔들었습니다
미국 CISA에 따르면 2023년 5월 27일부터 Cl0p 랜섬웨어 조직(TA505로도 불림)이 Progress Software의 파일 전송 솔루션 MOVEit Transfer에서 SQL 인젝션 제로데이 취약점(CVE-2023-34362)을 악용하기 시작했습니다. Progress는 5월 31일 취약점을 공개하고 패치를 배포했습니다.
MOVEit Transfer는 기업과 정부 기관이 민감한 파일을 주고받을 때 쓰는 관리형 파일 전송(MFT) 도구입니다. 공격자는 인터넷에 노출된 MOVEit Transfer 서버를 진입점 삼아 대량의 데이터를 빼냈습니다. 직접 서버를 운영한 기관뿐 아니라, 이 도구를 쓰는 협력사에 데이터를 맡긴 기관까지 피해가 번졌습니다.
피해 규모
Emsisoft는 미국 주 정부 유출 신고, SEC 공시, 기타 공개 자료와 Cl0p 유출 사이트를 모아 피해를 집계했습니다. 2024년 6월 28일 기준 영향받은 기관은 2,773곳, 피해자는 약 9,579만 명(95,788,491명)입니다. 범죄 조직이 공개한 자료도 섞여 있고, Emsisoft도 한 사람이 여러 기관에서 겹쳐 집계됐을 수 있다고 밝혀 추정치로 봐야 합니다.
피해 기관의 78.9%는 미국, 13.5%는 캐나다에 있었습니다.
피해 인원이 많은 기관 (Emsisoft 집계)
| 기관 | 피해 인원 |
|---|---|
| Maximus | 1,130만 명 |
| Welltok | 1,000만 명 |
| Delta Dental of California 및 계열사 | 690만 명 |
| 루이지애나주 차량국(Office of Motor Vehicles) | 600만 명 |
| Alogent | 450만 명 |
공격 방식
CISA 권고(AA23-158A) 기준입니다.
- SQL 인젝션: 인터넷에 노출된 MOVEit Transfer 웹 애플리케이션의 SQL 인젝션 취약점을 악용
- 웹셸 설치: 정상 파일
human.aspx를 흉내 낸human2.aspx웹셸(LEMURLOOT)을 업로드 - 데이터 탈취: 웹셸로 MOVEit Transfer 데이터베이스의 파일을 내려받고, Azure Blob Storage 계정·키 같은 Azure 설정 정보도 빼냄
- 협박: 몸값을 내지 않으면 훔친 파일을 Cl0p 유출 사이트에 공개하겠다고 위협
CISA는 Cl0p이 2021년부터 암호화보다 데이터 탈취 위주로 협박하는 방식을 선호해 왔다고 설명합니다. 이번 캠페인도 파일을 잠그기보다 빼내는 데 집중했습니다.
교훈
- 파일 전송 솔루션은 핵심 공격 표면: Progress는 패치 전까지 MOVEit Transfer로 가는 HTTP·HTTPS(80·443 포트) 트래픽을 방화벽에서 막고, 패치를 바로 적용하라고 안내했습니다
- 공급망 단일 장애점: 하나의 소프트웨어가 수천 개 기관에 영향을 줍니다. 내 데이터를 다루는 협력사가 어떤 전송 도구를 쓰는지도 점검 대상입니다
- 침해 흔적 점검: 패치와 별개로
human2.aspx같은 낯선 웹셸 파일과 비정상적인 대량 다운로드 기록을 확인합니다 - 제로데이 대비: WAF 규칙, 네트워크 세분화, 이상 트래픽 모니터링으로 패치 전 공백을 줄입니다
- 저장 데이터 최소화: 전송이 끝난 파일을 오래 쌓아 두지 않으면 같은 침해에도 빠져나갈 데이터가 줄어듭니다
참고 자료