원문 4시간 전

 입력 2017.5.14.

[시사뷰타임즈] 영국의 한 보안 연구원이 BBC에 영국의 국가의료보험(NHS)를 비롯 전세계적으로 수백 곳의 조직을 감염시킨 악성 몸값프로그램 확산을 ‘우연히’ 멈추게 한 경위를 설명했다.

‘악성프로그램 텍’이라는 가명으로 알려져있는 22세의 남자는 일주일 간의 휴가를 받았지만, 전세계적으로 컴퓨터가 공격을 받고 있다는 말을 듣고는 이 악성 몸값프로그램을 조사해보기로 결심했다.

그는 사기꾼이 쓰는 암호를 ‘죽이는 스위치’라고 여겨지는 것을 발견했고 가까스로 확산을 중지시켰다.

그는 “어느 정도는 우연한 것이었다”고 밤새 조사를 끝낸 뒤 BBC에 말하면서 “눈을 전혀 못 붙였다”고 했다.

그의 발견이 이미 악성 몸값프로그램이 손상 입힌 것을 고치니는 못하지만, 다른 컴퓨터들로 더 확산되는 것을 막게되자 ‘우연한 영웅’이라고 찬사를 받고 있다.

그는 BBC에 “정확한 말이다.”고 했다.

이어 “제게 좀 관심들이 지나칩니다. 사장님이 망가진 휴가를 벌충하라고 일주일 간의 휴가를 더 주셨습니다”라고 했다.

정확히 어떤 걸 발견했나?

이 연구원은 우선 이 못된 프로그램이 어떤 새로운 컴퓨터를 감염시킬 때마다 특정 사이트 주소에 접촉하려고 애를 쓴다는 사실을 알아차렸다.

그러나 이 못된 프로그램이 접촉하려는 웹 주소 -글자가 길게 마구 뒤섞여있는- 는 등록돼있는 것이 아니었다.

그는 이 웹주소를 등록하기로 마음 먹고는 10.69달러(12,000원 정도)를 주고 구입했다.

이제 악성 몸값프로그램이 패배한 건가?

웹 주소를 등록함으로써 악성 몸값프로그램이 이 컴퓨터에서 다른 컴퓨터들로 확산되는 것을 막은 것으로 보이긴 하지만, 이미 감염된 컴퓨터들을 고칠 수 있는 것은 아니다.

보안전문가들도 ‘암호를 죽이는 스위치’ 무시할 새로운 변종 악성 프로그램이 등장할 것이라고 경고했다.

보안연구원 트로이 헌트는 자신의 플로그에 올린 글에 “이 변종은 더 이상 확산되지는 않을 것이지만, 모방하는 자들이 분명히 있을 것”이라고 적었다.

이 글의 주인공은 다음과 같이 경고했다. “우리가 이번 악성프로그램은 막았지만, 또다른 것이 나타날 것이며 막을 수도 없을 것이다”

이어 “이 악성프로그램에는 많은 돈이 걸려있다. 그들이 중지할 이유가 없다. 암호를 바꿔 다시 출발하는데엔 많은 노력도 필요없다”고 덧붙였다.

Global cyber-attack: Security blogger halts ransomware 'by accident'

 

By Chris Foxx

Technology reporter

4 hours ago

 

A UK security researcher has told the BBC how he "accidentally" halted the spread of the malicious ransomware that has affected hundreds of organisations, including the UK's NHS.

 

The 22-year-old man, known by the pseudonym MalwareTech, had taken a week off work, but decided to investigate the ransomware after hearing about the global cyber-attack.

 

He managed to bring the spread to a halt when he found what appeared to be a "kill switch" in the rogue software's code.

 

"It was actually partly accidental," he told the BBC, after spending the night investigating. "I have not slept a wink."

 

Although his discovery did not repair the damage done by the ransomware, it did stop it spreading to new computers, and he has been hailed an "accidental hero".

 

"I would say that's correct," he told the BBC.

 

"The attention has been slightly overwhelming. The boss gave me another week off to make up for this train-wreck of a vacation."

What exactly did he discover?

 

The researcher first noticed that the malware was trying to contact a specific web address every time it infected a new computer.

 

But the web address it was trying to contact - a long jumble of letters - had not been registered.

 

MalwareTech decided to register it, and bought it for $10.69 (£8).

 

Owning it would let him see where computers were accessing it from, and give him an idea of how widespread the ransomware was.

World mapImage copyrightMALWARETECH

Image caption

Owning the web address let MalwareTech monitor where infections were happening

 

By doing so, he unexpectedly triggered part of the ransomware's code that told it to stop spreading.

 

This type of code is known as a "kill switch", which some attackers use to halt the spread of their software if things get out of hand.

 

He tested his discovery and was delighted when he managed to trigger the ransomware on demand.

 

"Now you probably can't picture a grown man jumping around with the excitement of having just been 'ransomwared', but this was me," he said in a blog post.

 

MalwareTech now thinks the code was originally designed to thwart researchers trying to investigate the ransomware, but it backfired by letting them remotely disable it.

 

Does this mean the ransomware is defeated?

 

While the registration of the web address appears to have stopped one strain of the ransomware spreading from device-to-device, it does not repair computers that are already infected.

 

Security experts have also warned that new variants of the malware that ignore the "kill switch" will appear.

 

"This variant shouldn't be spreading any further, however there'll almost certainly be copycats," said security researcher Troy Hunt in a blog post.

 

MalwareTech warned: "We have stopped this one, but there will be another one coming and it will not be stoppable by us.

 

"There's a lot of money in this, there is no reason for them to stop. It's not much effort for them to change the code and start over."

 

[기사/사진: BBC]