CVE-2017-0144 (EternalBlue): WannaCry를 전 세계로 퍼뜨린 SMB 취약점

EternalBlue는 Windows의 SMBv1(파일 공유 프로토콜) 구현에 있던 원격 코드 실행 취약점이다. 이 취약점을 이용한 익스플로잇 코드가 2017년 Shadow Brokers라는 그룹에 의해 공개적으로 유출되면서, 같은 해 WannaCry 랜섬웨어가 이를 이용해 전 세계 수십만 대의 컴퓨터를 며칠 만에 감염시키는 대규모 사고로 이어졌다.

근본 원인: SMBv1의 정수 오버플로우

SMBv1 프로토콜의 특정 요청(Trans2 관련 처리)을 처리하는 커널 드라이버(srv.sys)에 정수 오버플로우 취약점이 있었다. 공격자가 조작한 패킷 필드 값이 정수 연산 과정에서 예상 범위를 벗어나면서, 실제 할당된 버퍼보다 작은 크기가 계산되어 이후 처리 과정에서 힙 버퍼 오버플로우로 이어지는 구조였다. 최종적으로 커널 메모리 영역에 공격자가 원하는 코드를 심고 실행시킬 수 있었다 — 커널 레벨에서 실행되는 코드라는 점 때문에 시스템 최고 권한(SYSTEM)을 그대로 획득하는 결과로 이어졌다.

왜 "네트워크로 전파되는 웜(worm)"이 가능했나

일반적인 원격 코드 실행 취약점은 대상 하나를 뚫는 데 그치지만, EternalBlue는 다음 조건이 겹치면서 자동 전파형 공격의 완벽한 재료가 됐다.

• 인증이 전혀 필요 없음: 네트워크로 SMB 포트(445)에 접근만 가능하면 익스플로잇이 성립
• 한 번 성공하면 SYSTEM 권한 획득: 감염된 컴퓨터에서 다시 같은 방식으로 같은 네트워크의 다른 컴퓨터를 스캔하고 공격하는 코드를 그대로 실행 가능
• SMB는 사내망에서 파일/프린터 공유용으로 거의 항상 열려 있는 포트: 한 대가 뚫리면 같은 네트워크 안의 나머지가 순식간에 연쇄 감염됨

WannaCry는 여기에 랜섬웨어(파일 암호화 후 금전 요구)를 결합해서, 감염 → 자동 전파 → 파일 암호화가 사람의 개입 없이 자동으로 이어지는 최악의 조합을 만들었다.

패치가 있었는데도 왜 그렇게 퍼졌나

가장 뼈아픈 지점이 여기다. 마이크로소프트는 이 취약점에 대한 패치(MS17-010)를 WannaCry가 퍼지기 약 두 달 전에 이미 배포한 상태였다. 그런데도 대규모 피해가 발생한 이유는:

• 많은 조직(특히 병원, 공공기관, 제조업 현장 설비)이 패치 적용 주기가 느리거나, 레거시 시스템과의 호환성 문제로 패치를 미루고 있었다
• 지원이 종료된 구버전 Windows(XP 등)를 여전히 운영 중인 시스템이 많았고, 마이크로소프트는 이례적으로 이 사태 이후 지원 종료 버전에까지 긴급 패치를 추가로 배포했다

즉 이 사건은 취약점 자체의 기술적 심각성뿐 아니라, "패치가 나와도 실제로 적용되기까지의 격차(patch gap)"가 현실에서 얼마나 큰 리스크인지를 극명하게 보여준 사례로 더 자주 인용된다.

대응과 교훈

• SMBv1은 이미 오래된 프로토콜이었고, 이 사건을 계기로 SMBv1 자체를 비활성화하는 것이 표준 권고사항이 됐다 (SMBv2/v3로 대체)
• 패치 관리 프로세스의 속도가 그 자체로 보안 수준을 결정한다 — 패치가 나온 시점과 실제 조직 전체에 적용 완료되는 시점 사이의 간극을 최소화하는 게 개별 취약점 대응보다 근본적으로 더 중요한 문제로 부각됐다
• 네트워크 분할(Segmentation)이 되어 있었다면 한 대의 감염이 전체로 퍼지는 걸 막을 수 있었다는 점에서, "뚫히는 걸 완전히 막는다"는 전제보다 "뚫려도 확산을 제한한다"는 방어 심층화(defense in depth) 관점이 이 사건 이후 더 강조됐다
• 국가 단위 사이버 무기(NSA가 개발했던 것으로 알려진 익스플로잇)가 유출되면, 그 파급력이 원래 의도와 무관하게 전 세계 민간 인프라로 번질 수 있다는 정책적 논쟁도 이 사건을 계기로 본격화됐다