맨위로가기

이터널블루

"오늘의AI위키"는 AI 기술로 일관성 있고 체계적인 최신 지식을 제공하는 혁신 플랫폼입니다.
"오늘의AI위키"의 AI를 통해 더욱 풍부하고 폭넓은 지식 경험을 누리세요.
목차

1. 개요

이터널블루는 마이크로소프트 서버 메시지 블록(SMB) 프로토콜 구현의 취약점을 공격하는 익스플로잇으로, 미국 국가안보국(NSA)이 개발하여 관리해오다 유출되었다. 이 취약점은 CVE-2017-0144로 알려져 있으며, SMBv1 서버가 특수하게 조작된 패킷을 처리하는 과정에서 원격 코드 실행을 허용한다. 2017년 4월 더 섀도우 브로커스에 의해 유출되었으며, 워너크라이, 낫페트야, 배드 래빗 등 주요 랜섬웨어 공격에 악용되어 막대한 피해를 야기했다. 이와 관련하여, 마이크로소프트와 NSA 간의 책임 공방이 있었으며, 마이크로소프트는 NSA의 취약점 은폐를 비판했다.

더 읽어볼만한 페이지

  • 미국 국가안보국 - 베노나 프로젝트
    베노나 프로젝트는 미국이 제2차 세계 대전 및 냉전 초기에 소련의 암호화된 통신을 해독하여 분석한 극비 프로젝트로, 소련의 스파이 활동과 미국 내 첩보망을 밝히는 데 기여했지만, 자료 해석 및 신뢰성에 대한 논쟁이 있다.
  • 미국 국가안보국 - USS 푸에블로 (AGER-2)
    USS 푸에블로(AGER-2)는 미국 육군의 경수송함으로 건조되었다가 해군 정보 수집함으로 개조되어 1968년 동해에서 북한에 나포된 후 현재까지 북한에 억류 및 전시 중이며, 이 사건은 미국과 북한 간의 긴장을 고조시켰다.
  • 취약점 공격 - 보안 취약점
    보안 취약점은 시스템의 설계, 구현, 운영, 관리상 결함이나 약점으로, 위협에 의해 악용되어 시스템 보안 정책을 위반할 수 있는 요소이며, ISO 27005, IETF RFC 4949, NIST SP 800-30, ENISA 등 다양한 기관에서 정의하고 있다.
  • 취약점 공격 - 인터넷 보안
    인터넷 보안은 사이버 위협, 악성 소프트웨어, 서비스 거부 공격 등으로부터 정보와 시스템을 보호하기 위해 네트워크 계층 보안, 다단계 인증, 방화벽 등 다양한 기술과 방법을 포괄한다.
이터널블루
악성코드 정보
일반 명칭Eternal - Anonymous
기술 명칭L** Trojan:Win32/EternalBlue (Microsoft)
Rocks 변종
TrojanDownloader:Win32/Eterock.[Letter] (Microsoft)
W32.Eternalrocks (Symantec)
TROJ_ETEROCK.[Letter] (Trend Micro)
Mal/Eterocks-[Letter] (Sophos)
Troj/Eterocks-[Letter] (Sophos)
Synergy 변종
Win32/Exploit.Equation.EternalSynergy (ESET)
별칭해당 사항 없음
종류익스플로잇
아종해당 사항 없음
발견 날짜해당 사항 없음
출처Equation Group
사용 포트해당 사항 없음
영향 운영체제Windows 95
Windows 98
Windows Me
Windows NT
Windows 2000
Windows XP
Windows Vista
Windows 7
Windows 8
Windows 8.1
Windows 10
Windows Server 2003
Windows Server 2003 R2
Windows Server 2008
Windows Server 2012
Windows Server 2016
파일 크기해당 사항 없음
사용 언어해당 사항 없음

2. 상세 설명

이터널블루는 마이크로소프트의 서버 메시지 블록(SMB) 프로토콜 구현 취약점을 공격하는 익스플로잇이다. 이 취약점은 공통 취약점 및 노출(CVE) 카탈로그에 CVE-2017-0144로 고지되어 있다.[13][14]

더 섀도우 브로커스는 2017년 4월 14일, 다른 여러 미국 국가안보국(NSA) 해킹 도구와 함께 이터널블루 익스플로잇 코드를 공개했다. 2017년 5월 12일, 많은 윈도우 사용자가 마이크로소프트 패치를 설치하지 않은 상태에서 워너크라이 랜섬웨어 공격이 이터널블루 취약점을 사용하여 확산되기 시작했다.[21][22] 이에 대응하여 다음 날(2017년 5월 13일), 마이크로소프트는 지원이 중단된 윈도우 XP, 윈도우 8, 윈도우 서버 2003에 대한 긴급 보안 패치를 출시했다.[23][24]

2018년 2월, 이터널블루는 [https://www.ivanti.com/company/history/risksense RiskSense] 보안 연구원 션 딜런(Sean Dillon)에 의해 윈도우 2000 이후의 모든 윈도우 운영 체제로 이식되었다. 이터널 챔피언, 이터널 로맨스는 NSA가 개발하여 더 섀도우 브로커스가 유출한 또 다른 두 가지 익스플로잇으로, 같은 행사에서 이식되었다. 이들은 오픈 소스 메타스플로잇 모듈로 제공되었다.[25]

2018년 말, 수백만 개의 시스템이 여전히 이터널블루에 취약했다. 워너크라이의 막대한 피해에 이어, NotPetya와 BadRabbit은 모두 이터널블루를 초기 침투 벡터 또는 횡적 이동 방법으로 사용하여 65개 이상의 국가에서 10억달러 이상의 피해를 입혔다.[26]

2. 1. 작동 원리

이터널블루(EternalBlue)는 마이크로소프트(Microsoft)의 서버 메시지 블록(SMB) 프로토콜 구현에서 취약점을 악용한다. 이 취약점은 일반 취약점 및 노출(CVE) 카탈로그에서 CVE-2017-0144[13][14]로 지정된다. 이 취약점은 여러 버전의 마이크로소프트 윈도우(Microsoft Windows)에 있는 SMB 버전 1(SMBv1) 서버가 원격 공격자로부터 특수하게 조작된 패킷을 잘못 처리하여 공격자가 대상 컴퓨터에서 원격으로 코드를 실행할 수 있기 때문에 존재한다.[15]

미국 국가안보국(NSA)은 이 취약점에 대해 마이크로소프트에 알리지 않고, 침해 사고가 발생하기 전 5년 이상 이 정보를 보관했다. 그 후, NSA는 이터널블루의 도난 가능성을 인지하고 마이크로소프트에 경고하여, 2017년 3월에 소프트웨어 패치를 준비하도록 했다.[16] 이는 2017년 2월의 정기적인 보안 패치 출시를 연기한 후 이루어졌다.[17] 2017년 3월 14일 화요일, 마이크로소프트는 보안 게시판 MS17-010[18]을 발표하여 해당 결함을 자세히 설명하고, 당시에 지원되던 모든 윈도우 버전에 대한 패치가 출시되었음을 발표했다. 지원되는 버전은 윈도우 비스타(Windows Vista), 윈도우 7(Windows 7), 윈도우 8.1(Windows 8.1), 윈도우 10(Windows 10), 윈도우 서버 2008(Windows Server 2008), 윈도우 서버 2012(Windows Server 2012), 윈도우 서버 2016(Windows Server 2016)이었다.[19][20]

2. 2. 취약점 및 패치

이터널블루는 마이크로소프트의 서버 메시지 블록(SMB) 프로토콜 구현의 취약점을 공격하며, 공통 취약점 및 노출(CVE) 카탈로그에 CVE-2017-0144로 고지되어 있다.[13][14] 이 취약점은 여러 버전의 마이크로소프트 윈도우에 있는 SMB 버전 1(SMBv1) 서버가 원격 공격자로부터 특수하게 조작된 패킷을 잘못 처리하여 공격자가 대상 컴퓨터에서 원격으로 코드를 실행할 수 있기 때문에 존재한다.[15]

2017년 3월 14일, 마이크로소프트는 보안 게시판 MS17-010[18]을 발표하여 해당 결함을 자세히 설명하고, 당시에 지원되던 모든 윈도우 버전에 대한 패치가 출시되었음을 발표했다. 지원되는 버전은 다음과 같다.[19][20]

더 섀도우 브로커스는 2017년 4월 14일 이터널블루 익스플로잇 코드를 공개했다.

2017년 5월 12일, 많은 윈도우 사용자가 마이크로소프트 패치를 설치하지 않은 상태에서 워너크라이 랜섬웨어 공격이 이터널블루 취약점을 사용하여 확산되기 시작했다.[21][22] 다음 날(2017년 5월 13일), 마이크로소프트는 지원이 중단된 윈도우 XP, 윈도우 8, 윈도우 서버 2003에 대한 긴급 보안 패치를 출시했다.[23][24]

3. 유출 및 공개

마이크로소프트의 서버 메시지 블록(SMB) 프로토콜 구현 취약점을 악용한 이터널블루는 일반 취약점 및 노출(CVE)에서 CVE-2017-0144로 지정된다.[13][14] 이 취약점은 여러 마이크로소프트 윈도우 버전의 SMBv1 서버가 원격 공격자의 특수 조작 패킷을 잘못 처리하여, 공격자가 대상 컴퓨터에서 원격 코드를 실행할 수 있게 한다.[15]

미국 국가안보국(NSA)은 이 취약점을 발견하고도 마이크로소프트에 알리지 않고 5년 이상 보관했다. 이후 NSA는 이터널블루 도난 가능성을 인지하고 마이크로소프트에 경고, 2017년 3월 소프트웨어 패치를 준비하게 했다.[16] 2017년 3월 14일, 마이크로소프트는 보안 게시판 MS17-010[18]을 발표, 윈도우 비스타, 윈도우 7, 윈도우 8.1, 윈도우 10, 윈도우 서버 2008, 윈도우 서버 2012, 윈도우 서버 2016 등 당시 지원 윈도우 버전에 대한 패치를 출시했다.[19][20]

2017년 5월 12일, 많은 사용자가 패치를 설치하지 않아 워너크라이 랜섬웨어 공격이 이터널블루 취약점을 이용해 확산되었다.[21][22] 다음 날(2017년 5월 13일), 마이크로소프트는 지원 중단된 윈도우 XP, 윈도우 8, 윈도우 서버 2003에 대한 긴급 보안 패치를 출시했다.[23][24]

2018년 2월, [https://www.ivanti.com/company/history/risksense RiskSense] 보안 연구원 션 딜런은 이터널블루를 윈도우 2000 이후 모든 윈도우 운영 체제로 이식했다. 이터널 챔피언과 이터널 로맨스는 NSA 개발, 더 섀도우 브로커스 유출 익스플로잇으로, 같은 행사에서 이식, 오픈 소스 메타스플로잇 모듈로 제공되었다.[25]

2018년 말, 수백만 시스템이 여전히 이터널블루에 취약했다. 워너크라이 피해에 이어, NotPetya, BadRabbit은 이터널블루를 초기 침투 또는 횡적 이동 방법으로 사용, 65개국 이상에서 10억달러 이상 피해를 입혔다.[26]

3. 1. 섀도우 브로커스

더 섀도우 브로커스(The Shadow Brokers)는 2017년 4월 14일, 다른 여러 미국 국가안보국(NSA) 해킹 도구와 함께 이터널블루 익스플로잇 코드를 공개했다.[16]

3. 2. NSA의 책임 논란

워너크라이 공격 이후, 마이크로소프트는 "이러한 문제들을 해결할 첫 번째 책임"을 졌지만, 취약점을 공개하지 않고 축적한 NSA와 CIA와 같은 정부 기관을 비판하며, "재래식 무기로 따지면 미군의 토마호크 미사일 일부가 도난당하는 것과 같은 시나리오"라고 언급했다.[31] 이러한 축적 전략은 마이크로소프트가 이 버그(그리고 다른 숨겨진 버그)를 알지 못하고(그리고 이후 패치하지 못하고) 방치하게 했다.[31][32] 그러나 컬럼비아 대학교 나이트 퍼스트 수정헌법 연구소의 알렉스 압도(Alex Abdo)를 포함한 여러 평론가들은 마이크로소프트가 책임을 NSA로 전가하고 있다고 비판하며, 마치 자동차 제조업체처럼 결함이 있는 제품을 출시한 것에 대해 책임을 져야 한다고 주장했다.[33] 마이크로소프트는 처음에는 이터널블루 패치 배포를 최신 Windows 사용자 및 장치당 1000USD의 확장 지원 계약 고객으로 제한하여, 영국의 국민건강보험(NHS)과 같은 조직이 WannaCry 공격에 취약하게 만들었다는 비판을 받았다. 패치가 처음 출시된 지 한 달 후, 마이크로소프트는 윈도우 XP까지 거슬러 올라가는 모든 취약한 Windows 버전을 사용하는 사용자에게 무료로 패치를 제공하는 이례적인 조치를 취했다.[34]

4. 주요 사이버 공격

이터널블루는 마이크로소프트의 서버 메시지 블록(SMB) 프로토콜 구현 취약점을 공격하며, 공통 취약점 및 노출(CVE) 카탈로그에 CVE-2017-0144로 고지되어 있다. 2019년 5월, 볼티모어시는 사이버 공격으로 어려움을 겪었다. 이 공격으로 수천 대의 컴퓨터가 멈추고 이메일이 중단되었으며, 부동산 매매, 수도 요금, 건강 경고 등 여러 서비스가 지장을 받았다. 뉴욕 타임스의 니콜 펄로스는 처음에는 이 공격의 원인을 이터널블루로 지목했지만,[27] 2021년 2월 회고록에서 이터널블루가 볼티모어 사이버 공격의 책임이 없음을 분명히 했다.[28]

4. 1. 워너크라이 랜섬웨어

더 섀도우 브로커스(The Shadow Brokers)는 2017년 4월 14일, 다른 여러 미국 국가안보국(NSA) 해킹 도구와 함께 이터널블루 익스플로잇 코드를 공개했다.[13][14]

2017년 5월 12일, 많은 윈도우 사용자가 마이크로소프트 패치를 설치하지 않은 상태에서 워너크라이 랜섬웨어 공격(WannaCry ransomware attack)이 이터널블루 취약점을 사용하여 확산되기 시작했다.[21][22] 다음 날(2017년 5월 13일), 마이크로소프트는 지원이 중단된 윈도우 XP(Windows XP), 윈도우 8(Windows 8), 윈도우 서버 2003(Windows Server 2003)에 대한 긴급 보안 패치를 출시했다.[23][24]

워너크라이(WannaCry)의 막대한 피해에 이어, NotPetya와 BadRabbit은 모두 이터널블루를 초기 침투 벡터 또는 횡적 이동 방법으로 사용하여 65개 이상의 국가에서 10억달러 이상의 피해를 입혔다.[26]

4. 2. 2019년 볼티모어 랜섬웨어 공격

2019년 5월, 볼티모어시는 사이버 공격으로 어려움을 겪었다. 이 공격은 수천 대의 컴퓨터를 멈추게 하고 이메일을 중단시켰으며, 부동산 매매, 수도 요금, 건강 경고 등 여러 서비스에 지장을 주었다. 뉴욕 타임스의 니콜 펄로스는 처음에는 이 공격의 원인을 이터널블루로 지목했지만,[27] 2021년 2월에 출판된 회고록에서 이터널블루가 볼티모어 사이버 공격의 책임이 없음을 분명히 하며, "특정 경우에 랜섬웨어 공격이 이터널블루로 확산되지 않았다"는 기술적 세부 사항을 지적한 사람들을 비판했다.[28]

2012년 이후, 볼티모어 시의 정보 최고 책임자(CIO) 4명이 해고되거나 사임했으며, 그 중 2명은 조사 중 사임했다.[29] 일부 보안 연구원들은 볼티모어 침해 사고의 책임이 컴퓨터를 업데이트하지 않은 시에 있다고 말했다. 보안 컨설턴트 롭 그레이엄은 트윗에서 "어떤 조직이 패치 없이 2년 이상 된 상당수의 윈도우 머신을 가지고 있다면, 그것은 이터널블루가 아닌 조직의 명백한 잘못이다."라고 적었다.[30]

4. 3. 이터널록스

'''이터널록스''' 또는 '''마이크로봇매시브넷'''은 마이크로소프트 윈도우를 감염시키는 컴퓨터 웜이다.[35] 이 웜은 미국 국가안보국(NSA)이 개발한 7개의 익스플로잇을 사용한다.[35] 워너크라이는 2017년 5월에 23만 대의 컴퓨터를 감염시킨 랜섬웨어 프로그램으로, 단 두 개의 NSA 익스플로잇을 사용했다는 점을 비교해 볼 때, 연구자들은 이터널록스가 훨씬 더 위험하다고 판단한다.[36] 이 웜은 허니팟을 통해 발견되었다.[37]

5. 책임 소재 논란

WannaCry 공격 이후, 마이크로소프트는 "이러한 문제들을 해결할 첫 번째 책임"을 졌지만, 취약점을 공개하지 않고 축적한 NSA와 CIA와 같은 정부 기관을 비판하며, "재래식 무기로 따지면 미군의 토마호크 미사일 일부가 도난당하는 것과 같은 시나리오"라고 언급했다.[31] 이러한 축적 전략은 마이크로소프트가 이 버그(그리고 다른 숨겨진 버그)를 알지 못하고(그리고 이후 패치하지 못하고) 방치하게 했다.[31][32]

그러나 컬럼비아 대학교 나이트 퍼스트 수정헌법 연구소의 알렉스 압도(Alex Abdo)를 포함한 여러 평론가들은 마이크로소프트가 책임을 NSA로 전가하고 있다고 비판하며, 마치 자동차 제조업체처럼 결함이 있는 제품을 출시한 것에 대해 책임을 져야 한다고 주장했다.[33]

마이크로소프트는 처음에는 EternalBlue 패치 배포를 최신 Windows 사용자 및 장치당 1000USD의 확장 지원 계약 고객으로 제한하여, 영국의 국민건강보험(NHS)과 같은 조직이 WannaCry 공격에 취약하게 만들었다는 비판을 받았다. 패치가 처음 출시된 지 한 달 후, 마이크로소프트는 Windows XP까지 거슬러 올라가는 모든 취약한 Windows 버전을 사용하는 사용자에게 무료로 패치를 제공하는 이례적인 조치를 취했다.[34]

참조

[1] 웹사이트 Trojan:Win32/EternalBlue threat description - Microsoft Security Intelligence https://www.microsof[...]
[2] 웹사이트 TrojanDownloader:Win32/Eterock.A threat description - Microsoft Security Intelligence https://www.microsof[...]
[3] 웹사이트 TROJ_ETEROCK.A - Threat Encyclopedia - Trend Micro USA https://www.trendmic[...]
[4] 웹사이트 Win32/Exploit.Equation.EternalSynergy.A | ESET Virusradar https://www.virusrad[...]
[5] 뉴스 NSA officials worried about the day its potent hacking tool would get loose. Then it did. https://www.washingt[...] 2017-12-19
[6] 웹사이트 NSA-leaking Shadow Brokers just dumped its most damaging release yet https://arstechnica.[...] 2017-05-13
[7] 뉴스 An NSA Cyber Weapon Might Be Behind A Massive Global Ransomware Outbreak https://www.forbes.c[...] 2017-05-13
[8] 웹사이트 An NSA-derived ransomware worm is shutting down computers worldwide https://arstechnica.[...] 2017-05-13
[9] 뉴스 'President Trump what the f**k are you doing' say Shadow Brokers and dump more NSA hacking tools http://www.ibtimes.c[...] 2017-04-10
[10] 뉴스 'NSA malware' released by Shadow Brokers hacker group https://www.bbc.com/[...] 2017-04-10
[11] 웹사이트 Cyberattack Hits Ukraine Then Spreads Internationally https://www.nytimes.[...] 2017-06-27
[12] 뉴스 EternalBlue Exploit Used in Retefe Banking Trojan Campaign https://threatpost.c[...] 2017-09-26
[13] 웹사이트 CVE-2017-0144 https://www.cve.org/[...] The MITRE Corporation 2017-06-28
[14] 웹사이트 Microsoft Windows SMB Server CVE-2017-0144 Remote Code Execution Vulnerability http://www.securityf[...] Symantec 2017-06-28
[15] 웹사이트 Vulnerability CVE-2017-0144 in SMB exploited by WannaCryptor ransomware to spread over LAN http://support.eset.[...] ESET North America 2017-05-16
[16] 뉴스 NSA officials worried about the day its potent hacking tool would get loose. Then it did. https://www.washingt[...] 2017-09-25
[17] 웹사이트 Microsoft has already patched the NSA's leaked Windows hacks https://www.theverge[...] Vox Media 2019-04-25
[18] 웹사이트 Microsoft Security Bulletin MS17-010 – Critical https://technet.micr[...] 2017-05-13
[19] 웹사이트 Microsoft Releases Patch for Older Windows Versions to Protect Against Wana Decrypt0r https://www.bleeping[...] 2017-05-13
[20] 웹사이트 Windows Vista Lifecycle Policy https://support.micr[...] Microsoft 2017-05-13
[21] 간행물 The Ransomware Meltdown Experts Warned About Is Here https://www.wired.co[...] 2017-05-13
[22] 뉴스 Wanna Decryptor: The NSA-derived ransomware worm shutting down computers worldwide https://arstechnica.[...] 2017-05-15
[23] 뉴스 Microsoft release Wannacrypt patch for unsupported Windows XP, Windows 8 and Windows Server 2003 https://mspoweruser.[...] 2017-05-13
[24] 웹사이트 Customer Guidance for WannaCrypt attacks https://blogs.techne[...] 2017-05-13
[25] 뉴스 NSA Exploits Ported to Work on All Windows Versions Released Since Windows 2000 https://www.bleeping[...] 2018-02-05
[26] 뉴스 One Year After WannaCry, EternalBlue Exploit Is Bigger Than Ever https://www.bleeping[...] 2019-02-20
[27] 뉴스 In Baltimore and Beyond, a Stolen N.S.A. Tool Wreaks Havoc https://www.nytimes.[...] 2019-05-25
[28] 서적 This Is How They Tell Me the World Ends: The Cyberweapons Arms Race Bloomsbury 2021-02-09
[29] 웹사이트 Eternally Blue: Baltimore City leaders blame NSA for ransomware attack https://arstechnica.[...] 2019-05-28
[30] 웹사이트 Baltimore political leaders seek briefings after report that NSA tool was used in ransomware attack https://www.baltimor[...] 2019-05-26
[31] 뉴스 The need for urgent collective action to keep people safe online: Lessons from last week's cyberattack - Microsoft on the Issues https://blogs.micros[...] 2017-06-28
[32] 뉴스 Microsoft slams US government over global cyber attack https://www.telegrap[...] 2017-06-28
[33] 뉴스 Microsoft faulted over ransomware while shifting blame to NSA https://bloomberg.co[...] 2022-03-11
[34] 뉴스 Microsoft held back free patch that could have slowed WannaCry https://www.ft.com/c[...] 2022-03-11
[35] 뉴스 New SMB Worm Uses Seven NSA Hacking Tools. WannaCry Used Just Two https://www.bleeping[...]
[36] 뉴스 Newly identified ransomware 'EternalRocks' is more dangerous than 'WannaCry' - Tech2 https://web.archive.[...] Tech2 2017-05-25
[37] 뉴스 Miroslav Stampar on Twitter https://twitter.com/[...] Twitter 2017-05-30
[38] 웹인용 NSA-leaking Shadow Brokers just dumped its most damaging release yet https://arstechnica.[...] 2017-05-13
[39] 뉴스 An NSA Cyber Weapon Might Be Behind A Massive Global Ransomware Outbreak https://www.forbes.c[...] Forbes 2017-05-13
[40] 웹인용 An NSA-derived ransomware worm is shutting down computers worldwide https://arstechnica.[...] Ars Technica 2017-05-13
[41] 뉴스 'President Trump what the f**k are you doing' say Shadow Brokers and dump more NSA hacking tools http://www.ibtimes.c[...] International Business Times UK 2017-04-10
[42] 뉴스 'NSA malware' released by Shadow Brokers hacker group http://www.bbc.com/n[...] BBC News 2017-04-10


본 사이트는 AI가 위키백과와 뉴스 기사,정부 간행물,학술 논문등을 바탕으로 정보를 가공하여 제공하는 백과사전형 서비스입니다.
모든 문서는 AI에 의해 자동 생성되며, CC BY-SA 4.0 라이선스에 따라 이용할 수 있습니다.
하지만, 위키백과나 뉴스 기사 자체에 오류, 부정확한 정보, 또는 가짜 뉴스가 포함될 수 있으며, AI는 이러한 내용을 완벽하게 걸러내지 못할 수 있습니다.
따라서 제공되는 정보에 일부 오류나 편향이 있을 수 있으므로, 중요한 정보는 반드시 다른 출처를 통해 교차 검증하시기 바랍니다.

문의하기 : help@durumis.com