🪱 Conficker — 최대 1,500만 대를 감염시키고 '국제 연합 대응'을 탄생시킨 자가 방어형 웜 (2008)

1. 배경/역사 — 언제, 누가, 왜 유명한가

Conficker(다운업 Downup·다운어답 Downadup·키도 Kido로도 불림)는 2008년 11월 처음 모습을 드러내 2009년 1월까지 전 세계 900만~1,500만 대를 감염시키며 2003년 SQL Slammer 이후 최대 규모의 웜 감염으로 기록된 Windows 대상 웜이다. 190개국 이상의 정부·기업·가정 PC를 감염시켰고, "많이 퍼뜨린 것"뿐 아니라 백신을 죽이고, 업데이트를 끊고, 자신의 파일을 잠그는 '자가 방어형' 설계로 제거를 극도로 어렵게 만든 최초의 대형 사례다.

• 이름의 유래: 두 가지 설이 유명하다. ① 영단어 configure(설정)와 독일어 욕설 Ficker의 합성어 ② 초기 C2(명령제어) 도메인이었던 trafficconverter.biz의 철자를 재배열했다는 설(마이크로소프트 분석가 Joshua Phillips 주장). 제작자는 지금까지 공식적으로 특정되지 않았다.
• 결정적 시점 — 패치 후 1개월 만의 악용: Conficker는 마이크로소프트가 2008년 10월 23일 긴급 패치한 MS08-067(CVE-2008-4250) 취약점을 불과 약 한 달 뒤인 11월부터 대규모로 악용했다. "패치와 악용의 간격"이 당시 기준으로 극도로 짧았던 사건으로, 패치 관리의 중요성을 각인시켰다.
• 발견 타임라인: 변종 A(2008-11-21) → B(2008-12-29) → C(2009-02-20) → D(2009-03-04) → E(2009-04-07). 변종마다 전파·갱신·자가 방어 전략을 바꿔가며 대응을 회피했다. (Conficker Working Group은 B++/C 등 다른 명명을 쓰기도 한다.)
• 왜 유명한가: ① SQL Slammer 이후 최대 감염 규모(최대 1,500만 대 추정) ② DGA(도메인 생성 알고리즘) + P2P + 서명된 업데이트라는 3중 C2 구조로 "죽지 않는 봇넷"의 교과서가 됨 ③ 백신 프로세스 종료·보안 도메인 DNS 차단·파일 잠금 등 자가 방어(self-defense) 기법의 시초 ④ 2009년 2월 마이크로소프트가 25만 달러 현상금을 걸고, Conficker Working Group(MS·ICANN·VeriSign·Neustar·Afilias·보안업체 등)이 결성되어 인터넷 레지스트리 전체가 한 악성코드에 연합 대응한 최초의 사례.
• 책임자 수사: 2011년 FBI와 우크라이나 경찰이 우크라이나인 3명을 체포했으나 기소 기록은 없다. 스웨덴인 Mikael Sallnert는 미국에서 유죄를 인정하고 48개월(4년)형을 선고받았다.

2. 감염·전파 경로 — 어떻게 퍼졌나

Conficker는 "원격 코드 실행 취약점 → 관리자 계정 사전 대입 → 이동식 미디어 → P2P"의 4개 전파 축을 변종별로 조합해, 패치 안 된 PC·약한 계정·USB 사용 조직을 가리지 않고 내부망 깊숙이 파고들었다.

• 1축 — MS08-067 원격 코드 실행 (모든 변종): Windows Server 서비스가 특수하게 조작된 RPC 요청을 처리할 때 발생하는 취약점으로, NetpwPathCanonicalize(경로 정규화 함수)의 스택 버퍼 오버플로우를 통해 코드를 실행했다. Windows 2000·XP·Server 2003에서는 인증 없이 원격 코드 실행이 가능한 "워머블(wormable)" 취약점이라, 감염 PC가 SMB(445)/NetBIOS(139) 포트를 통해 다음 PC를 연쇄 감염시켰다. (같은 취약점은 이후 Stuxnet도 보조 전파 수단으로 사용 — 이 사이트의 Stuxnet 포스트 참고)
• 2축 — 관리자 공유 사전 대입 (B 변종+): 감염 PC는 내부망의 다른 PC에 있는 ADMIN$·C$ 같은 관리자 공유를 대상으로 사용자명·비밀번호 사전 대입(dictionary attack)을 시도했다. "administrator / 123456"류의 약한 계정이 하나라도 있으면 패치 여부와 무관하게 그 PC를 점령해 옆으로 이동했다. (PoC 2에서 재현)
• 3축 — USB 이동식 미디어 (B 변종+): USB 메모리 등 이동식 드라이브에 DLL 기반 AutoRun 트로이목마를 몰래 복사했다. 당시 Windows XP의 AutoRun(자동 실행)은 기본 활성화 상태였고, 감염 USB를 꽂기만 해도 추가 조작 없이 재감염·확산이 이뤄졌다. 실제로 맨체스터 시의회(Manchester City Council)는 USB가 최초 침투 경로로 지목되자 USB 사용을 전면 금지했다.
• 4축 — LAN 내 URL 푸시 + P2P 갱신 (C/D/E 변종): C 변종은 같은 LAN의 다른 감염 호스트에 네임드 파이프로 페이로드 URL을 밀어넣어 다운로드를 유도했다. D/E 변종은 UDP로 감염 피어를 탐색한 뒤 TCP 기반 커스텀 프로토콜로 파일을 주고받는 P2P 망을 구성해, C2 도메인이 전부 차단돼도 봇넷 내부에서 자체적으로 업데이트를 유포할 수 있었다.
• C2 — DGA(도메인 생성 알고리즘): A 변종은 매일 250개의 의사난수 도메인을 5개 TLD에 걸쳐 생성했고, C/D 변종은 하루 50,000개(110개 TLD) 풀 중 500개에 접속을 시도했다. 모든 감염 호스트가 같은 날짜 시드를 공유하므로 같은 목록을 계산했고, 공격자는 그중 하나에만 서명된 업데이트를 올려두면 됐다. (PoC 1에서 재현)

3. 동작 원리 상세 분석 — 코드/구조 레벨에서

Conficker의 구조적 특징은 "번식(DGA·P2P) — 자가 방어(백신 킬·DNS 차단·파일 잠금) — 서명된 갱신"의 3층 설계다. 단순히 퍼지는 웜이 아니라, "탐지·분석·제거" 각 단계를 겨냥한 대응책을 내장한 최초의 대형 웜으로 평가된다.

• DGA의 원리 — 모두가 같은 '출석부'를 공유한다: 변종 A는 현재 날짜를 시드로 한 의사난수 생성기(PRNG)로 매일 250개 도메인을 만든다(길이 8~11자, 5개 TLD). 날짜가 같으면 모든 감염 호스트가 동일한 목록을 얻으므로, 공격자는 하루 전에 해당 도메인 하나를 등록·호스팅해 두기만 하면 감염 PC가 스스로 찾아온다. C 변종은 도메인 길이를 4~9자로 줄여 시그니처/휴리스틱 탐지를 피했고, 하루 150~200개의 기존 정상 도메인과 충돌해 오탐 DDoS를 유발할 위험까지 안겼다.
• 서명된 업데이트 — 방어자는 '가짜 갱신'을 못 넣는다: Conficker가 받아들이는 페이로드는 전부 제작자만 가진 키로 서명돼 있었다. 연구자들이 C2 도메인을 싱크홀(빼앗아) 처리해도, 그 자리에 가짜 업데이트를 올려 봇넷을 역이용하는 것은 불가능했다. "통로를 막는 것"만이 유일한 방어였고, 이것이 국제 레지스트리 연합(아래 6장)이 필요했던 이유다.
• 자가 방어(self-defense) 3종:
  • 백신 프로세스 킬 (D): 백신·패치·진단 유틸리티 이름과 일치하는 프로세스를 1초 간격으로 탐지·종료했다.
  • 보안 기능 무력화 (B/C/D): Windows 자동 업데이트(AutoUpdate)·보안 센터를 비활성화하고, D 변종은 세이프 모드 부팅 옵션까지 제거했다. B/C/E 변종은 NetBIOS 관련 DLL을 인메모리 패치해 MS08-067 구멍을 선점(다른 웜의 재감염 차단)하면서 자신만의 재진입 통로를 유지했다.
  • 보안 업체 DNS 차단 (B/C/D): 보안 업체 도메인에 대한 DNS 조회 자체를 차단했다. D 변종은 DNSAPI.DLL을 인메모리 패치해 백신 업데이트 서버를 '없는 도메인'처럼 보이게 만들었다 — 시그니처가 최신으로 갱신되지 않게 하는 지능적 회피다. (PoC 3에서 재현)
• 파일 잠금 — 실행 중 삭제 불가: Conficker는 자신의 파일을 서비스로 등록해 실행 중인 동안 삭제를 잠그고(공유 위반), 레지스트리 무결성 검사로 자신의 설정이 지워지면 스스로 복구했다. 따라서 일반적인 "파일 삭제" 방식의 제거가 불가능하고, 부팅 시점 또는 외부 시스템에서의 청소가 필요했다. (마이크로소프트는 MSRT 악성 소프트웨어 제거 도구에 부팅 시점 제거 기능을 추가했다.)
• 변종 E — 처음으로 '돈을 벌기 시작한' 페이로드: 2009년 4월 7일경 우크라이나의 웹 서버에서 Waledac 스팸봇과 SpyProtect 2009(가짜 백신 scareware)를 내려받아 설치했다. 2009년 5월 3일 스스로를 제거했지만, 이미 설치된 D 변종은 남아 봇넷을 유지했다. E는 Conficker가 단순 '점유'를 넘어 실제 수익형 범죄(스팸·사기 백신 판매)에 봇넷을 활용한 첫 사례다.
• 2009년 4월 1일 — '만우절 대공격' 루머의 실체: 미디어는 4월 1일 대규모 공격설을 앞다퉈 보도했지만, 실제로는 C 계열의 DGA 풀 갱신 메커니즘이 작동을 시작하고(4/1) 곧 E 페이로드(4/7~9)가 유포되는 수준이었다. 사전에 DGA 도메인 등록을 대부분 차단한 Conficker Working Group의 성과로 대형 사고는 발생하지 않았다.

4. 피해 규모/영향 — 실제 사례 수치

• 감염 규모: 2009년 1월 기준 감염 PC 추정치가 업체별로 약 900만 대(F-Secure 등) ~ 1,500만 대에 달해, "2003년 SQL Slammer 이후 최대 웜 감염"으로 기록됐다(190개국 이상). 다만 실제 활성 봇넷 규모는 이보다 작았다는 분석도 있다.
• '죽지 않는 웜': 마이크로소프트는 자사 백신 제품이 검출한 감염 수가 2010년 중반~2011년 중반까지 월 약 170만 대로 꾸준히 유지됐다고 보고했다. 수년이 지나도 수백만 대가 감염 상태로 남아 있는, 제거가 극도로 어려운 웜임을 보여준다.
• 프랑스 해군 Intramar망 (2009-01-15): 해군 컴퓨터망이 감염·격리되면서 비행 계획을 내려받지 못해 여러 기지의 전투기 출격이 정지됐다.
• 영국 국방부·군·병원: 국방부 주요 시스템과 행정망, 왕립해군 함정·잠수함의 NavyStar/N* 데스크톱까지 감염됐고, 셰필드(Sheffield)의 병원들은 800대 이상의 컴퓨터 감염을 보고했다. 독일 연방군(Bundeswehr)도 약 100대(2009-02-02)가 감염됐다.
• 맨체스터 시의회: 2009년 2월 IT 시스템 감염으로 약 150만 파운드(당시 한화 약 25억 원 상당)의 업무 중단 피해가 발생했고, USB 메모리가 최초 침투 경로로 지목되어 전면 사용 금지 조치가 내려졌다.
• 피해의 성격: Conficker는 데이터를 파괴하거나 금전을 요구하는 랜섬웨어가 아니었다. 피해는 대부분 가용성 마비(항공기 출격 정지, 행정망 마비)와 대응·복구·청소 비용의 형태로 발생했다. 다만 190개국 정부망·군망을 수개월간 장악한 사건 자체가 국가 안보 차원의 경각심을 불러일으켰다.
• 유산 — DGA의 표준화: Conficker가 선보인 날짜 시드 DGA는 이후 CryptoLocker(2013), Torpig, GameOver Zeus 등 수많은 랜섬웨어·봇넷이 채택하며 "C2 차단 회피의 표준 기법"이 됐다. 방어 측에서도 DGA 도메인 선제 등록·차단, 그리고 2009년의 Conficker Working Group 모델은 이후 국제 공조 작전(예: 2021년 Emotet 인프라 탈취 작전)의 선례가 됐다.

5. PoC — 교육용 모의 코드로 동작 원리 재현

PoC 1 — DGA(도메인 생성 알고리즘)의 핵심 구조: "모든 감염 호스트가 날짜 시드로 같은 도메인 목록을 계산한다"는 원리를 재현한다. 실제 Conficker의 PRNG 규칙과는 무관하며, 실제 C2 도메인도 생성하지 않는다.

#!/usr/bin/env python3
"""
PoC 1 — Conficker DGA(도메인 생성 알고리즘) 구조 모의 실험 (교육용)

실제 Conficker A는 '매일 250개의 의사난수 도메인을 5개 TLD에 걸쳐 생성'하고,
전 세계의 모든 감염 호스트가 같은 날짜 시드를 공유하므로 같은 목록을 계산한다.
공격자는 그중 하나에 페이로드를 올려두기만 하면 감염 호스트가 스스로 찾아온다.
방어자(Conficker Working Group)는 그 도메인들을 선제 등록/차단해 갱신 통로를 끊었다.

아래 코드는 그 '동작 원리(날짜 시드 -> 결정적 도메인 목록)'만 모사한다.
실제 Conficker의 PRNG/문자 생성 규칙과는 무관하며, 실제 C2 도메인도 만들지 않는다.
"""
import random
import datetime

TLDS = [".com", ".net", ".org", ".info", ".biz"]  # A 변종: 5개 TLD

def generate_domains(seed_date: datetime.date, count: int = 250) -> list:
    # 매 감염 호스트가 같은 목록을 만들도록 '날짜'로만 시드 고정
    rng = random.Random(seed_date.strftime("%Y%m%d"))
    alphabet = "abcdefghijklmnopqrstuvwxyz0123456789"
    domains = []
    for _ in range(count):
        length = rng.randint(8, 11)          # A 변종은 8~11자 생성
        name = "".join(rng.choice(alphabet) for _ in range(length))
        tld = rng.choice(TLDS)
        domains.append(name + tld)
    return domains

if __name__ == "__main__":
    day = datetime.date(2009, 1, 15)  # 프랑스 해군 Intramar망 감염일

    # 호스트 A와 호스트 B(다른 네트워크)가 같은 날짜로 각자 계산
    host_a = generate_domains(day)
    host_b = generate_domains(day)

    print(f"[{day}] 호스트 A가 생성한 오늘의 후보 도메인: {len(host_a)}개")
    print("  처음 10개:", ", ".join(host_a[:10]))
    print(f"[{day}] 호스트 B도 동일한 목록을 계산하는가? {host_a == host_b}")
    print("  B의 10번째 도메인:", host_b[9])
    print("  -> 시드가 같으면 전 세계 감염 PC가 매일 같은 '출석부'를 공유한다")
    print("  -> 방어자가 이 목록의 등록을 선제 차단하면 갱신 통로가 끊긴다")

# 실행 결과
[2009-01-15] 호스트 A가 생성한 오늘의 후보 도메인: 250개
  처음 10개: xezu4dwf.org, pcdtmqtr7bk.com, 4ecse9sz.net, vohym2sot.com, oqc4c0x2.biz, x6kfx8jhme.org, 9rvbcaaap.net, 37qe6wfp.biz, k288ox9u0j.info, y8fh4d7v0d.com
[2009-01-15] 호스트 B도 동일한 목록을 계산하는가? True
  B의 10번째 도메인: y8fh4d7v0d.com
  -> 시드가 같으면 전 세계 감염 PC가 매일 같은 '출석부'를 공유한다
  -> 방어자가 이 목록의 등록을 선제 차단하면 갱신 통로가 끊긴다

PoC 2 — ADMIN$ 사전 대입 공격과 계정 잠금 정책의 효과: 네트워크 호출 없이 가상 공유 객체를 대상으로 "약한 비밀번호가 내부망 이동을 허용하는 과정"과 "잠금 정책·강한 비밀번호가 이를 무력화하는 과정"을 대조한다.

#!/usr/bin/env python3
"""
PoC 2 — Conficker B의 ADMIN$ 공유 '사전 대입 공격' 동작 구조 모의 (교육용)

Conficker B는 MS08-067 외에, 감염 PC에서 내부망의 다른 PC로
관리자 공유(ADMIN$/C$)에 대한 사용자명+비밀번호 사전 대입을 시도해
'패치 안 된 계정'을 통째로 점령하는 방식으로 옆으로 퍼졌다.

아래 코드는 네트워크 호출 없이 '가상의 로컬 실습 대상' 객체에 대해
① 무작위 대입(스프레이) ② 계정 잠금 정책의 효과를 재현한다.
실제 원격 공유/실제 시스템을 대상으로 하지 않는다.
"""
from dataclasses import dataclass

@dataclass
class FakeShareTarget:
    """실습용 가상 대상: 실제 시스템이 아니라 메모리 속 객체다."""
    hostname: str
    username: str
    password: str
    lockout_threshold: int = 5   # N회 실패 시 계정 잠금 (정책 설정값)
    failed: int = 0
    locked: bool = False

# 2008~2009년 당시 실제로 널리 쓰이던 '약한 관리자 비밀번호' 전형
PASSWORD_LIST = ["", "password", "123456", "admin", "administrator",
                 "P@ssw0rd", "letmein", "changeme", "test", "root"]
USERNAMES = ["administrator", "admin", "guest"]

def try_credential(target: FakeShareTarget, user: str, pwd: str) -> bool:
    if target.locked:
        return False
    if user == target.username and pwd == target.password:
        return True
    target.failed += 1
    if target.failed >= target.lockout_threshold:
        target.locked = True          # 잠금 정책 발동
    return False

def spray(target: FakeShareTarget):
    print(f"[*] 대상 {target.hostname} ({target.username}) — 사전 대입 시작 "
          f"(잠금 임계 {target.lockout_threshold}회)")
    for user in USERNAMES:
        for pwd in PASSWORD_LIST:
            if target.locked:
                print(f"    ! {target.failed}회 실패 -> 계정 LOCKED. 더 이상 시도 불가 "
                      f"(남은 후보 {len(PASSWORD_LIST)*len(USERNAMES) - (USERNAMES.index(user)*len(PASSWORD_LIST) + PASSWORD_LIST.index(pwd))}개 포기)")
                return False
            if try_credential(target, user, pwd):
                print(f"    + 성공: {user} / '{pwd or '(빈 암호)'}' "
                      f"({target.failed}회 실패 후) -> 공유 점령 = 내부망 이동 완료")
                return True
    print("    - 실패: 목록 전체를 시도했으나 성공 없음")
    return False

if __name__ == "__main__":
    print("== 시나리오 1: 계정 잠금 정책 없음 (임계값 999) ==")
    weak = FakeShareTarget("PC-07", "administrator", "P@ssw0rd", lockout_threshold=999)
    spray(weak)

    print()
    print("== 시나리오 2: 잠금 정책 있음 (5회) ==")
    hardened = FakeShareTarget("PC-42", "administrator", "Kj9#xQ2!vL", lockout_threshold=5)
    spray(hardened)
    print("    -> 강한 비밀번호 + 잠금 정책 = 사전 대입이 '서비스 거부'만 남기고 실패")

# 실행 결과
== 시나리오 1: 계정 잠금 정책 없음 (임계값 999) ==
[*] 대상 PC-07 (administrator) — 사전 대입 시작 (잠금 임계 999회)
    + 성공: administrator / 'P@ssw0rd' (5회 실패 후) -> 공유 점령 = 내부망 이동 완료

== 시나리오 2: 잠금 정책 있음 (5회) ==
[*] 대상 PC-42 (administrator) — 사전 대입 시작 (잠금 임계 5회)
    ! 5회 실패 -> 계정 LOCKED. 더 이상 시도 불가 (남은 후보 25개 포기)
    -> 강한 비밀번호 + 잠금 정책 = 사전 대입이 '서비스 거부'만 남기고 실패

PoC 3 — 자가 방어 루틴의 로직: 가상 시스템 객체를 대상으로 ① 백신 프로세스 탐지·종료 ② 보안 서비스 비활성화 ③ 보안 업체 도메인 DNS 차단(DNSAPI 패치의 동작만 모의)을 순서대로 보여준다. 실제 시스템에는 아무 영향도 주지 않는다.

#!/usr/bin/env python3
"""
PoC 3 — Conficker C/D의 '자가 방어(self-defense)' 구조 모의 (교육용)

C/D 변종은 감염 PC에서 발각·제거를 어렵게 만드는 방어 루틴을 돌렸다:
 1) 1초 간격으로 백신/진단 도구 프로세스를 탐지·종료
 2) Windows 자동 업데이트(wuauserv) 등 보안 관련 서비스 비활성화
 3) DNSAPI.DLL을 인메모리 패치해 보안 업체 도메인 조회 자체를 차단

아래 코드는 가상의 프로세스 테이블/서비스 목록/DNS 해석기를 대상으로
그 '로직'만 재현한다. 실제 프로세스 종료·실제 DLL 패치는 일절 하지 않는다.
"""
import time

BLOCKED_PROCESSES = {"avguard.exe", "avgnt.exe", "msmpeng.exe",
                     "ekrn.exe", "bdagent.exe", "savservice.exe"}
BLOCKED_DOMAINS = ("update.antivirus.example", "defender.example",
                   "malware-scanner.example")
SERVICES_TO_DISABLE = {"wuauserv": "Windows Update", "BITS": "Background Intelligent Transfer",
                       "ERSvc": "Error Reporting", "WinDefend": "Windows Defender"}

class FakeSystem:
    """실습용 가상 시스템 (실제 OS 아님)."""
    def __init__(self):
        self.procs = {"lsass.exe": 1, "explorer.exe": 2, "avguard.exe": 3,
                      "svchost.exe": 4, "msmpeng.exe": 5, "wuauclt.exe": 6}
        self.services = dict(SERVICES_TO_DISABLE)
        self.dns_cache = {}

    def resolve(self, hostname: str) -> str:
        if any(hostname.endswith(b) for b in BLOCKED_DOMAINS):
            return None                      # DNS 조회 자체를 실패로 위장
        return "1.2.3.4"

def self_defense_sweep(sys: FakeSystem):
    # 1) 1초 간격 '백신 프로세스 킬' 루프 (여기서는 1회 스윕으로 표현)
    killed = [p for p in sys.procs if p.lower() in BLOCKED_PROCESSES]
    for p in killed:
        del sys.procs[p]
    print(f"[1] 프로세스 스윕: {killed or '발견 없음'}")
    print(f"    살아남은 프로세스: {sorted(sys.procs)}")

    # 2) 보안 관련 서비스 비활성화
    for svc in list(sys.services):
        sys.services[svc] = "DISABLED"
    print(f"[2] 서비스 비활성화: { {k: v for k, v in sys.services.items()} }")

    # 3) 보안 업체 도메인 DNS 차단 (DNSAPI 인메모리 패치의 동작만 모의)
    probes = ["www.google.com", "update.antivirus.example", "defender.example", "www.bbc.co.uk"]
    results = {h: sys.resolve(h) for h in probes}
    print(f"[3] DNS 해석 모의: {results}")
    print("    -> 백신 업데이트 서버가 '없는 도메인'처럼 보여 최신 시그니처를 받지 못함")

if __name__ == "__main__":
    print("감염 PC의 자가 방어 루틴 1회 스윕 (가상 시스템 대상):")
    self_defense_sweep(FakeSystem())

# 실행 결과
감염 PC의 자가 방어 루틴 1회 스윕 (가상 시스템 대상):
[1] 프로세스 스윕: ['avguard.exe', 'msmpeng.exe']
    살아남은 프로세스: ['explorer.exe', 'lsass.exe', 'svchost.exe', 'wuauclt.exe']
[2] 서비스 비활성화: {'wuauserv': 'DISABLED', 'BITS': 'DISABLED', 'ERSvc': 'DISABLED', 'WinDefend': 'DISABLED'}
[3] DNS 해석 모의: {'www.google.com': '1.2.3.4', 'update.antivirus.example': None, 'defender.example': None, 'www.bbc.co.uk': '1.2.3.4'}
    -> 백신 업데이트 서버가 '없는 도메인'처럼 보여 최신 시그니처를 받지 못함

6. 방어 방법/교훈 — 어떻게 막았고, 무엇을 배우나

• 패치 속도가 전부다: MS08-067은 2008년 10월 23일 패치가 나왔고 Conficker는 한 달 뒤 이를 악용했다. "패치 공개 후 N일 안에 악용된다"는 법칙의 초기 교과서 사례. 취약한 구형 Windows(특히 XP)가 남아 있는 환경은 오늘날에도 같은 위험을 안고 있다.
• 약한 관리자 계정 차단: 사전 대입 공격은 ① 강한 비밀번호 ② 계정 잠금 정책(5회 실패 시 잠금) ③ 불필요한 관리자 공유(ADMIN$) 제거· 최소 권한으로 막을 수 있다. PoC 2의 시나리오 대조가 그대로 실무 원칙이다.
• AutoRun·USB 통제: XP의 자동 실행 기본값을 비활성화하고, 이동식 미디어 정책(허용 목록, 암호화, 검역 스캔)을 세운다. "USB 하나가 내부망 전체를 무너뜨리는" 경로는 Conficker 이후 지금까지도 가장 흔한 침투 수법이다.
• SMB 노출 최소화: 인터넷·비신뢰 구간에 445/139 포트를 열어두지 말고, 내부망도 세그먼트로 나눠 횡적 이동(lateral movement) 반경을 줄인다. MS08-067류의 구형 프로토콜은 가능하면 차단·대체한다.
• DGA 대응 — '등록 선제 차단' 연합: Conficker Working Group은 DGA 도메인 목록을 계산해 ICANN·각국 레지스트리(.cl, .ca, .pa, .ch/.li, .pl 등)가 해당 도메인의 등록 자체를 선제 차단하게 했다. 단일 조직이 아니라 인터넷 인프라 전체가 협력해야 봇넷 C2를 말사시킬 수 있다는 교훈을 남겼다.
• 엔드포인트 행동 탐지와 부팅 시점 청소: "프로세스가 1초 간격으로 백신을 종료한다", "보안 업체 DNS가 조회 실패한다", "서비스가 대량 비활성화된다" 같은 행동 패턴을 탐지하고, 파일 잠금형 멀웨어는 부팅 시점/외부 스캔 도구로 제거한다.
• 교훈:
  • "아직 아무 짓도 안 했으니 괜찮다"는 착각: E 변종이 등장하기 전까지 Conficker는 '점유만 하는 웜'이었다. 그러나 900만 대 규모의 봇넷 자체가 언제든 무기화될 수 있는 전략 자산이다. C2 통제권을 가진 감염 기기 = 잠재 공격 플랫폼이다.
  • 서명된 갱신 채널은 스푸핑이 불가능하다: 업데이트에 서명을 요구한 설계 덕에 연구자들은 봇넷을 역이용하지 못했고, 오직 "물리적 통로 차단"(도메인 선점·레지스트리 연합)만이 유효했다. 공격자의 암호화 설계가 방어 옵션을 제한할 수 있다는 것 자체가 교훈이다.
  • 과장된 위협 공포도 피해다: 2009년 4월 1일 '대공격설'은 실제 피해보다 큰 사회적 비용을 낳았다. 위협 정보는 정확한 수치와 확신도(confidence)와 함께 전파돼야 한다.
  • 국제 공조의 원형: 민간 보안업체·ICANN·TLD 레지스트리·국가 CERT가 한 봇넷에 연합한 최초의 사례는, 10년 뒤 Emotet 인프라 공동 탈취(2021) 같은 작전의 설계도가 됐다. 악성코드 대응은 생태계 전체의 문제다.

출처

• Wikipedia — Conficker — https://en.wikipedia.org/wiki/Conficker
• Microsoft — MS08-067 보안 게시판 (Critical) — https://learn.microsoft.com/en-us/security-updates/securitybulletins/2008/ms08-067
• Microsoft Security Response Center — CVE-2008-4250 — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2008-4250
• SRI International — An Analysis of Conficker (Porras, Saidi, Yegneswaran, 2009-03-19) — https://web.archive.org/web/2009/http://mtc.sri.com/Conficker/
• Symantec — The Downadup Codex (Nahorney·Park, 2009-03-13) — https://web.archive.org/web/2015/http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/the_downadup_codex_ed2.pdf
• F-Secure — Worm:W32/Downadup — https://www.f-secure.com/v-descs/worm_w32_downadup_al.shtml

함께 읽기: ⚛️ Stuxnet (2010) — MS08-067을 보조 전파 수단으로 병용한 국가급 웜 · 💀 WannaCry (2017) — "워머블 취약점의 전략적 비축 → 유출 → 전 세계적 웜"으로 이어진 NSA 무기 연결고리 · 🦠 Mirai (2016) — 기본 비밀번호 사전 대입이 IoT에서 재현된 사례