🗂️ MOVEit/Cl0p (2023) — '파일전송 어플라이언스' 하나로 2,700개 조직이 뚫린 대량 유출 체인

1. 배경/역사 — 메모리얼데이 주말에 시작된 '협박형 대량 유출'

MOVEit Transfer는 기업·정부·금융기관이 대용량 민감 파일을 주고받는 관리형 파일전송(MFT, Managed File Transfer) 제품이다. 2002년 Standard Networks가 출시했고 2008년 Ipswitch가 인수, 지금은 Progress Software가 유지보수한다. 특징은 화려함이 아니라 위치다 — 급여명세·의료기록·세금자료·DMV 데이터처럼 "조직에 들어온 민감 정보가 마지막으로 모여 나가는 지점"에 놓인다. 그래서 MFT 한 대가 뚫리면 그 뒤에 연결된 수백 개 고객 조직이 함께 뚫린다.

2023년 5월 27일, 미국 메모리얼데이 연휴의 첫 주말에 러시아어권 범죄조직 Cl0p(TA505 / FIN11)이 MOVEit Transfer의 무제로데이 SQL 인젝션(CVE-2023-34362)을 표적형이 아니라 스캔형으로 대량 익스플로잇하기 시작했다. 5월 28일 한 고객이 이상 징후를 신고해 조사가 시작됐고, Progress는 5월 31일 패치를 배포했으며, CISA는 6월 2일 이 취약점을 KEV(실제 악용된 취약점) 카탈로그에 올렸다. 6월 7일에는 FBI·CISA가 공동 권고 AA23-158A를 발표하며 "이미 다수 조직이 침해당했다"고 경고했다.

이 사건이 보안사의 기억에 남는 이유는 세 가지다.

• 결함 하나 = 산업 전체의 유출. 제품 1개의 SQL 인젝션이 2,700개 이상 조직 · 약 9,300만 명의 개인정보 유출로 증폭됐다. 공격자는 사람을 낚지 않았다. 인터넷에 노출된 제품을 전부 두드렸다.
• '무암호화 랜섬웨어'의 주류화. Cl0p는 이번에는 파일을 암호화하지 않았다. 데이터만 훔쳐서 "돈을 주면 삭제하겠다"고 협박했다. 백업·복구 훈련으로는 막을 수 없는 형태의 협박이 표준이 된 분기점이다.
• 연쇄 표적의 정점. Cl0p는 Accellion FTA(2020~21) → Fortra GoAnywhere MFT(2023 초) → MOVEit(2023)로 같은 패턴을 반복했다 — "인터넷에 붙어 있는 파일전송 장비를, 휴일에, 무인증으로."

2. 감염·전파 경로 — 피싱이 아니라 '노출면 스캔'

Emotet·Qakbot류 로더는 메일로 사람을 낚는다. MOVEit 캠페인은 정반대다. 사람이 개입할 지점이 처음부터 없었다.

• ① 정찰 — 인터넷에 노출된 MOVEit Transfer 찾기: 사람이 로그인하는 웹 인터페이스가 공인 IP에 그대로 열려 있는 곳을 스캔한다. Cl0p는 2021년 Accellion FTA 사건부터 같은 수법을 썼고, 보고에 따라서는 2023년 봄부터 정찰·선행 시도 흔적이 관찰됐다. (핵심은 취약점의 '온도'가 아니라 노출 대수다.)
• ② 무인증 진입 — API 엔드포인트: 인증 화면을 통과할 필요가 없었다. /moveitisapi/moveitisapi.dll?action=m2 같은 레거시 API와 guestaccess.aspx 같은 비로그인 방문자용 기능이 공격 표면이었다 (3장에서 상세).
• ③ 웹셸 설치 — human2.aspx: 관리자 권한을 얻은 뒤 제품의 정상 파일 업로드 API로 웹 루트에 웹셸을 떨어뜨린다. 파일명은 정상 파일 human.aspx에 숫자 하나를 붙여 위장했다. 이름은 LEMURLOOT.
• ④ 수집 — DB + Azure Blob: 웹셸이 MOVEit 데이터베이스의 파일 목록과 Azure Blob Storage 설정·계정 키를 읽어 대량 다운로드한다. 즉 피해 조직의 파일전송소가 공격자의 배출구로 전환된다.
• ⑤ 협박 — 다크웹 유출 사이트: 훔친 데이터를 유출 사이트 "Cl0p^_-Leaks"에 올리며 "기한 안에 연락하면 삭제해주겠다"고 압박한다. 암호화 단계가 아예 없다.
• ⑥ 확산이 아니라 '동시 타격': 전파 기능은 필요 없다. 취약한 제품이 인터넷에 수천 대 있고, 공격자는 그 목록을 한 번에 훑는다. 이 캠페인의 "웜(Worm)"은 코드가 아니라 취약한 자산의 분포였다.

주목할 점은 타이밍이다. Accellion FTA는 2020년 12월 23일(연말), MOVEit은 메모리얼데이 연휴 — Cl0p는 담당자가 휴가 중인 기간을 노리는 습관이 있다. 패치가 나와도 실제 적용까지의 인간 시간이 곧 공격 창(Window)이었다.

3. 동작 원리 상세 — '정상 기능'만으로 RCE까지 가는 8단계

보안업체 Horizon3.ai가 패치 전후 바이너리를 비교해 공개한 재현 경로가 가장 이해가 빠르다. 인상적인 건 새로운 무기가 거의 없다는 점이다 — 취약한 코드 한 곳 + 제품이 원래 제공하던 정상 기능들을 이어 붙여 RCE까지 도달한다.

단계	악용한 지점	성격
1	moveitisapi.dll?action=m2 → machine2.aspx 중계	헤더 접미사 매칭 버그로 게이트 우회
2	session_setvars 거래 / X-siLock-SessVar*	세션 변수 임의 설정(정상 기능)
3	guestaccess.aspx (secmsgpost)	비로그인 경로로 SQLi 도달
4	MOVEit DB 읽기·쓰기	관리자 계정 생성, IP 제한 해제, 연합인증 설정 변경
5	/api/v1/auth/token + session_grant=external_token	공격자 인증서로 서명한 JWT로 sysadmin 토큰 획득
6	/api/v1/folders/<id>/files?uploadType=resumable	정상 파일 업로드 API로 웹셸 배치
7	업로드 재개 상태(uploadState) → BinaryFormatter.Deserialize()	.NET 역직렬화 RCE
8	LEMURLOOT(human2.aspx) 상주	DB에 남는 공격자 계정 = 지속성

• ① 게이트 우회(헤더 접미사 버그): action_m2 처리기는 요청을 machine2.aspx로 넘기기 전에 X-siLock-Transaction 헤더가 folder_add_by_path인지 검사한다. 그런데 이 헤더를 추출하는 코드가 접미사(suffix) 매칭으로 동작해서, xX-siLock-Transaction: folder_add_by_path 같은 검사만 통과시키는 가짜 헤더를 하나 넣고, 진짜 거래 헤더는 따로 넣어 원하는 작업을 실행시킬 수 있었다. "검사한 값"과 "실행된 값"이 달랐다.
• ② 세션 변수 주입: session_setvars 거래는 패치에서 함수 자체가 삭제된 기능이었다(즉 사라진 코드가 취약점의 증거다). 이 함수는 X-siLock-SessVar0, X-siLock-SessVar1… 헤더를 그대로 세션 변수로 복사했다. 예컨대 X-siLock-SessVar0: MyUsername: sysadmin처럼 요청 헤더만으로 세션 값을 바꿀 수 있었다.
• ③ SQL 인젝션: 진입점은 guestaccess.aspx의 secmsgpost 거래(외부인이 메시지를 보내는 정상 기능)였다. 호출 사슬은 guestaccess.aspx → SILGuestAccess.PerformAction() → MsgEngine.MsgPostForGuest() → UserEngine.UserGetSelfProvisionUserRecipsWithEmailAddress() → UserGetUsersWithEmailAddress(). 문제는 수신자 이메일 목록(SelfProvisionedRecips)이 정리(XHTMLClean) 없이 AND Email='<EmailAddress>'에 문자열 결합으로 들어간 것. 여기서 재미있는 제약이 있다 — 이 변수는 먼저 콤마(,)로 쪼개지기 때문에 주입문에 콤마를 쓸 수 없다. 공격자는 INSERT를 한 번, UPDATE를 또 한 번처럼 요청을 여러 번 나눠 실행해 우회했다(챕터 5의 PoC ①이 그 구조를 재현한다).
• ④ DB 전권 획득: 이제 MOVEit 데이터베이스를 읽고 쓸 수 있다. CISA 권고가 지목한 행동은 관리자 권한 계정 생성이었다 — 무작위 사용자명 + RealName='Health Check Service'. 그리고 sysadmin의 접속 IP 제한을 풀고, 연합 로그인 설정을 공격자 쪽으로 바꿔버린다.
• ⑤ sysadmin 토큰 탈취: MOVEit의 /api/v1/auth/token은 session_grant=external_token일 때 연합 로그인(외부 IdP) 경로를 탄다. 서버는 제출된 RS256 JWT의 서명을 검증하기 위해 amurl 필드가 가리키는 곳에서 인증서를 내려받는다. JWT 내용을 공격자가 만드니, amurl을 자기 서버로 돌리고 자기 인증서를 쓰면 서명 검증이 통과한다. DB 조작으로 "이 IdP를 신뢰하라"고 설정해 둔 덕분에 최종적으로 내장 sysadmin의 액세스 토큰을 얻는다.
• ⑥ 웹셸 배치: 얻은 토큰으로 /api/v1/folders를 조회하고, 재개 가능 업로드(resumable) API로 파일을 올린다. 인증된 정상 업로드이므로 파일 업로드 보안 장치는 "합법적 관리자 업로드"로 본다.
• ⑦ 역직렬화 RCE: Horizon3가 패치에서 발견한 또 하나의 구멍이 GetFileUploadInfo()였다. 업로드 재개 시 uploadState 값을 DB에서 읽어 BinaryFormatter().Deserialize()에 그대로 넣는다 — 전형적인 .NET 역직렬화 취약점 (ysoserial.net의 TypeConfuseDelegate 계열). DB 필드가 조직별 키로 암호화돼 있어도, 이미 SQLi로 DB를 쓸 수 있는 공격자에게는 의미가 없다. "신뢰 경계 안쪽 데이터"를 신뢰한 결과다.
• ⑧ LEMURLOOT의 내부: 웹셸은 C#로 작성된 ASP.NET 파일로, 정상 제품 DLL(MOVEit.DMZ.ClassLib, MOVEit.DMZ.Application.Files, MOVEit.DMZ.Application.Users)을 불러 제품과 동일한 방식으로 DB·파일에 접근한다. 요청은 하드코딩된 비밀번호와 전용 헤더(X-siLock-Comment)로 인증하고, X-siLock-Step1/2/3 헤더로 명령을 주고받으며 응답을 gzip으로 압축한다. 볼일이 없으면 HTTP 404를 반환해 스캐너에게 "없는 페이지"로 보인다. 할 수 있는 일은 파일 나열·다운로드, Azure Blob 설정·계정 키 추출, 관리자 계정 생성/삭제다.
• ★ 지속성의 핵심: 웹셸 파일을 지워도, DB에 만들어 둔 관리자 계정은 남는다. CISA는 "웹 서버를 재구축해도 DB가 남아 있으면 공격자 계정으로 다시 들어올 수 있다"고 명시하고, 감사 SQL로 남은 계정을 찾아 삭제하라고 권고했다(챕터 5의 PoC ④가 그 쿼리다).

4. 피해 규모/영향 — 숫자로 보는 2023

• 조직: 보안업체 Emsisoft의 집계(2023-10-25)에서 2,500개 이상, 이후 누적 2,700개 이상. 이 중 80% 이상이 미국 소재 조직이었다.
• 개인: 노출된 개인정보가 약 9,300만 명 규모로 집계됐다. 한 제품의 결함이 '한 나라 인구급' 개인정보와 등가가 된 사례다.
• 대표 피해(2023년 5~6월): 캐나다 노바스코샤 주정부 (재직·퇴직 직원 최대 10만 명), 영국 BBC · British Airways · Boots · Aer Lingus와 급여대행사 Zellis, Ernst & Young · Transport for London · Ofcom, 미국 에너지부(DoE) 산하 기관들, 루이지애나 OMV와 오리건 DMV(수백만 명 규모), 그리고 Shell·Putnam Investments·1st Source·뉴욕시 교육청 등이 잇따라 공개됐다.
• 공격자 수익: Cl0p는 암호화 없이도 MOVEit 캠페인만으로 7,500만~1억 달러를 벌어들일 것으로 추정됐다. "복구 비용" 대신 "유출된 데이터의 가치"에 가격을 매긴 셈이다.
• 거짓말: Cl0p는 6월 6일 "정부·군·어린이병원 관련 데이터는 즉시 삭제했다"고 주장했지만 거짓으로 드러났다. 범죄자의 '삭제 약속'은 협상 도구일 뿐이라는 점이 다시 확인됐다.
• 파급의 구조: 피해 목록이 특정 업종에 몰려 있지 않다. 의료·금융· 정부·교육·항공·에너지가 한꺼번에 나온다 — MFT가 업종이 아니라 '데이터가 흐르는 관문'이기 때문이다. 공급망 위험을 "우리 협력사가 위험한가"로 물으면 놓치는 종류의 리스크다.
• 대응: Progress은 5월 31일 전 브랜치 수정 빌드를 배포했고, CISA는 KEV 등재(6/2)로 연방기관에 강제 조치를 걸었으며 FBI·CISA(및 NSA)가 6월 7일 공동 권고와 헌팅 시그니처를 공개했다. 후속 SQLi 2건 (CVE-2023-35036 · CVE-2023-35708)이 연이어 나오며 "한 번 고치면 끝"이라는 착각도 함께 깨졌다.

5. PoC — 교육용 모의 코드 4종 (로컬 실습 전제)

PoC ① — 무인증 입력이 문자열 결합으로 들어갈 때

3장의 AND Email='<EmailAddress>' 결합 지점을 로컬 랩으로 옮긴 것이다. 같은 입력을 파라미터 바인딩으로 넘기면 경계가 유지되는 것까지 대조한다.

# poc1_moveit_lab.py — 무해한 로컬 실습용(:memory: DB). 실제 MOVEit 코드 아님
def vulnerable_query(email):
    # 취약: 미인증 입력이 정리(XHTMLClean 상당) 없이 문자열 결합으로 들어간다
    return ("SELECT Username, Permission FROM users WHERE InstID=9389 AND Deleted=0 "
            "AND (Email='%s' OR Email LIKE ('%s'))"
            % (email, escape_like_for_sql(email)))

def harden_query():                      # 수정: 플레이스홀더 + 바인딩
    return ("SELECT Username, Permission FROM users WHERE InstID=? AND Deleted=0 "
            "AND (Email=? OR Email LIKE ?)")

payload = "x') OR 1=1 --"                # 콤마 없이, 뒤쪽 절은 주석으로 잘라낸다
print(db.execute(vulnerable_query(payload) + "\n").fetchall())
print(db.execute(harden_query(), (9389, payload, escape_like_for_sql(payload))).fetchall())

실행 결과(이번 실행 실제 출력):

[취약 코드]  실행되는 SQL (삽입 지점 뒤로는 `--` 주석):
    SELECT Username, Permission FROM users WHERE InstID=9389 AND Deleted=0 AND (Email='x') OR 1=1 --' OR Email LIKE ('x') OR 1=1 --'))
    → 실제로 서버가 실행하는 문장: SELECT Username, Permission FROM users WHERE InstID=9389 AND Deleted=0 AND (Email='x') OR 1=1   /* 여기서부터는 전부 주석 */
   반환 행 수: 3 → [('svc_backup', 30), ('sysadmin', 30), ('guest_secmsg', 10)]
   ※ 표적 인스턴스(9389)로 한정되어야 할 조회가 전체 계정을 반환했다.

[수정 코드]  실행되는 SQL: SELECT Username, Permission FROM users WHERE InstID=? AND Deleted=0 AND (Email=? OR Email LIKE ?)
   바인딩 값: (9389, "x') OR 1=1 --") → 반환 행 수: 0 → []
   ※ 같은 입력이 '문자열'로만 취급되어 0건 — 권한 경계가 유지된다.

PoC ② — 유출된 서명 키가 '인증'을 무력화한다

5장 ⑤단계(sysadmin 토큰 획득)와 ⑦단계(역직렬화)의 공통 전제는 "서명 키를 안다"는 것이다. 아래는 ASP.NET 인증 쿠키 서명(HMAC)을 모의로 재현해, 키를 교체하면 위조 세션이 즉시 전부 무효가 되는 것을 보여준다.

# poc2_session_forgery.py — 교육용 모의(로컬). 실제 세션 쿠키·machineKey 아님
LAB_MACHINE_KEY = hashlib.sha256(b"mock-lab-machine-key-0926").digest()   # 모의 키

def sign_session(payload, key):          # 쿠키 본문 + HMAC 서명
    body = json.dumps(payload, separators=(",", ":"), sort_keys=True).encode()
    return (body + b"|" + hmac.new(key, body, hashlib.sha256).digest()).hex()

def verify_session(blob, key):           # 검증: 서명이 맞으면 세션 '인정'
    raw = bytes.fromhex(blob)
    body, _, mac = raw.rpartition(b"|")
    if hmac.compare_digest(hmac.new(key, body, hashlib.sha256).digest(), mac):
        return json.loads(body)
    return None

forged = sign_session({"user": "sysadmin", "perm": 30, "ip": "*"}, LAB_MACHINE_KEY)
print(verify_session(forged, LAB_MACHINE_KEY))                    # ① 원래 키
print(verify_session(forged, hashlib.sha256(b"rotated").digest()))  # ② 키 교체 후

실행 결과(이번 실행 실제 출력):

위조 쿠키(모의): 7b22657870223a313739303433313431342c226970223a222a222c227065726d223a3330 ...
① 원래 키로 검증 : {'exp': 1790431414, 'ip': '*', 'perm': 30, 'user': 'sysadmin'}
② 키 교체 후 검증: None
   ※ 서명 검증은 '키를 아는가'만 묻는다. 키가 DB(SQLi)로 새면 서명은 무의미해지고,
     반대로 키를 교체하면 이미 뿌려진 위조 세션·뷰스테이트가 한 번에 무효화된다.

PoC ③ — 404로 위장하는 웹셸의 '형태'와 시그니처 헌팅

LEMURLOOT의 통신 규칙(하드코딩 비밀번호 + 전용 헤더 + gzip 응답 + 404 위장)을 로컬 함수로 재현하고, 이어서 CISA 헌팅 시그니처의 축(마커 + 파일 크기대)이 정상 파일과 어떻게 구분되는지 대조한다. 웹셸 payload 자체는 작성하지 않고, '마커가 있는 합성 문자열'만 검사한다.

# poc3_webshell_hunt.py — 웹셸을 만들지 않고 '형태'만 재현·탐지
MOCK_SECRET = "mock-lab-password"      # 실습용 모의 값 (실제 웹셸 비밀번호 아님)

def mock_request(headers):             # 통신 규칙 재현 (네트워크 없음)
    if headers.get("X-siLock-Comment") != MOCK_SECRET:
        return 404, b"Not Found"       # 정상 방문자·스캐너에게는 그냥 404
    if headers.get("X-siLock-Step1") == "list":
        return 200, gzip.compress(b"[mock] /Human/Inbox/mock-dump.csv")
    return 404, b"Not Found"

SIGNATURES = ["X-siLock-Comment", "X-siLock-Step", "Health Check Service",
              "Create_ASP_human2_aspx"]          # CISA 시그니처 축약(교육용)

def scan_aspx(name, blob):             # 이름 + 크기 윈도우 + 마커 개수
    hits = [s for s in SIGNATURES if s.encode() in blob]
    return (name.endswith(".aspx") and 5000 <= len(blob) <= 10000 and len(hits) >= 2), len(blob), hits

for name, blob in (("human2.aspx", LEMU_SHAPE), ("human.aspx", BENIGN_ASPX)):
    print(name, scan_aspx(name, blob))

실행 결과(이번 실행 실제 출력):

정상 요청            → (404, b'Not Found')
비밀번호 틀린 요청   → (404, b'Not Found')
비밀번호 맞는 요청   → 200 | gzip 해제: b'[mock] /Human/Inbox/mock-dump.csv'

human2.aspx   size=7182  markers=4 ['X-siLock-Comment', 'X-siLock-Step', 'Health Check Ser → ⚠️ 악성 의심
human.aspx    size=2453  markers=0 []                                                      → 정상

PoC ④ — 사후 헌팅: 남은 계정 감사 + 로그 상관

웹셸 파일을 지워도 DB에 남은 공격자 계정이 지속성이 된다는 CISA의 지적을 그대로 옮겼다. 더불어, 404를 돌려주는 요청을 로그에서 승격 경보로 만드는 규칙(정상 사용자는 404 페이지를 3번 연속 POST하지 않는다)을 합성 로그로 검증한다.

# poc4_hunt.py — 남은 공격자 계정 감사 + '404 웹셸' 로그 상관 (합성 데이터)
AUDIT_SQL = ("SELECT Username, LoginName FROM users "
             "WHERE Permission=30 AND Status='active' AND Deleted='0'")

for u in db.execute(AUDIT_SQL):          # RealName='Health Check Service' 계정이 탐지 대상
    print("관리자 권한 계정:", u)

for (src, path, code), ts in seen.items():        # 같은 출처가 404 .aspx 를 반복 POST
    if code == "404" and len(ts) >= 3:
        print("[webshell_probe] src=%s path=%s 404반복=%d회" % (src, path, len(ts)))

실행 결과(이번 실행 실제 출력):

[감사 쿼리] SELECT Username, LoginName FROM users WHERE Permission=30 AND Status='active' AND Deleted='0'
   관리자 권한 계정: ('svc_backup', 'svc_backup')
   관리자 권한 계정: ('hcs_a71f', 'a71f9c22')
   ※ RealName='Health Check Service' 계정은 CISA 권고상 삭제 대상(웹서버를 재구축해도
     DB가 남아 있으면 공격자 계정은 그대로 살아 있다).

[로그 상관] 404 응답이라도 '같은 출처가 반복 POST' 하는 .aspx 를 승격 경보로 처리
   ⚠️ [webshell_probe] src=203.0.113.7 path=/human2.aspx 404반복=3회 since=2026-09-25T23:41:05Z

네 조각을 합친 결론은 이렇다 — ①무인증 경로 ②세션 변수 주입 ③서명 키 탈취 ④파일 업로드·역직렬화가 각각은 '정상 기능'인데 직렬로 이어 붙자 RCE까지 도달했다. 그래서 방어도 각 이음새마다 필요하다.

6. 방어 방법/교훈

• 경계 제품을 인터넷에 직접 노출하지 않는다: MFT·VPN·RMM·메일 게이트웨이는 '데이터가 모이는 곳'이라 한 번 뚫리면 파급이 곱해진다. 리버스 프록시·Zero Trust 액세스 앞단 배치, 허용 IP 제한, 관리 UI 분리를 기본값으로 두고, 노출 대수를 자산 인벤토리로 상시 파악한다. 이 캠페인의 '확산'은 취약 자산의 분포 그 자체였다.
• 인터넷 노출 자산의 패치는 '당일'이 기준: 공개(5/31) → KEV(6/2) → 공동 권고(6/7). 주말·연휴를 노린 공격은 패치 전 창(Window)에서 끝난다. 즉시 적용이 어려우면 WAF 가상 패치·엔드포인트 차단·서비스 중지 중 하나를 반드시 택한다.
• SQL은 언제나 파라미터 바인딩: PoC ①이 보여주듯 '이스케이프 헬퍼'와 블랙리스트 정리는 우회의 대상이다(실제로 이 취약점은 정리 함수를 우회하는 경로를 통해 성립했다). 레거시 API와 '비로그인 방문자' 기능이 남아 있는지도 함께 정리한다 — 오래된 엔드포인트는 최신 코드의 정리 로직을 공유하지 않는다.
• 헤더·세션 변수를 신뢰하지 않는다: 검사한 값과 실행에 쓰인 값이 달라지는 순간 게이트는 무의미해진다(접미사 매칭 버그). 세션 변수를 클라이언트 헤더로 설정하는 기능은 설계 단계에서 제거하는 편이 낫다.
• 신뢰 경계 안쪽 데이터도 재검증: 업로드 재개 상태·DB 필드처럼 '우리 시스템이 만든 값'이라 믿는 데이터가 역직렬화 입력이 되면, 앞단의 SQLi 하나가 RCE로 승격된다. BinaryFormatter류 안전하지 않은 역직렬화는 사용하지 않는다(마이크로소프트도 폐기를 권고).
• 서명 키는 곧 경계다: PoC ②처럼 서명 검증은 "키를 아는가"만 묻는다. 키가 새면 위조 세션이 통과하고, 키를 교체하면 위조 세션이 일괄 무효가 된다. 사고 후에는 키·토큰·비밀번호 전면 교체를 복구 절차에 포함한다.
• 사고 대응 = 삭제가 아니라 '감사': 웹셸을 지우고 웹서버를 재구축해도 DB의 공격자 계정은 남는다. PoC ④의 감사 쿼리 같은 점검을 복구 완료 조건에 넣고, 웹 루트에 새로 생긴 .aspx를 무결성 모니터링으로 잡는다. 404로 위장한 웹셸은 반복 POST라는 행동 흔적으로 드러난다.
• 백업만으로는 방어가 아니다: 암호화를 하지 않아도 유출만으로 협박이 성립한다. 본질적 완화는 보관 데이터 최소화(오래된 급여·의료 자료를 애초에 받아두지 않기)와 전송 구간 수명 관리다.
• 공급망 신뢰의 경계를 이해한다: "우리가 안전한가"가 아니라 "우리 데이터가 지나가는 제품이 안전한가"를 물어야 한다. 다만 이 사건에서 업계가 공통으로 언급한 점은 벤더의 신속한 패치와 소통이 피해 규모를 줄였다는 사실이다 — 사고는 막지 못해도 공개 속도는 통제할 수 있다.

7. 출처

• CISA/FBI — #StopRansomware: CL0P Ransomware Gang Exploits CVE-2023-34362 MOVEit Vulnerability (AA23-158A, 2023-06-07) — cisa.gov/…/aa23-158a
• Progress Software — MOVEit Transfer Critical Vulnerability (2023-05-31 보안 공지) — community.progress.com/…/MOVEit-Transfer-Critical-Vulnerability-31May2023
• Horizon3.ai — CVE-2023-34362 Deep Dive and Indicators of Compromise (8단계 체인 재현) — horizon3.ai/…/moveit-transfer-cve-2023-34362-deep-dive…
• Wikipedia — 2023 MOVEit data breach — en.wikipedia.org/wiki/2023_MOVEit_data_breach
• Wikipedia — Clop (hacker group) — en.wikipedia.org/wiki/Clop_(hacker_group)
• Huntress — MOVEit 전량 익스플로잇·웹셸 분석 시리즈 — huntress.com/blog

※ 본문의 PoC 코드는 구조 이해 목적의 교육용 모의 코드이며, 실제 CVE-2023-34362 트리거·실제 익스플로잇 요청·실제 웹셸(LEMURLOOT)·유출 데이터·C2/IOC는 포함하지 않습니다. 모든 실습은 인터넷과 분리된 격리 랩 VM을 전제로 합니다.

함께 읽기: ☠️ NotPetya (2017) — 신뢰받는 업데이트 채널을 무기로 쓴 와이퍼 · 🦅 SolarWinds SUNBURST (2020) — 공급망·서명 신뢰의 붕괴 · 💥 Emotet (2014–2021) — 랜섬웨어의 1차 침투 플랫폼 · 🪱 Conficker (2008) — 자가 방어형 웜 · 🏦 Bangladesh Bank SWIFT Heist (2016) — '정상 승인 거래'로 위장한 은행 강탈