💥 Blaster / MSBlast (2003) — 'RPC DCOM' 결함 하나로 수십만 대를 재부팅시킨 초고속 웜

4. 피해 규모/영향 — 헬프데스크의 여름, 그리고 '패치 규율'의 탄생

• 감염 곡선(CERT/CC): 8월 12일 3만 대 → 8월 15일 42만 3천 대. 이후로도 계속 늘어 총 감염은 수십만~수백만 대로 추정됐다(집계 기관별 편차 큼).
• 파괴의 형태: 개인정보를 훔치거나 파일을 암호화하지 않았다. 대신 집단 리부팅·네트워크 마비를 일으켰다. 대학·기업·공공기관에서 PC가 수 분 간격으로 꺼졌다 켜지며 업무가 멈췄고, DDoS로 MS 사이트 접속이 마비됐다.
• 웰치아(Welchia/NachI) 소동: 8월 18일 등장한 이 웜은 Blaster를 지우고 MS 패치를 스스로 설치하려 시도했다. 의도는 '선'이었지만 대규모 스캔 트래픽으로 네트워크를 다시 마비시켰고, 2004-01-01에 스스로 삭제됐다 — '선의의 웜'도 재앙이 될 수 있음을 남겼다.
• 경제적 피해: 사후 자료에서 다수 기관이 수십억 달러 규모로 추정했으며, 마이크로소프트는 해당 기간 대응에 막대한 자원을 투입했다.
• 수사와 처벌: 마이크로소프트는 2003년 11월 Blaster·Sobig 작성자 제보에 각 25만 달러(총 50만 달러) 현상금을 걸었다. 2003-08-29 'B(teekids) 변종' 제작자 Jeffrey Lee Parson이 체포됐고, 미 법무부 집계로 그의 변종은 약 4만 8천 대 이상을 감염시켰다. 2005-01-28 그는 18개월 수감 + 보호관찰 3년 + 사회봉사 100시간을 선고받았다(판사는 "기술의 토대를 흔들었다"고 질타). 단, 원조 'A' 변종의 작성자는 지금도 미상이다.
• 산업적 영향: Blaster·Welchia·Sasser로 이어진 2003~2004년의 연쇄는 ① 자동 업데이트의 기본화 ② 경계 방화벽의 내부 구간(segment) 적용 ③ '패치 관리' 프로세스의 제도화를 앞당겼다. 오늘날 엔터프라이즈 보안의 기본값 상당수가 이 여름의 후유증이다.

5. 교육용 PoC 4종 — 원리만 재현하는 모의 코드

아래 스니펫은 공개된 분석을 바탕으로 한 재구성이며, 가상의 로컬 실습 환경에서만 동작하도록 만든 교육용 모의 코드다. 실제 익스플로잇 바이트, 실제 셸코드, 실제 스캔/플러드 코드는 없다. 각 스니펫의 목적은 "그 구조가 무엇을 하는가"를 눈으로 확인하는 것뿐이다.

PoC 1 — '길이 검사 없는 복사'의 원리(취약 파서 모의). 실제 코드에는 없던 길이 검증 한 줄이 무엇을 막는지 보여준다.

# PoC 1: DCOM/RPC '활성화 요청' 파서를 흉내 낸 모의 코드 — 버퍼 길이 검사의 역할
# 실제 익스플로잇/셸코드/네트워크 전송은 없다. 로컬에서 print만 한다.
FIXED_BUF_SIZE = 32          # 실제 rpcrt4.dll의 고정 버퍼에 대응하는 상징값

def vulnerable_parser(field_len, field_data):
    """서버가 요청 필드를 '그대로' 고정 버퍼에 복사하는 취약한 모습."""
    buf = bytearray(FIXED_BUF_SIZE)
    if field_len > FIXED_BUF_SIZE:     # ← 실제 취약 코드에는 이 검사가 '없었다'
        overflow = field_len - FIXED_BUF_SIZE
        print(f"[!] 버퍼 {FIXED_BUF_SIZE}B를 {overflow}B 초과 → "
              f"'저장 EBP·반환 주소' 영역을 덮는다(스택 오버플로)")
        return False
    buf[:field_len] = field_data[:field_len]
    print("[+] 요청 정상 처리")
    return True

if __name__ == "__main__":
    vulnerable_parser(20, b"A" * 20)              # 정상 요청
    vulnerable_parser(96, b"A" * 96)              # 조작된 '긴' 요청(모의)

PoC 2 — 무작위 IP 스캔 증식 로직(메모리 시뮬레이션). 실제 소켓을 열지 않고, 가짜 호스트 사전 안에서만 '전파 곡선'을 재현한다.

# PoC 2: 무작위 IP 스캔 → '취약 포트 135' 프로브 증식을 메모리 안에서만 흉내 낸다.
# 실제 소켓 생성 / 실제 스캔 / 실제 익스플로잇 전송은 전혀 없다.
import random

def simulate_spread(population=5000, vulnerable_ratio=0.35, seeds=3, generations=6):
    random.seed(135)  # TCP 135 기념(재현성용 시드)
    hosts = [(random.random() < vulnerable_ratio) for _ in range(population)]
    infected = set(range(seeds))                      # 최초 감염 3대
    for g in range(1, generations + 1):
        new = set()
        for _ in infected:                            # 감염 호스트마다 스캔
            for _ in range(200):                      # 1세대당 스캔 시도 200회(모의)
                t = random.randrange(population)      # 무작위 IP
                if t not in infected and hosts[t]:    # 취약 포트(135)가 열려 있으면 감염
                    new.add(t)
        infected |= new
        print(f"세대 {g}: 신규 감염 {len(new):4d} → 누적 {len(infected):5d} / 모집단 {population}")
    print("최종 감염률: %.1f%%  (사용자 클릭 없이 '연결'만으로 확산됨을 보여줌)"
          % (100 * len(infected) / population))

if __name__ == "__main__":
    simulate_spread()

PoC 3 — 뮤텍스 'BILLY' + 자가 복사 + 'Run' 키 지속성. 심볼릭 링크나 시스템 변경 없이 /tmp/lab에서만 재현한다.

# PoC 3: 뮤텍스 'BILLY' + 자가 복사 + Run 키 등록(지속성)을 로컬 실습 디렉터리에서만 재현
# 시스템 파일/실제 레지스트리는 절대 건드리지 않는다.
import os, shutil

LAB   = "/tmp/lab"
MUTEX = os.path.join(LAB, "BILLY.mutex")                    # 실제로는 CreateMutex("BILLY")
RUNKEY= os.path.join(LAB, "windows auto update.reg.txt")    # Run 키 등록을 흉내 낸 파일

def persist_demo():
    os.makedirs(LAB, exist_ok=True)
    if os.path.exists(MUTEX):
        print("[=] 뮤텍스 존재 → 이미 실행 중이라 판단, 중복 실행 방지(재감염 회피)")
        return
    open(MUTEX, "w").write("hmm\n")
    try:                                                    # 자가 복사(모의)
        shutil.copyfile(__file__, os.path.join(LAB, "msblast.mock.py"))
    except NameError:
        open(os.path.join(LAB, "msblast.mock.py"), "w").write("# self-copy demo\n")
    open(RUNKEY, "w").write(
        r'Run: "windows auto update" = %Windir%\System32\msblast.exe')
    print("[+] 최초 실행: 뮤텍스 생성 + System32로 자가 복사 + Run 키 등록(모의)")

if __name__ == "__main__":
    persist_demo()

PoC 4 — 방어 검증(탐지·조건 확인·대응). '감염 흔적 찾기'와 'DDoS 트리거 조건 확인'을 한 스크립트로 묶는다.

# PoC 4: 방어 — 아티팩트 탐지 + DDoS 트리거 조건 로깅 + 셧다운 카운트다운 대응 안내
import os, datetime

ARTIFACTS = ["/tmp/lab/msblast.mock.py", "/tmp/lab/windows auto update.reg.txt"]

def scan_artifacts():
    hits = [p for p in ARTIFACTS if os.path.exists(p)]
    print("[탐지]", ("아티팩트 발견: " + ", ".join(hits)) if hits else "깨끗함")
    return hits

def ddos_trigger_active(now=None):
    now = now or datetime.date.today()
    # Blaster 조건: 8/16 이후 ~ 12/31 이전, 또는 매월 15일 이후
    active = (datetime.date(now.year, 8, 16) <= now <= datetime.date(now.year, 12, 31)) \
             or (now.day > 15)
    print("[DDoS 트리거 조건]", "활성 — 플러드 시작 조건 충족(모의)" if active else "비활성")
    return active

if __name__ == "__main__":
    scan_artifacts()
    ddos_trigger_active()
    print("[대응] 셧다운 카운트다운이 뜨면 즉시 'shutdown /a' 로 중단 → "
          "네트워크 분리 → 135/139/445 차단 → MS03-026/MS03-039 패치")

6. 방어 방법/교훈 — '연결된 미패치 호스트'가 곧 공격면이다

• 패치가 곧 방어다: Blaster는 패치가 존재했는데도 퍼졌다. MS03-026(2003-07-16)을 적용했다면 감염되지 않았다. 자동 업데이트 켜기 + 패치 적용률 측정이 가장 근본적인 대응이다.
• 경계 차단: TCP 135/139/445/593을 인터넷 경계에서 차단한다(CERT/CC가 2003-07-17부터 권고). 2003년엔 이 한 줄이 확산을 크게 줄였다.
• 내부도 신뢰하지 말 것(세그멘테이션): Blaster는 내부망에서 더 빨리 퍼졌다 — 경계 방화벽은 내부 대 내부 135를 막지 않았기 때문이다. 호스트 방화벽 기본 차단(인바운드)과 망 분할이 필수다. '경계 방어'라는 개념 자체를 흔든 사건이었다.
• 행위 기반 탐지: ① 한 호스트가 짧은 시간에 다수 IP의 135로 연결 시도 ② System32\msblast.exe·Run 키 "windows auto update" 아티팩트 ③ RPCSS 크래시와 셧다운 카운트다운 반복 ④ 아웃바운드 TCP 4444 — 이 네 가지는 강력한 탐지 신호다. 프로세스 이름이 아니라 행위를 본다(PoC 4).
• 침해 대응(IR): 셧다운 카운트다운이 뜨면 shutdown /a로 즉시 중단하고(Windows), 곧바로 네트워크에서 분리한 뒤 마이크로소프트의 MSBlast 제거 도구(2004-01-13 배포)로 청소하고 패치를 적용한다. '재부팅 반복 = 하드웨어 고장'으로 오진하지 않는 것이 첫 단계다.
• 웰치아의 교훈: 선의의 자동 웜도 규모가 커지면 재앙이다. 자동화된 '치료'는 통제된 관리 도구로만 수행해야 한다.
• 총평: Blaster는 '사용자 실수'를 먹고 사는 공격과 '설정·패치 실수'를 먹고 사는 공격이 다르다는 것을 명확히 보여줬다. 클릭을 조심하는 것만으로는 막을 수 없고, 패치·차단·분할·탐지라는 시스템적 규율이 필요하다. 그 규율이 오늘날의 기본값이 된 것은, 이 여름의 값비싼 청구서 덕분이다.

7. 출처

• CERT/CC — CERT Advisory CA-2003-20: W32/Blaster worm (2003-08-14, 감염 추이·포트 차단 권고·변종) — sei.cmu.edu (CERT 2003 Advisories)
• Microsoft — MS03-026: Buffer Overrun In RPC Interface Could Allow Code Execution (823980) (2003-07-16) — learn.microsoft.com/ms03-026
• Microsoft — MS03-039 (RPCSS 취약점 범위 확대) — learn.microsoft.com/ms03-039
• NIST NVD — CVE-2003-0352 (DCOM RPC 버퍼 오버런) — nvd.nist.gov/CVE-2003-0352
• Microsoft — Worm:Win32/Msblast (아티팩트·페이로드·DDoS 트리거 조건) — microsoft.com/wdsi
• U.S. DOJ — Minnesota Man Sentenced to 18 Months in Prison for Creating and Unleashing a Variant of the MS Blaster Computer Worm (2005-01-28) — justice.gov
• Wikipedia — Blaster (computer worm) (타임라인·별칭·메시지·DDoS 대상·Welchia 경위) — en.wikipedia.org/wiki/Blaster_(computer_worm)

※ 본문의 PoC 코드는 구조 이해 목적의 교육용 모의 코드이며, 실제 익스플로잇 바이트·셸코드·네트워크 스캔·DDoS 코드는 포함하지 않습니다. 모든 실습은 인터넷과 분리된 격리 랩(가상 디렉터리 /tmp/lab)을 전제로 하며, 실제 시스템이나 타인의 네트워크를 대상으로 한 실행은 불법입니다.

함께 읽기: 🟥 Code Red (2001) — 'IIS 웹서버'를 삼킨 파일리스 메모리 웜 · 🐌 SQL Slammer (2003) — 376바이트 패킷으로 10분 만에 전 세계를 멈춘 같은 해의 웜 · 🪱 Conficker (2008) — Blaster의 계보를 이어 '자가 방어형 웜'의 정점을 찍은 사건 · 💀 WannaCry (2017) — 미패치 취약점(EternalBlue)이 다시 세상을 멈추게 한 웜 · 🐛 Morris Worm (1988) — 최초의 자기복제 웜에서 시작된 계보