🐛💣 Sasser (2004) — 패치 17일 만에 터진 LSASS 버퍼 오버플로: 60초 종료 카운트다운·5554 FTP 자기복제, 18세 저자가 남긴 교훈

1. 배경/역사 — 18번째 생일날 풀려난 웜

2004년 4월 13일, 마이크로소프트는 월간 보안 업데이트의 하나로 MS04-011을 배포했다. 이 중 하나가 Windows 2000·XP의 LSASS(Local Security Authority Subsystem Service)에서 발견된 원격 코드 실행 취약점 CVE-2003-0533이었다. LSASS는 로그온·인증·정책 적용을 담당하는 보안의 심장으로, SYSTEM 권한으로 동작하고 프로세스가 죽으면 OS가 치명적 오류로 판단한다.

17일 뒤인 2004년 4월 30일, 이 취약점을 자동으로 터뜨리는 웜이 등장했다. 제작자는 독일 니더작센 로텐부르크의 기술전문대 학생 Sven Jaschan(당시 18세). 웜은 그의 18번째 생일(4월 29일)에 맞춰 유포된 것으로 알려졌다. 그는 같은 시기 Netsky 변종(Netsky.AC)도 만들었고, 두 악성코드는 당시 유행하던 Bagle 계열과의 '바이러스 전쟁' 구도 속에서 서로를 제거하는 기능까지 넣으며 진화했다.

마이크로소프트는 25만 달러 현상금을 걸었고, 지인의 제보로 5월 7일 Jaschan이 체포됐다. 독일 법원은 그가 만 18세 이전에 웜을 작성했다고 보아 소년법으로 재판했고, 2005년 7월 8일 컴퓨터 사보타주·데이터 불법 변경 혐의로 징역 1년 9개월 집행유예를 선고했다. 체포 직후에도 Sasser.E가 유포됐는데, 이 변종은 다른 웜을 제거하는 ‘백신 흉내’ 기능을 넣은 유일한 판본이었다.

2. 감염·전파 경로 — 메일도, 클릭도 필요 없다

Sasser의 가장 큰 특징은 사용자 행위가 전혀 개입되지 않는다는 점이다. 첨부파일을 열지도, 링크를 누르지도 않는다. 네트워크에 연결되어 있고 445번 포트가 열려 있으며 패치가 안 되어 있으면, 그 자체로 감염 대상이다.

1. IP 생성 — 감염 호스트는 자기 IP를 기준으로 주변 주소를 대량 생성한다. 같은 대역을 우선하되 무작위성을 섞어, 한 서브넷이 막히면 다른 대역으로 번지는 구조다.
2. 445/TCP 연결 — SMB 협상 포트에 동시 다발로 연결을 시도한다. 응답이 있으면 곧바로 익스플로잇 패킷을 보낸다.
3. LSASS 오버플로 — 조작된 DCERPC 요청의 긴 문자열이 LSASS 내부 버퍼를 넘치게 해 실행 흐름을 가로챈다.
4. 9996 리스너 — 셸코드가 cmd.exe를 9996번 포트에 묶어 원격 셸을 만든다. 웜은 여기에 접속해 명령을 내린다.
5. 5554 FTP에서 2단계 내려받기 — 감염 호스트는 자신의 5554번 포트에 초미니 FTP 서버를 띄우고, 무작위 5자리 숫자 + _up.exe 이름으로 자기 복사본을 제공한다. 새 호스트는 ftp.exe를 이용해 이 파일을 받아 실행한다.
6. 상주 — %WINDIR%\avserve.exe(또는 avserve2.exe)로 저장되고 Run 키에 등록돼 재부팅 후에도 살아난다.

즉 Sasser는 익스플로잇(1단계)과 파일 전달(2단계)을 분리했다. 익스플로잇 코드는 작게 유지하고, 실제 페이로드는 이미 감염된 호스트가 FTP로 건네주는 방식이다. 이 구조 덕분에 웜 본체는 수십 KB 수준으로 작았고, 변종 교체도 쉬웠다.

3. 동작 원리 상세 — 코드/구조 레벨

3.1 취약점의 본체: 길이를 믿는 파서

CVE-2003-0533의 근본 원인은 고전적이다. 네트워크에서 온 길이 값을 검증하지 않고 고정 크기 버퍼로 복사하는 스택/힙 오버플로다. 공격자는 필드 크기(수십~수백 바이트)를 훨씬 넘는 문자열을 보내 인접 메모리(함수 포인터·리턴 주소·인증 상태 플래그)를 덮어쓴다. LSASS는 SYSTEM 권한이므로, 실행 흐름을 잡으면 곧바로 최고 권한이다.

중요한 점은 익스플로잇 성공이 곧 안정적 동작을 의미하지 않는다는 것이다. 웜의 셸코드는 매우 거칠게 작성돼, 익스플로잇이 실패하거나 힙 상태가 조금만 달라도 LSASS가 0xC0000005(액세스 위반)로 죽는다. 이것이 Sasser의 상징인 종료 카운트다운을 만든다.

3.2 감염 후 흐름 (의사 코드)

on_start():
    if already_running(): exit()
    copy_self_to("%WINDIR%\\avserve2.exe")
    registry_set_run("avserve", "%WINDIR%\\avserve2.exe")
    write_log("C:\\win2.log")                  # 감염 시각/카운터 기록
    ftp_server_listen(0.0.0.0:5554)            # 자기 복사본 배포용
    shell_listen(0.0.0.0:9996)                 # 익스플로잇 셸코드가 바인딩

    for thread in 1..N:                        # 대량 동시 스캔
        ip = pick_target_ip()                  # 자기 대역 우선 + 무작위
        if tcp_connect(ip, 445, timeout=short):
            send_dcerpc_overflow(ip)           # 1단계: LSASS 익스플로잇
            if tcp_connect(ip, 9996):
                send("ftp -s:script.txt")      # 2단계: 5554에서 자기 자신 받기
                # script.txt: open  5554 / get _up.exe / bye
    loop_forever()

여기서 눈여겨볼 설계는 자기 배포 서버를 스스로 여는 자기참조 구조다. 중앙 C2도, 취약한 웹서버도 필요 없다. 감염된 PC 한 대가 다음 PC에게 파일을 건네고, 그 PC가 다시 서버가 된다. 그래서 Sasser는 초기에 확산 속도가 매우 빨랐고, 동시에 5554·9996 포트 스캔이라는 강력한 탐지 지문을 남겼다.

3.3 왜 재부팅 루프가 되나

• Windows는 LSASS를 치명적 시스템 프로세스로 취급한다. 이 프로세스가 비정상 종료하면 커널이 세션을 신뢰할 수 없다고 판단해 60초 후 강제 종료를 예약한다.
• 화면에는 "시스템 종료: 이 시스템은 종료됩니다. 진행 중인 작업을 저장하고 로그오프하십시오. 종료는 NT AUTHORITY\SYSTEM에 의해 시작되었습니다" 형태의 대화상자와 카운트다운이 뜬다. 원인 제공자는 lsass.exe의 상태 코드 -1073741819(=0xC0000005)다.
• 재부팅 후 Run 키로 avserve2.exe가 다시 뜨고, 다시 스캔·익스플로잇을 시작한다. 패치 전에는 사실상 자가 복구 불가능한 루프다.
• 웜 자체는 파일을 암호화하거나 삭제하지 않는다. 피해의 본질은 가용성 상실이다. 그런데도 병원·항공사·은행이 멈춘 이유는, 이 '가용성'이 업무 그 자체이기 때문이다.

3.4 변종 계보

변종	드롭 파일	특이점
Sasser.A	avserve.exe	최초 판본. 4월 30일 확산
Sasser.B~D	avserve2.exe	스캔 스레드·대상 대역·파일명 난수화가 조금씩 변경, 확산력 강화
Sasser.E	avserve2.exe	저자 검거 직후 등장. 다른 웜 제거 기능 포함(Netsky 계열의 행태)
Sasser.F	avserve2.exe	후기 변종. 일부 백신 프로세스 종료 시도

4. 피해 규모/영향 — 숫자로 보는 2004년 5월

• 감염 규모: 각국 ISP·백신 업체 집계를 합치면 100만 대를 넘었을 것으로 추정된다. 2004년은 MyDoom·Bagle·Netsky·Sasser가 겹친 '웜의 해'였다.
• 델타항공: 예약·운항 시스템이 마비되며 대서양 횡단편 여러 편 결항. 당시 언론은 "웜 때문에 비행기가 뜨지 못했다"고 보도했다.
• AFP(Agence France-Presse): 위성 통신이 수 시간 차단돼 국제 뉴스 송고가 중단됐다.
• 핀란드 If 보험·Sampo Bank: 시스템 전면 중단으로 130개 지점 폐쇄.
• 영국 해안경비대(Coastguard): 전자 해도·매핑 서비스가 수 시간 작동 중단.
• 룬드 대학병원(스웨덴): X-ray 장비 4대가 수 시간 정지, 응급 환자를 인근 병원으로 전원.
• 그 외: Goldman Sachs, Deutsche Post, 유럽연합 집행위원회 등이 업무 지장을 보고했다. 호주 철도 일부 노선 지연 사례도 언론에 보도됐다.
• 경제적 손실: 수십억 달러 규모로 추정되지만 공식 집계는 없다. 웜은 데이터를 훔치지 않았고 몸값도 요구하지 않았다. 순수한 가동 중단 비용만으로 이 규모가 나왔다는 점이 핵심이다.
• 연쇄 효과: 445 포트 차단·패치 자동화·ISP 차원의 필터링이 본격적으로 논의되는 계기가 됐다. 오늘날의 패치 관리·네트워크 세그멘테이션 규제(예: PCI DSS)에도 이 시기의 사건들이 배경으로 작용했다.

5. PoC — 동작 원리 재현 (교육용·로컬 랩 전용)

PoC 1 — 스캔 파형 시뮬레이터 (전파 1단계)

웜이 어떻게 '주변 대역'을 훑는지, 그리고 왜 방화벽 한 줄로 막히는지를 보여준다. 실제 익스플로잇은 없고, 랩 대역에 대한 TCP 연결 시도만 한다. 실제 웜은 수백~1,000 스레드를 썼지만, 랩에서는 64개로 제한한다.

#!/usr/bin/env python3
# 교육용: 127.0.0.0/24 가상 랩에서 "스캔 파형"만 재현한다.
# 실제 취약점 트리거/셸코드는 포함하지 않는다.
import ipaddress, socket
import concurrent.futures as cf

LAB  = ipaddress.ip_network("127.0.0.0/24")   # 소유한 랩 대역만!
PORT = 445

def probe(ip):
    s = socket.socket()
    s.settimeout(0.3)
    try:
        return str(ip), s.connect_ex((str(ip), PORT)) == 0
    finally:
        s.close()

with cf.ThreadPoolExecutor(max_workers=64) as ex:
    alive = [ip for ip, ok in ex.map(probe, LAB.hosts()) if ok]

print("랩 내 445/TCP 응답:", alive)
print("→ 이 목록이 곧 웜의 '다음 감염 후보'가 된다")

해설: Sasser의 무서움은 이 루프가 사람 없이, 초당 수백 번 돈다는 점이다. 반대로 방어는 단순하다. 인바운드 445를 인터넷에서 차단하면 이 루프는 아무것도 못 한다. 2004년에도 "방화벽만 제대로 설정해도 막혔다"는 것이 마이크로소프트의 공식 설명이었다.

PoC 2 — 경계 검사 실패 시뮬레이션 (취약점의 본질)

LSASS 오버플로를 그대로 재현하는 대신, 길이를 신뢰하는 파서가 어떤 결과를 낳는지 계산만 한다. 실제 메모리 오버플로를 실행하지 않고, 초과 바이트 수와 덮어써질 인접 필드를 출력한다.

/* 교육용: 유사 파서의 경계 검사 실패를 "시뮬레이션"한다.
 * 실제 오버플로를 실행하지 않고, 어디서 넘치는지만 계산해 출력한다.
 * gcc -Wall -o parser_demo parser_demo.c  (실행해도 안전) */
#include <stdio.h>
#include <string.h>

#define FIELD_LEN 64

typedef struct {
    char account[FIELD_LEN];
    int  authenticated;      /* 인접 필드: 0이면 미인증 */
} Session;

/* 패치 전 코드의 형태: 길이를 그대로 믿고 복사 */
static void parse_vulnerable(Session *s, const char *in) {
    memcpy(s->account, in, strlen(in));   /* ❌ 경계 검사 없음 */
}

/* 패치 후 코드의 형태: 남는 공간만 복사 + 항상 NUL 종료 */
static void parse_fixed(Session *s, const char *in) {
    size_t n = strlen(in);
    size_t room = sizeof(s->account) - 1;
    if (n > room) n = room;               /* ✅ 절단 */
    memcpy(s->account, in, n);
    s->account[n] = '\0';
}

int main(void) {
    char input[512];
    memset(input, 'A', sizeof(input) - 1);
    input[sizeof(input) - 1] = '\0';

    Session s = {0};
    size_t n = strlen(input);

    printf("[vuln ] 요청 길이=%zu, 필드 크기=%d, 초과=%zu 바이트\n",
           n, FIELD_LEN, n - FIELD_LEN);
    printf("[vuln ] 이 초과분이 인접 필드(authenticated)를 덮어쓴다\n");
#ifdef RUN_VULN_DEMO
    parse_vulnerable(&s, input);          /* 로컬 랩에서만, 절대 서비스에 연결 금지 */
#endif
    parse_fixed(&s, input);
    printf("[fixed] 저장 길이=%zu, authenticated=%d (변조 없음)\n",
           strlen(s->account), s.authenticated);
    return 0;
}

해설: 취약점은 '해커의 마법'이 아니라 한 줄의 길이 검사 누락이다. 패치(MS04-011)가 한 일도 본질적으로 이 검사를 추가한 것이다. 그런데 그 한 줄이 인터넷에 노출된 수백만 대에 동시에 적용되어야 했고, 17일은 충분하지 않았다.

PoC 3 — 2단계 자기 배포 체인 (5554 포트의 원리)

Sasser의 독특한 점은 감염 호스트가 배포 서버가 된다는 것이다. 아래는 그 구조를 127.0.0.1에서 재현한다. 페이로드는 실행 파일이 아니라 무해한 텍스트 파일이며, 실제 웜은 FTP를 썼지만 여기서는 구현 편의상 HTTP를 사용한다.

# 교육용: "다음 호스트가 이전 호스트에게서 자신을 받아간다"는
# 2단계 전달 구조만 127.0.0.1에서 재현한다. 페이로드는 무해한 텍스트.
import hashlib, http.server, os, socketserver, threading, urllib.request

os.makedirs("/tmp/lab", exist_ok=True)
stage2 = "/tmp/lab/13337_up.exe"
with open(stage2, "w") as f:
    f.write("EDUCATIONAL-ONLY: this is not an executable\n")

os.chdir("/tmp/lab")
srv = socketserver.TCPServer(
    ("127.0.0.1", 5554),                 # 실제 Sasser의 FTP 포트와 동일
    http.server.SimpleHTTPRequestHandler)
threading.Thread(target=srv.serve_forever, daemon=True).start()

data = urllib.request.urlopen(
    "http://127.0.0.1:5554/13337_up.exe", timeout=3).read()
print("2단계 수신 바이트:", len(data))
print("sha256(앞 16자):", hashlib.sha256(data).hexdigest()[:16])
print("→ 실제 웜은 이 파일을 즉시 실행했다")
srv.shutdown()

해설: 방어 관점에서 이 구조는 아웃바운드 탐지의 기회다. 내부 호스트가 갑자기 5554를 리스닝하거나, 다른 내부 호스트의 5554로 접속하면 그것은 정상 업무가 아니다. Sasser 시대에는 대부분의 기업이 아웃바운드조차 보지 않았지만, 오늘날 EDR은 이 두 가지를 모두 잡는다.

PoC 4 — 행위 기반 탐지 규칙 (방어)

시그니처(파일 해시)는 변종마다 바뀐다. 살아남는 것은 행위다. Sasser 계열을 잡는 최소 규칙 집합을 합성 이벤트로 시험한다.

# 교육용 탐지: 합성 이벤트에서 Sasser의 4가지 지문을 찾는다.
events = [
    {"host": "lab-01", "dst_port": 445, "syn_per_min": 640},
    {"host": "lab-01", "listen_port": 5554},
    {"host": "lab-02", "dst_port": 9996, "direction": "outbound"},
    {"host": "lab-02", "file": "avserve2.exe", "path": "C:\\Windows"},
    {"host": "lab-03", "run_key": "avserve", "syn_per_min": 3},
]

def scan_flood(e):
    return e.get("dst_port") == 445 and e.get("syn_per_min", 0) > 200

def ftp_listener(e):
    return e.get("listen_port") == 5554

def shell_callback(e):
    return e.get("dst_port") == 9996 and e.get("direction") == "outbound"

def dropped_binary(e):
    f = e.get("file", "").lower()
    return f.startswith("avserve") or (f.endswith("_up.exe") and f[:5].isdigit())

RULES = [
    ("SMB 스캔 폭주 (웜 전파 1단계)", scan_flood),
    ("5554 리스너 (자기 배포 서버)",  ftp_listener),
    ("9996 아웃바운드 (익스플로잇 셸)", shell_callback),
    ("avserve/_up.exe 드롭 (상주)",   dropped_binary),
]

for e in events:
    for name, rule in RULES:
        if rule(e):
            print(f"[ALERT] {e['host']}: {name}")

해설: 실제 운영에서는 여기에 HKLM\Software\Microsoft\Windows\CurrentVersion\Run의 avserve 값, C:\win.log·win2.log 생성, 짧은 시간 내 다수 호스트의 LSASS 크래시(이벤트 ID 1000/7031)를 상관 분석으로 묶는다. 단일 이벤트는 오탐이 많지만, 스캔 폭주 + 5554 + LSASS 크래시가 같은 호스트에서 겹치면 확신도가 급상승한다.

6. 방어 방법 — 2004년의 답, 그리고 오늘의 답

6.1 즉시 조치(당시 기준)

• MS04-011 적용: 근본 해결. 웜 등장 17일 전에 이미 배포되어 있었다.
• 445 인바운드 차단: 인터넷 경계에서 SMB를 절대 노출하지 않는다. 내부도 업무 단위로 분리한다.
• 5554·9996 아웃바운드 차단: 감염되더라도 확산·명령 채널을 끊는다.
• 감염 의심 시: 랜선을 뽑고(네트워크 격리), shutdown -a로 종료 카운트다운을 중지한 뒤, Run 키의 avserve 값 삭제 + avserve*.exe·win*.log 제거 + 재부팅 + 패치. 순서를 지키지 않으면 재부팅 직후 다시 감염된다.
• 백신 정의 업데이트: 변종이 시간 단위로 나왔으므로 자동 업데이트가 필수였다.

6.2 오늘날의 관점

• 패치 SLA를 '일' 단위로: 인터넷 노출 자산은 72시간, 내부는 14일 같은 명시적 기한을 두고 예외를 추적한다. Sasser의 17일은 '패치가 존재하는 기간'이 곧 '익스플로잇 개발 기간'임을 보여준다.
• 노출면 제거: SMB(445)·RDP(3389)·WinRM은 인터넷에 두지 않는다. 원격 근무는 VPN/제로트러스트로 우회한다.
• LSASS 보호: Credential Guard·RunAsPPL·ASR 규칙으로 LSASS 메모리 접근과 비정상 종료를 감시한다. Sasser는 LSASS를 공격 대상으로 썼지만, 오늘날 LSASS는 자격증명 탈취 대상이기도 하다.
• 이그레스 필터링: 웜의 2단계 전달은 거의 항상 아웃바운드 연결을 만든다. 목적지 제한이 확산 속도를 수십 배 낮춘다.
• 가용성 = 보안: Sasser는 데이터를 훔치지 않았다. 그런데도 병원과 항공사가 멈췄다. BCP(업무연속성)와 재해복구 훈련을 보안 예산에 포함해야 하는 이유다.
• 책임 공개와 현상금: 25만 달러 현상금과 지인 제보가 검거로 이어졌다. 오늘날의 취약점 신고 포상·CISA KEV 마감 기한도 같은 맥락의 '사회적 압력' 장치다.

7. 교훈 — Sasser가 남긴 네 가지

• 패치 배포 ≠ 패치 적용. 17일은 짧지 않다. 그러나 수백만 대가 여전히 취약했다. 익스플로잇 개발 속도는 패치 전파 속도보다 빠르다.
• 사용자 교육으로는 막을 수 없는 공격이 있다. 클릭도, 첨부파일도 없었다. 네트워크 설계와 패치가 유일한 방어였다.
• 가장 작은 코드가 가장 큰 중단을 만든다. Sasser는 수십 KB에 불과했다. 파괴적 기능도, 암호화도, 유출도 없었다. 그저 꺼지게 만들었다.
• 웜의 시대는 끝나지 않았다. 2017년 WannaCry는 EternalBlue로 같은 일을 다시 했다. 2020년 BlueKeep, 2021년 ProxyLogon도 같은 문법이다. '자동 전파 + 미패치 경계 + 사용자 무개입'은 여전히 가장 빠른 확산 경로다.

출처 및 함께 읽기

• Microsoft Security Bulletin MS04-011 — LSASS 취약점 원문·영향 범위·패치
• NVD — CVE-2003-0533 — CVSS·참조 링크
• Microsoft Defender — Win32/Sasser — 드롭 파일·레지스트리 흔적
• Wikipedia — Sasser (computer worm) — 사건 연표·피해 기관·재판 결과
• BBC News — Sasser creator avoids jail term (2005-07-08)
• 함께 읽기: Blaster (2003) · SQL Slammer (2003) · Conficker (2008) · WannaCry (2017)

← 목록으로 돌아가기