🖤 Shamoon / DistTrack (2012) — '돈이 아니라 데이터를 지운다'

1. 배경/역사 — 라마단의 마지막 주, 11시 8분

2012년 8월 15일은 사우디아라비아에서 라마단이 끝나고 이드 알피트르 연휴가 시작되는 시점이었다. 대부분의 직원이 사무실을 떠난 상태였고, 보안 운영 인력도 최소 인원만 남아 있었다. 공격자는 이 달력을 정확히 겨냥했다. 파괴는 업무 시간 한가운데, 그것도 오전 11시 8분에 시작되도록 예약돼 있었다 — 사람이 가장 적고, 발견되더라도 대응 인력이 모이기 가장 어려운 시간이다.

당시 Saudi Aramco는 세계 최대 석유회사였고, 기업 네트워크에는 약 3만 대의 Windows 워크스테이션이 물려 있었다. 오전 11시 8분이 지나자 이 PC들의 하드디스크가 동시에 뒤집히기 시작했다. 파일이 열리지 않고, 재부팅하면 운영체제가 뜨지 않았다. 화면에는 불타는 미국 국기 이미지가 남아 있었다. Symantec은 훼손된 파일들이 국기 이미지의 조각으로 덮어써졌다는 사실을 확인했다.

사건은 단순한 바이러스 유행이 아니라 정치적 메시지를 동반한 사보타주였다. 공격 몇 시간 전, 'Cutting Sword of Justice'(정의의 날카로운 칼)를 자칭하는 집단이 Pastebin에 글을 올려 "시리아·바레인·예멘·레바논·이집트에 대한 억압과, 이를 후원하는 알사우드 체제"를 문제 삼으며 "아람코는 알사우드 체제의 가장 큰 재정적 원천"이라고 밝혔다. 8월 29일에는 라우터 텔넷 비밀번호와 CEO 계정 정보라 주장하는 내용을 또 올려 여전히 네트워크에 접근할 수 있음을 과시했다.

기술적 계보도 중요하다. 2012년 4월, 이란의 석유부·원자력 시설을 겨냥한 'Wiper' 사건이 있었다. Kaspersky는 Shamoon과 Wiper의 유사성을 지적했고, 동시에 Flame과의 코드 유사점도 보고했다. 초기에는 "Wiper를 흉내 낸 스크립트 키디"라는評価도 있었지만, 곧 국가 수준의 사이버전으로 분류가 바뀌었다. 2012년의 Shamoon은 코드가 유출되지 않은 채 흔적만으로 분석됐고, 2016년에 등장한 Shamoon 2의 분석을 통해 구조가 훨씬 정밀하게 드러났다.

2. 감염·전파 경로 — 취약점 0개, 자격증명 1개

Shamoon의 확산 방식은 동시대 웜과 정반대다. Code Red나 Slammer가 인터넷을 향해 무차별 스캔했다면, Shamoon은 이미 뚫린 내부 네트워크 안에서만 움직였다. 외부로 나가는 트래픽이 거의 없고, 익스플로잇도 없으며, 사용자는 아무것도 클릭하지 않는다. 그래서 경계 방화벽·IDS·안티바이러스 시그니처 어느 것도 초기 침투를 막지 못했다.

1. 초기 침투 — 스피어피싱 1건: 아람코 IT 직원이 열람한 피싱 메일이 출발점으로 지목된다. 공격자는 이후 수 주에 걸쳐 내부 정찰을 했다. 파괴 도구를 심고도 즉시 터뜨리지 않은 것이 이 사건의 핵심이다.
2. 자격증명 수집: 내부 시스템에서 로컬 관리자·도메인 계정 정보를 확보했다. 2012년 기업 환경은 로컬 관리자 암호를 부서 단위로 공유하는 경우가 많았고, 이것이 횡적 이동의 열쇠가 됐다.
3. 공유 폴더로 자기 복사: 드로퍼는 \\host\share 형태의 네트워크 공유에 자신을 복사한다. 사용자가 그 실행 파일을 직접 실행하지 않아도, 다른 감염 PC의 서비스/스케줄러가 원격에서 실행할 수 있었다.
4. 서비스로 상주: 감염된 PC에서 NtsSrv 서비스를 생성해 부팅 시 자동 실행되게 한다. 서비스 이름은 정상 시스템 서비스(Nt*)처럼 보이도록 고른 위장이다.
5. 논리폭탄 대기: 모든 구성 요소가 배포된 뒤, 하드코딩된 시각까지 조용히 대기한다. 이 대기 기간이 사고 대응의 마지막 기회였지만, 당시에는 아무도 이상 징후를 보지 못했다.

3. 동작 원리 상세 — 세 개의 모듈, 하나의 목적

Shamoon은 드로퍼(Dropper), 와이퍼(Wiper), 리포터(Reporter) 세 모듈로 구성된다. 각 모듈의 역할이 분리돼 있어, 방어 측이 하나를 잡아도 나머지가 임무를 완수하도록 설계됐다.

3.1 왜 '관리자 권한'만으로 디스크 전체를 지울 수 있었나 — RawDisk

일반적인 사용자 모드 프로그램은 \\.\PhysicalDrive0을 열 수 없다. Windows는 원시 디스크 접근에 커널 드라이버를 요구한다. Shamoon은 이 문제를 직접 드라이버를 작성하지 않고 해결했다. EldoS사가 합법적으로 배포하는 RawDisk 드라이버를 함께 떨어뜨리고, 그 드라이버를 서비스로 로드한 뒤 DeviceIoControl로 섹터 단위 읽기·쓰기를 수행한 것이다.

이 설계는 "정상 소프트웨어의 서명된 구성 요소를 무기화"하는 전형이다. 드라이버 자체는 악성코드가 아니므로 안티바이러스가 잡기 어렵고, 관리자 권한만 있으면 파일 시스템을 우회해 디스크의 임의 섹터를 덮어쓸 수 있다. 오늘날 취약 드라이버(BYOVD) 문제의 원형이 여기에 있다.

// 구조 재구성(교육용 의사 코드) — 실제 샘플 코드가 아님
// 1) 서비스 등록: "NtsSrv" 로 상주
CreateService(hSCM, L"NtsSrv", L"NtsSrv", SERVICE_ALL_ACCESS,
              SERVICE_WIN32_OWN_PROCESS, SERVICE_AUTO_START,
              SERVICE_ERROR_NORMAL, szPath, NULL, NULL, NULL, NULL, NULL);

// 2) RawDisk 드라이버 로드 (합법 드라이버를 악용)
StartService(hSvc, 0, NULL);

// 3) 원시 디스크 핸들 획득 — 파일 시스템을 완전히 우회
hDisk = CreateFileW(L"\\\\.\\PhysicalDrive0",
                    GENERIC_READ | GENERIC_WRITE,
                    FILE_SHARE_READ | FILE_SHARE_WRITE,
                    NULL, OPEN_EXISTING, 0, NULL);

// 4) 파일 열거 → 리포터로 목록 전송 → 섹터 단위 덮어쓰기 → MBR 파괴
WipeAllFilesAndMbr(hDisk);

주목할 점은 암호화가 없다는 것이다. 랜섬웨어는 키를 쥐고 협상을 하지만, Shamoon은 복구 자체를 불가능하게 만드는 것이 목표다. 그래서 파일 내용을 의미 없는 이미지 데이터로 덮어써 포렌식 복구(카빙)까지 차단하고, 마지막에 MBR을 망가뜨려 운영체제가 부팅조차 되지 않게 한다. 피해자는 "파일을 복구"하는 것이 아니라 PC를 새로 설치하고 데이터를 어딘가에서 다시 가져와야 한다.

3.2 파일 목록화 → 리포팅 → 덮어쓰기: 왜 '목록'을 먼저 보낼까

와이퍼는 지우기 전에 무엇을 지웠는지 목록을 만든다. 이 목록은 리포터를 통해 C2로 전송된다. 공격자 입장에서 이는 피해 규모의 증빙이자 협박·선전 자료다. 실제로 사건 직후 공격자들은 "무엇을 지웠는지"를 과시하는 글을 올렸다. 기술적으로는 파일 열거 → 해시/경로 수집 → 전송 → 덮어쓰기의 순서가 명확히 나뉘어 있어, 방어 측이 전송 단계에서 탐지할 수 있는 창(window)이 존재한다.

2016년 Shamoon 2 분석에서는 특정 시각에 활성화되는 하드코딩 트리거(2016-11-17 20:58:42로 보고)와, MBR을 덮어쓴 뒤 재부팅 시 와이퍼 이미지를 부트 화면에 표시하는 방식이 확인됐다. 즉 피해자는 "부팅이 안 되는 PC"를 보는 것이 아니라, 공격자의 메시지가 뜬 PC를 보게 된다. 2018년 Shamoon 3는 이탈리아 석유서비스 기업 Saipem을 겨냥해 약 300대 규모의 서버·PC가 훼손된 것으로 보도됐다.

3.3 사건 타임라인

4. 피해 규모/영향 — 숫자보다 무서운 것은 '복구 시간'

• 3만 대: 아람코가 공식 확인한 피해 워크스테이션 수. 당시 보도는 "전체 업무용 PC의 상당 부분"으로 표현했고, 일부 분석은 75% 수준으로 추정했다.
• 2주 이상의 업무 중단: 아람코는 8월 25일 "주요 내부 네트워크 복구"를 발표했지만, 현장 사진과 증언은 9월 초까지 석유 트럭 적재가 지연됐음을 보여준다. 복구는 PC 재설치 + 데이터 재배포의 물리적 작업이었다.
• 세계 하드디스크 사재기: 아람코는 자사 화물기와 자금을 동원해 세계 시장의 하드디스크를 대량 구매했다. 당시 보안 자문역이었던 크리스 쿠베카(Chris Kubecka)는 이 과정이 HDD 가격에 영향을 줬다고 증언했다. 사이버 공격이 물리적 공급망 가격을 흔든 사례다.
• 생산은 멈추지 않았다: 원유 생산·정제 제어망(ICS)은 업무망과 물리적으로 분리돼 있었다. Shamoon은 의도적으로 ICS를 건드리지 않았다. 이 경계 덕분에 세계 원유 공급은 유지됐지만, 반대로 말하면 업무망은 사실상 무방비였다.
• 2차 피해 — 신뢰의 붕괴: 공격자는 라우터·계정 정보를 공개하며 "우리는 아직 안에 있다"고 주장했다. 이는 기술적 피해보다 큰 평판·협상력 피해를 만들었다.
• 국가급 평가: 당시 미국 국방장관 레온 파네타는 이 사건을 두고 "사이버 진주만" 가능성을 경고했다. 이후 미국은 파괴적 사이버 공격에 대한 억지·보복 체계를 논의하기 시작했다.
• 비용 추정: 아람코는 공식 복구 비용을 공개하지 않았다. 업계 추정은 수억~수십억 달러 규모이나, 공식 수치는 아니다. 이 글에서는 확인된 사실(3만 대·2주·HDD 사재기·생산 유지)만 인용한다.

5. PoC — 동작 원리를 '가상 랩'에서 재현하기

아래 4개 PoC는 모두 로컬 실습 디렉터리에서만 동작한다. ① 상주·아키텍처 분기, ② 자격증명 재사용 횡적 이동, ③ 이미지 덮어쓰기 + 가짜 MBR, ④ 탐지 룰. 실제 악성 행위·실제 디스크 접근·실제 네트워크 전송은 일절 포함하지 않는다.

PoC 1 — 드로퍼: 서비스 상주 + 32/64비트 분기 (시뮬레이션)

실제 드로퍼는 SCM(서비스 제어 관리자)에 NtsSrv를 등록한다. 랩에서는 가상 서비스 테이블(JSON)에 등록해, 어떤 흔적이 남는지 관찰한다. 실제 sc create나 레지스트리 쓰기는 하지 않는다.

#!/usr/bin/env python3
"""교육용: 드로퍼의 '상주 + 아키텍처 분기' 구조만 재현한다.
   실제 서비스 등록/레지스트리 쓰기/실행은 하지 않는다."""
import json, platform, struct
from pathlib import Path

LAB = Path("/tmp/shamoon_lab"); (LAB / "state").mkdir(parents=True, exist_ok=True)
SVC_DB = LAB / "state" / "services.json"

def drop_payload(arch_bits: int) -> Path:
    """32/64비트 와이퍼 스텁을 '가상으로' 드롭한다(내용은 안전한 마커)."""
    p = LAB / f"wiper_{arch_bits}.stub"
    p.write_text(f"[EDU STUB] arch={arch_bits} target=lab-only\n", encoding="utf-8")
    return p

def register_service(name: str, image: Path) -> dict:
    db = json.loads(SVC_DB.read_text()) if SVC_DB.exists() else {}
    db[name] = {"image": str(image), "start": "AUTO_START",
                "note": "가상 테이블 — 실제 SCM 등록 아님"}
    SVC_DB.write_text(json.dumps(db, ensure_ascii=False, indent=2), encoding="utf-8")
    return db[name]

# 64비트 프로세스에서 32비트 드로퍼가 돌면 64비트 페이로드를 선택한다
bits = struct.calcsize("P") * 8
payload = drop_payload(64 if bits == 64 else 32)
svc = register_service("NtsSrv", payload)

print("프로세스 아키텍처:", platform.machine(), f"({bits}bit)")
print("드롭:", payload.name, "| 서비스:", svc)
print("\n[탐지 포인트] Windows 이벤트 7045에 'NtsSrv' 서비스 설치,")
print("              시스템 디렉터리에 낯선 실행 파일 생성, 부팅 시 자동 시작.")

PoC 2 — 자격증명 재사용 횡적 이동 (가상 호스트)

Shamoon의 확산은 공유 폴더 + 자격증명이다. 랩에서는 hosts/<이름>/admin$ 디렉터리를 가상 공유로 만들고, 하드코딩된 자격증명 목록으로 접근을 시도한다. 실제 SMB 연결(net use, smbclient)은 하지 않는다.

#!/usr/bin/env python3
"""교육용: '공유 + 자격증명' 확산 모델을 파일 시스템으로 흉내낸다.
   실제 네트워크/SMB 호출 없음 — 로컬 디렉터리만 사용."""
from pathlib import Path

LAB = Path("/tmp/shamoon_lab")
STUB = b"[EDU STUB] dropper body (not executable)\n"

# 공격자가 내부에서 수집했다고 가정한 자격증명 목록(가상)
CREDS = [("administrator", "P@ssw0rd!"), ("itadmin", "itadmin123"),
         ("backup", "backup")]

HOSTS = ["fileserver", "hr-pc01", "finance-pc07", "eng-ws12"]

def try_share(host: str, user: str, pw: str) -> bool:
    share = LAB / "hosts" / host / "admin$"          # 가상 UNC \\host\admin$
    share.mkdir(parents=True, exist_ok=True)
    # 실제 인증 검증 대신 '약한 암호 규칙'만 시뮬레이션한다
    weak = pw.lower() in {"password", "p@ssw0rd!", "itadmin123", "backup", "123456"}
    if weak:
        (share / "NtsSrv.exe").write_bytes(STUB)      # 자기 복사
        return True
    return False

ok = 0
for host in HOSTS:
    for user, pw in CREDS:
        if try_share(host, user, pw):
            print(f"[COPY] \\\\{host}\\admin$  as {user}:{pw}")
            ok += 1
            break
print(f"\n복사 성공 {ok}/{len(HOSTS)} 호스트")
print("[교훈] 로컬 관리자 암호가 공유되면, 취약점 0개로도 도메인 전체가 전파된다.")

해설: 실제 사고에서도 익스플로잇은 없었다. 이미 알고 있던 계정과 모든 PC에 열려 있던 관리 공유(admin$)만으로 충분했다. 오늘날 LAPS(로컬 관리자 암호 자동 관리), Credential Guard, 계층적 관리 모델(tiered admin)이 표준이 된 이유가 여기에 있다.

PoC 3 — 와이퍼: 이미지 덮어쓰기 + 가짜 MBR (절대 안전 가드 포함)

가장 위험한 단계지만, 랩에서는 가상 파일에만 쓴다. 코드는 경로가 랩 밖이거나 실제 디스크 장치 패턴이면 즉시 예외를 발생시킨다. MBR도 실제 섹터가 아니라 fake_disk.img의 첫 512바이트에만 기록한다.

#!/usr/bin/env python3
"""교육용 와이퍼 시뮬레이터 — /tmp/shamoon_lab 밖으로는 절대 쓰지 않는다."""
import json, os, re
from pathlib import Path

LAB = Path("/tmp/shamoon_lab").resolve()
VICTIM = LAB / "victim"; VICTIM.mkdir(parents=True, exist_ok=True)
(LAB / "state").mkdir(parents=True, exist_ok=True)
REPORT = LAB / "state" / "stolen_file_list.json"
DISK = LAB / "fake_disk.img"

DEVICE_PREFIXES = ("\\\\.\\", "/dev/", "/proc/", "/sys/")

def guard(p: Path) -> Path:
    if str(p).startswith(DEVICE_PREFIXES):
        raise PermissionError(f"EDU-GUARD: 실제 장치 경로 거부 -> {p}")
    rp = p.resolve()
    if rp != LAB and LAB not in rp.parents:
        raise PermissionError(f"EDU-GUARD: 랩 밖 접근 거부 -> {rp}")
    return rp

# 0) 가상 피해 파일
for n in ["q3_report.docx", "payroll.xlsx", "design.dwg", "notes.txt"]:
    (VICTIM / n).write_bytes(b"

rule Wiper_Shamoon_Family_Markers
{
    meta:
        description = "Shamoon/DistTrack 계열 와이퍼 지표 (교육용)"
        author      = "security-lab"
        date        = "2026-10-24"
        reference   = "https://en.wikipedia.org/wiki/Shamoon"
        scope       = "file"
    strings:
        $svc   = "NtsSrv"                ascii wide nocase
        $raw   = "RawDisk"               ascii wide nocase
        $phys  = "\\\\.\\PhysicalDrive"   ascii wide nocase
        $shn   = "SHN/AMOO"              ascii wide nocase
        $dist  = "DistTrack"             ascii wide nocase
        $flag  = { 89 50 4E 47 }         // 덮어쓰기 이미지 헤더 변형
    condition:
        uint16(0) == 0x5A4D and 2 of them
}