NAS 노리는 크립토 랜섬웨어

NAS 취약점 이용

NAS(Network Attached Storage)를 감염시켜 파일을 못쓰게 만드는 악성코드가 발견됐다. Cr1ptT0r이라는 신종 랜섬웨어로, 아직 알려진 정보가 별로 없다. 다만 NAS의 취약점을 이용해 감염시키는 것은 확실시된다. 현재 D-Link의 DNS-320 사용자들에게서 피해 사례가 발생하고 있다.

이 기종은 이미 단종된 것으로, 마지막 소프트웨어 업데이트는 2016년이었다. 이 구식 펌웨어에는 원격 코드 실행을 비롯해 많은 취약점이 알려져 있다. 또한 피해자들은 공통적으로, NAS를 인터넷에 직접 노출시키고 있었다. 해킹 당하지 않는 것이 이상할 정도다.

인터넷에 직접 노출은 위험

NAS를 안전하게 사용하려면 업데이트 지원이 잘 되는 제품을 사용해야 한다. 그리고 가급적 인터넷에 직접 노출은 피해야 한다.

NAS는 보통 라우터(공유기)에 연결되므로, 기본적으로 방화벽에 의해 보호를 받고 있다. 그러나 네트워크 외부에서 접속해 파일을 사용할 필요가 있을 수 있다. NAS를 사설 VPN 서버로 활용하기도 한다. 이렇게 하려면 포트 포워드, UPnP, DMZ 등의 방법으로 방화벽의 일부를 열어줘야 한다. 즉 NAS 포트의 일부 혹은 전부가 그대로 인터넷에 노출되는 것이다.

사설 VPN 서버 참고 사항

사설 VPN 서버를 구축하면 내부 네트워크에서 공유된 파일과 프린터를 외부에서 사용할 수 있다.이렇게 하는 간단한 방법은 공유기나 NAS의 VPN 서버 기능을 이용하는 것이다. 성능을 우선시한다면 NAS가 낫다는 의견이 많다. 그러나 보안 면에서는 공유기를 이용하는 것이 좋을 것으로 생각된다.

참고로 사설 VPN 서버를 이용해서는 IP 감추기를 할 수 없다. 예를 들어 상용 VPN 서비스를 이용하면, 우리 나라에선 볼 수 없도록 제한된 유튜브 동영상을 볼 수 있다. VPN 회사의 서버에서 임의의 IP를 할당해 주기 때문에 가능한 것이다. 그러나 공유기나 NAS를 이용한 사설 VPN 서버는, 자신의 IP를 그대로 이용하든가(고정 IP의 경우), DDNS를 거쳐 간접적으로 이용(유동 IP의 경우)하는 것이므로, 이런 게 불가능하다.


참고 자료

• Cr1ptT0r Ransomware Infects D-Link NAS Devices, Targets Embedded Systems