봇넷 추적기관인 멀웨어테크(MalwareTech)는 악성코드 ‘미라이(Mirai)’에 의해 현재 12만대 디바이스가 감염됐고, 수준3인 감염의 경우는 150만대에 이른다고 추정했다.

이에 25일 IoT 전문 소프트웨어 기업 윈드리버는 자사 블로그를 통해 미라이 바이러스의 감염 경로 및 제거 방안과 대처법을 소개했다.

일단 디바이스가 미라이 바이러스에 감염되면, 무작위로 인터넷에서 기본 인증 정보를 사용하는 열린 텔넷 포트가 있는 디바이스를 검색한다. 이러한 디바이스를 찾으면 이를 좀비로 감염시키고, 감염된 디바이스는 다시 더 많은 대상을 찾기 위해 인터넷 검색을 시작한다.

일부 디바이스는 치료되거나 보호되지만, 대다수 디바이스는 감염된 상태 그대로 남게 된다. 이는 영구적으로 감염된 디바이스가 된다.

디바이스를 치료했다고 해도, 재감염시킬 수 있는 다른 감염된 디바이스에 대한 면역 상태로는 볼 수 없다. 감염된 많은 디바이스가 감염 제거를 위해 업데이트되지 않고 방치되기 때문에 심각한 상황을 초래할 수 있다.

윈드리버에 따르면 모든 디바이스를 치료하는 방법은 현실적으로 불가능하다. 대부분의 디바이스 소유자는 디바이스가 감염됐는지도 모르고, 치료할 기술이나 능력이 없거나 자신에게 직접 해를 입히는 것도 아니기 때문에 해결할 의지도 없는 경우가 많다.

미라이 바이러스의 약점은 새롭게 감염된 디바이스가 명령 및 제어 서버를 통해 등록해 지침을 다운로드해야 한다는 점이다. 즉, 감염된 디바이스가 아니라 감염된 서버를 필요로 한다. 이에 명령 및 제어 서버를 제거하면 바이러스의 확산을 제한할 수 있다. 또는 호스팅 회사를 변경하는 방식 등으로 대응해 위험을 완화할 수 있다.

윈드리버는 미라이가 아니더라도 자체적으로 전파되는 몇몇 멀웨어가 개발돼 IoT 디바이스를 감염시킬 수 있다고 전망했다. 미라이 소스코드가 공개돼 후속 바이러스 개발이 가속화됐기 때문이다. 명령 및 제어 서버에 대한 의존성이 없어질 것도 예상할 수 있으며, 이러한 진화가 일어나면 바이러스 제거는 더욱 어려워 질 것이라고 예측했다.

이번 바이러스는 디도스 공격에 집중했지만 다음에 등장할 멀웨어는 IoT 디바이스를 감염시켜 좀비 IoT 디바이스로 만든 후, 같은 네트워크에 있는 다른 시스템을 공격할 수도 있다.

국내 산업 시장 및 IoT 사업 부문을 총괄하는 이주연 윈드리버 차장은 “IoT 좀비가 만연한 세상은 충분히 예측 가능한 미래”라며 “이를 피하고 격리하는 것도 가능하겠지만, 네트워크가 변하고 새로운 디바이스가 배포되면 노출될 새로운 경로도 다시 열리게 된다. 감염으로부터 디바이스의 면역력을 키우는 것이 매우 중요하다”고 말했다.

윈드리버는 면역을 위한 첫 단계로 알려진 감염의 방식을 없애는 것을 제안했다. 텔넷과 같이 불필요한 서비스를 제거하거나 차단하고 기본 인증 정보를 강력한 암호로 대체하고, 외부 엔드포인트로의 예상하지 못한 연결을 차단해야 한다. 또, 진화된 바이러스가 악용할 수 있는 취약점을 보호해야 한다.

윈드리버 관계자는 “윈드리버는 디바이스 면역력 강화를 위해 자사의 IoT 플랫폼을 통해 다중 계층·사전 통합 방어 기능을 제공한다”며 “고객 요구에 맞춰 구성 가능한 운영 체제 시스템에 통합돼 있어 디바이스에서 불필요한 서비스를 제외시킬 수 있고, 이를 통해 감염으로 인해 디바이스에 문제가 발생할 수 있는 가능성을 원천 차단한다”고 설명했다.

이어 “윈드리버는 보안 인증 정보를 만들고 배포하며 하드웨어 보안 기능을 최적화하고 보안 위협을 평가하고 보안을 테스트하기 위한 도구와 프로세스를 비롯해 디바이스에 필요한 제품의 평가와 최적화를 위한 전문 서비스 조직을 운영하고 있다”고 덧붙였다.

<최민지 기자>cmj@ddaily.co.kr