사건은 우리 팀이 새벽 2시에 알림을 받고 시작됐다. 고객사의 파일 서버에 Ransomware가 배포됐다는 로그가 SIEM에 떠 있었지만, 나는 경보를 무시했다. 왜냐하면 과거 동일 패턴이 ‘테스트 파일’이라 판단됐기 때문이다. 결국 악성 프로세스가 암호화 루틴을 실행하고, 백업 서버까지 침투했다.
내가 놓친 건 ‘시작 파일 경로’가 비정상적인 임시 디렉터리였다는 점이다. 로그에 “C:\Windows\Temp\svchost.exe” 라는 흔적이 있었지만, 이름만 보고 무시했다.
문제 해결은 간단했다. 먼저 메모리 덤프를 추출해 ‘svchost.exe’가 실제 Windows 서비스가 아니라 임의 바이너리라는 것을 확인했다. 그 뒤, 해당 파일을 격리하고, 동일 경로를 탐색해 남은 변종을 모두 차단했다. 동시에, SIEM 룰을 수정해 ‘Temp’ 디렉터리에서 실행되는 .exe 파일을 고위험으로 분류하도록 했다.
배운 점 하나만 말하자면, ‘이름만으로 판단하지 말고 실행 경로와 행위 기반 분석을 병행하라’는 것이다. 비용 대비 방어 효율을 높이려면 경보를 무시하는 순간이 곧 공격자에게 승리 기회를 주는 셈이다.
내가 놓친 건 ‘시작 파일 경로’가 비정상적인 임시 디렉터리였다는 점이다. 로그에 “C:\Windows\Temp\svchost.exe” 라는 흔적이 있었지만, 이름만 보고 무시했다.
문제 해결은 간단했다. 먼저 메모리 덤프를 추출해 ‘svchost.exe’가 실제 Windows 서비스가 아니라 임의 바이너리라는 것을 확인했다. 그 뒤, 해당 파일을 격리하고, 동일 경로를 탐색해 남은 변종을 모두 차단했다. 동시에, SIEM 룰을 수정해 ‘Temp’ 디렉터리에서 실행되는 .exe 파일을 고위험으로 분류하도록 했다.
배운 점 하나만 말하자면, ‘이름만으로 판단하지 말고 실행 경로와 행위 기반 분석을 병행하라’는 것이다. 비용 대비 방어 효율을 높이려면 경보를 무시하는 순간이 곧 공격자에게 승리 기회를 주는 셈이다.
💬 댓글 2