MSP 관리도구 N-able 취약점 노린 신종 랜섬웨어 스톰인크립터, 침투 3일 만에 암호화 완료

[MSP 관리도구 N-able 취약점 노린 신종 랜섬웨어 스톰인크립터, 침투 3일 만에 암호화 완료]

2026년 8월 2일, 해킹조직 스톰-1175(Storm-1175)가 신종 랜섬웨어 '스톰인크립터(StormEncryptor)'를 유포하기 시작했다. 마이크로소프트 위협 인텔리전스팀이 8월 8일 공개한 보고서에 따르면, 이 공격은 원격관리 소프트웨어 기업 N-able 제품의 인증 우회 취약점(CVE-2026-18577)을 악용한다. 해당 취약점은 8월 2일 공개되고 바로 다음날인 8월 3일 미국 사이버보안·인프라보안청(CISA) 목록에 등재됐는데, 스톰-1175는 공개 직후 곧바로 무기화해 실제 공격에 나섰다. N-able은 다수의 MSP(관리형 서비스제공업체)가 고객사 IT 인프라를 원격으로 관리할 때 쓰는 도구라, 파장이 한 회사에서 끝나지 않을 가능성이 있다.

무슨 일이 있었나

스톰-1175는 원래 랜섬웨어 서비스형(RaaS) 조직 '메두사(Medusa)'와 연계돼 활동해온 그룹으로 알려져 있다. 지난 4월 마이크로소프트 보고서에서도 이 조직은 이미 요주의 대상이었다 — 초기 침투부터 랜섬웨어 배포까지 24시간 안에 끝내는 초고속 공격 패턴으로, 미국·영국·호주의 의료·교육·금융·전문서비스 업종을 주로 노려왔다.

이번엔 기존 메두사 대신 자체 개발한 C++ 기반 신종 랜섬웨어 스톰인크립터를 들고 나왔다. 감염된 파일에는 ".encrypted" 확장자가 붙고, 폴더마다 "!!!README_FIRST!!!.txt"라는 몸값 요구서가 생성되며, 3일 안에 연락하지 않으면 탈취한 데이터를 공개하겠다고 협박한다. 공격 흐름은 이렇다. 먼저 N-able 인증 우회 취약점으로 관리자급 권한을 확보한 뒤, AnyDesk·SimpleHelp 같은 정상 원격관리 도구를 설치해 정상 트래픽처럼 위장한다. 이후 Advanced IP Scanner로 내부망을 훑어 침투 가능한 시스템을 찾아내고, Mimikatz로 LSASS 메모리를 덤프해 관리자 계정 자격증명을 탈취한다. 여기까지 진행되면 데이터를 외부로 반출한 뒤 랜섬웨어를 배포하는데, 마이크로소프트는 이 전체 과정이 "며칠 이내"에 끝난다고 평가했다.

왜 특히 위험한가

가장 우려되는 대목은 취약점 공개부터 실전 악용까지 걸린 시간이다. 8월 2일 공개, 8월 3일 CISA 등재, 그리고 사실상 같은 시기에 이미 실제 공격이 시작됐다. 조직들이 패치를 검토하고 적용할 시간적 여유가 사실상 없었던 셈이다. IDC의 애널리스트 삭시 그로버는 이런 흐름을 두고 "이제는 침입자가 시스템 안에 얼마나 오래 머무느냐(체류 시간)의 문제가 아니라, 얼마나 빠르고 규율 있게 움직이느냐의 문제"라고 짚었다.

또 하나는 공격 대상이 'N-able을 쓰는 특정 기업'이 아니라 'N-able로 원격관리를 받는 모든 조직'이라는 점이다. N-able 같은 RMM(원격 모니터링·관리) 도구는 MSP가 여러 고객사를 동시에 관리할 때 쓰는 핵심 인프라다. 이 도구 하나가 뚫리면, 그 MSP가 관리하는 수십 개 고객사가 한꺼번에 노출될 수 있다. 직접 공격당한 적이 없어도, 위탁관리 업체를 통해 피해가 옮겨올 수 있다는 뜻이다.

비슷한 조직이 대비하려면

가장 먼저 필요한 인식 전환은, 원격관리·모니터링 소프트웨어 자체를 하나의 공격 표면으로 취급하는 것이다. 사내 자산 목록에 이런 도구를 반드시 포함시키고, 관련 패치는 다른 소프트웨어보다 우선순위를 높여 처리해야 한다. 인터넷에 그대로 노출된 관리 콘솔이 있다면 VPN이나 IP 화이트리스트로 접근을 최소화하는 것도 기본이다.

전산 인력이 소수인 중견기업이라면 특히 '우리 회사가 안전한가'뿐 아니라 '우리 회사를 관리하는 협력업체가 안전한가'를 물어야 한다. 계약한 MSP나 보안업체가 어떤 원격관리 툴을 쓰고, 그 툴의 패치 정책이 어떻게 되는지 점검 항목에 넣는 것이 현실적인 대응이다. 아울러 이번 사고처럼 자격증명 탈취 도구(Mimikatz류)를 통한 권한 확보가 핵심 경유지가 되므로, 관리자 계정에는 다중인증(MFA)을 예외 없이 적용하는 것이 방어선을 한 단계 늦추는 효과가 있다.

침투부터 암호화까지 며칠이면 끝난다는 점도 중요하다. 사람이 로그를 일일이 확인해 대응하는 속도로는 따라잡기 어렵다는 뜻이므로, 이상 행위를 자동으로 탐지·차단하는 EDR(엔드포인트 탐지·대응) 체계를 갖추는 것이 이제는 선택이 아니라 필수에 가까워지고 있다.

• 평소 쓰지 않던 원격 접속 도구(AnyDesk, SimpleHelp 등)가 낯선 계정으로 새로 설치돼 있다
• 짧은 시간 안에 여러 서버에서 동시다발적인 로그인 시도·성공 기록이 남아 있다
• 네트워크 스캐너(Advanced IP Scanner 등) 실행 흔적이나 설명되지 않는 내부 포트 스캔 트래픽이 보인다
• LSASS 프로세스에 대한 비정상 접근이나 메모리 덤프 관련 보안 경고가 발생했다
• 특정 폴더마다 "README" 류의 낯선 텍스트 파일이 갑자기 생겨 있다
• 회사 IT를 위탁관리하는 업체나 원격관리 도구 공급사로부터 받은 긴급 보안 패치 안내를 확인하지 않고 넘어간 적이 있다

Q. 우리 회사는 N-able을 안 쓰는데 상관없나?

이번 사고는 N-able이라는 특정 제품이 뚫린 사례지만, 본질은 "원격관리 도구가 곧 공격 표면"이라는 패턴이다. 다른 RMM·원격지원 소프트웨어도 과거 유사한 방식으로 악용된 전례가 있는 만큼, 자사 또는 위탁업체가 쓰는 원격관리 도구 전반의 패치 상태를 함께 점검해볼 필요가 있다.

Q. 전산 인력이 1~2명뿐인 중견기업도 해당되는가?

오히려 더 해당된다고 봐야 한다. 대응 인력이 적을수록 며칠 안에 끝나는 이런 초고속 공격에 손쓸 시간이 부족하고, 외부 MSP 의존도가 높은 조직일수록 협력업체를 경유한 침해에 노출될 가능성도 커진다.

Q. 랜섬노트를 받으면 바로 돈을 지불해야 하나?

전문가들은 즉각적인 지불보다 먼저 감염 시스템을 네트워크에서 격리하고, 외부 침해대응 전문업체와 수사기관에 신고할 것을 권고한다. 돈을 지불해도 데이터 복구나 재유출 방지가 보장되지는 않는다.

취약점이 공개된 지 하루 만에 실전 공격이 시작되고, 침투 후 며칠 안에 전산망 전체가 암호화되는 속도전이 벌어지고 있다. 이번 사고는 특정 기업의 실수라기보다, 공격자가 방어자보다 항상 한발 빠르게 움직이는 구조 자체를 보여주는 사례에 가깝다. 우리 회사가 쓰는 원격관리 도구, 그리고 그 도구를 관리하는 협력업체까지 한번 점검해볼 시점이다.