워록 랜섬웨어의 SharePoint 침투와 BYOVD 우회 체인

인터넷 노출 SharePoint에서 시작되는 워록 침해

인터넷에 직접 노출된 온프레미스 SharePoint 서버는 워록(Warlock) 랜섬웨어 캠페인의 초기 진입점이 됐다. 이 캠페인은 400여 개 조직에 영향을 주었으며, 2025년 하반기부터 2026년 현재까지 패치되지 않은 레거시 인프라가 어떻게 도메인 단위 침해로 번질 수 있는지를 보여 준다.

Trend Micro는 워록을 “Water Manual”로 추적한다. 이 그룹은 2025년 중반 ToolShell 익스플로잇 체인으로 온프레미스 SharePoint를 공격하며 주목받았고, 초기에는 중국과 연계된 위협 행위자 Storm-2603가 랜섬웨어 배포에 관여한 것으로 분석됐다. 2026년 초에는 BYOVD, 다중 C2 채널, TightVNC 기반 원격 제어까지 결합한 형태로 발전했다.

기술·제조·정부 분야가 주요 피해 산업으로 기록됐고, 미국·독일·러시아가 가장 많이 표적이 된 국가였다. 공격자는 초기 침투 후 평균 15일 동안 정찰, 자격 증명 수집, 횡방향 이동을 수행한 뒤 랜섬웨어를 실행한다.

침투부터 암호화까지 이어지는 경로

⤢✕

ToolShell이 제공하는 초기 접근 경로

ToolShell은 온프레미스 Microsoft SharePoint Server에 영향을 주는 네 가지 취약점의 집합명이다.

CVE	유형	CVSS	설명
CVE-2025-49706	인증 우회	9.8	서명 없는 POST 요청으로 인증 통과
CVE-2025-49704	스푸핑	8.8	네트워크 스푸핑을 통한 인증 획득
CVE-2025-53770	RCE	9.9	역직렬화를 통한 원격 코드 실행
CVE-2025-53771	RCE	9.9	추가적인 RCE 경로

이 취약점을 연결하면 자격 증명 없이도 완전한 원격 코드 실행이 가능하다. SharePoint 2010과 2013은 지원 종료(End of Service) 상태여서 패치가 제공되지 않으며, 운영이 계속되는 레거시 환경은 그대로 공격 표면으로 남는다.

공격자는 먼저 /_layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx 엔드포인트로 특수 제작한 POST 요청을 보내 서버가 요청을 신뢰하도록 조작한다.

인증 우회에 성공하면 web.config의 암호화 서명 키(MachineKey)를 추출하는 악성 ASPX 파일을 배포한다. 이 키로 뷰스테이트(ViewState)를 변조해 PowerShell 코드 실행을 확보한다. 이어 .aspx, .exe, .dll 형태의 웹 셸 페이로드를 올려 지속적인 원격 접근 거점을 만들고, 이를 통해 정찰과 자격 증명 수집, 후속 페이로드 배포를 진행한다.

취약한 서명 드라이버를 이용한 EDR 무력화

BYOVD(Bring Your Own Vulnerable Driver, 취약한 드라이버 지참)는 알려진 취약점이 있는 합법적 서명 커널 드라이버를 피해 시스템에 적재해 커널 수준 코드 실행 권한을 얻는 기법이다. Windows가 서명된 드라이버를 신뢰하기 때문에, 보안 제품은 드라이버 로딩 자체를 차단하기 어렵다.

⤢✕

워록은 이전 캠페인에서 사용하던 googleApiUtil64.sys를 NsecSoft의 NSecKrnl.sys 드라이버(CVE-2025-68947)로 교체했다. 이 드라이버에는 로컬 인증된 공격자가 IOCTL(Input/Output Control) 요청을 통해 다른 사용자 소유 프로세스를 종료할 수 있는 취약점이 있다. SYSTEM 계정과 Protected Process Light(PPL) 상태의 프로세스도 예외가 아니다.

공격자는 이 드라이버를 GPO(그룹 정책 개체)를 통해 도메인 전체에 배포한다. 단일 GPO 수정으로 도메인 가입 시스템의 EDR을 동시에 무력화할 수 있는 방식이다. Qilin과 워록은 이 기법을 함께 사용하며 300개 이상의 EDR 드라이버를 종료할 수 있는 것으로 확인됐다.

프록시와 정상 서비스로 유지하는 C2 통신

Yuze는 인트라넷 침투 목적으로 설계된 C 언어 기반 오픈 소스 역방향 프록시다. 워록은 이를 이용해 포트 80(HTTP), 443(HTTPS), 53(DNS) 순서로 역방향 SOCKS5 연결을 시도한다.

80·443은 많은 환경에서 아웃바운드 통신이 허용되고, 53은 DNS 트래픽처럼 보이게 만들 수 있다. 포트를 순환하며 허용 경로를 찾고 일반 웹·DNS 트래픽에 통신을 섞어 탐지를 피하려는 방식이다.

⤢✕

워록은 Yuze만 사용하지 않는다. 알려진 정상 서비스의 도메인과 인증서를 활용하는 방식이라 단순 도메인 블랙리스트나 SSL 인증서 검사만으로는 탐지하기 어렵다.

도구	특성	탐지 난이도
VS Code Tunnel	Microsoft 서명 바이너리, 443 포트	매우 높음
Cloudflare Tunnel	합법적 CDN 트래픽처럼 보임	높음
Velociraptor	오픈 소스 DFIR 프레임워크 역이용	중간
Yuze (SOCKS5)	포트 80·443·53 순환	중간

이 네 채널은 독립적으로 운용된다. 하나가 차단돼도 다른 채널을 통해 C2 통신을 계속할 수 있는 이중화 구조다.

TightVNC는 PsExec를 통해 자동 시작 Windows 서비스로 설치된다. 터널 인프라와 별개로 GUI 기반 원격 접근을 남기는 백업 경로이며, 공격자는 그래픽 환경에서 실제 사용자처럼 작업해 스크립트·명령줄 기반 탐지를 일부 피할 수 있다.

자격 증명 탈취와 도메인 단위 확산

초기 침투 후 워록은 Mimikatz로 메모리의 평문 패스워드와 NTLM 해시를 추출한다. 탈취한 자격 증명으로 SMB 공유에 접근해 페이로드를 복사하고, 일부 바이너리는 정상 파일명으로 위장한다.

그다음 Active Directory GPO를 수정해 BYOVD 드라이버와 랜섬웨어 페이로드를 도메인 전체에 동시에 배포한다. 이 방식은 수백 대 시스템의 동시 암호화로 이어질 수 있다. NSecKrnl.sys로 EDR을 종료한 직후 랜섬웨어가 파일 암호화를 시작한다.

평균 15일의 잠복 기간 동안 공격자는 백업 위치, 도메인 컨트롤러 권한, 중요 데이터 위치를 파악해 피해를 극대화한다.

패치가 늦어지는 SharePoint 환경의 위험

ToolShell 피해가 넓어진 배경은 취약점의 심각도만으로 설명되지 않는다. 온프레미스 SharePoint 환경의 구조적인 패치 지연도 결정적 요인이다.

레거시 시스템과의 통합은 패치 테스트 시간을 길게 만들고, 업무 시간 외 적용 창은 제한적이다. SharePoint 2010·2013에는 공식 패치가 제공되지 않으며, 패치 후 운영 중단을 우려해 적용을 미루는 조직 문화도 남아 있다.

2026년 4월 기준으로 Microsoft는 SharePoint 관련 추가 취약점 패치를 배포하고 있다. 취약점 발견, 패치 배포, 실제 적용 사이의 간격은 공격자에게 충분한 기회의 창이 된다.

방어 체계에서 확인할 지점

패치가 우선이다. Microsoft는 SharePoint Server Subscription Edition, 2019, 2016용 보안 업데이트를 제공하고 있다. ToolShell 관련 네 CVE 패치를 즉시 적용하고, 적용 전까지는 인터넷에서 SharePoint 서버를 격리하거나 ZTNA(Zero Trust Network Access)로 접근을 제한해야 한다.

IoC 기반 조사로 이미 침해됐는지 확인하고, 침해가 의심되면 MachineKey를 포함한 암호화 키를 즉시 교체해야 한다.

중장기적으로는 SharePoint 서버의 AMSI(Antimalware Scan Interface)를 활성화하고 안티바이러스 솔루션을 배포하는 방안이 있다. CISA와 Microsoft도 이를 권고한다. SharePoint 서버를 내부 시스템과 분리해 횡방향 이동을 제한하고, 80·443 이외의 불필요한 아웃바운드 연결을 막아야 한다. 53 포트 DNS 트래픽은 내부 DNS 서버를 통해서만 허용한다.

도메인 전체 정책 변경처럼 예상하지 못한 GPO 수정은 즉시 경보로 연결돼야 한다. 지원 종료된 온프레미스 SharePoint는 SharePoint Online 전환을 중장기 로드맵에 포함할 필요가 있다.

대응 방안	설명
Windows Driver Block List 활용	Microsoft의 취약 드라이버 차단 목록 최신 상태 유지
HVCI(Hypervisor-Protected Code Integrity) 활성화	서명되지 않은 드라이버 로딩 방지
LOLDriver 모니터링	loldrivers.io 등 알려진 취약 드라이버 목록 기반 탐지
커널 이벤트 로그 분석	EventID 7045(서비스 설치)로 드라이버 로딩 감지
EDR의 Kernel Sensor 보호	PPL(Protected Process Light) 지원 EDR 제품 사용

워록 사례에서 단일 방어 계층은 충분하지 않다. ToolShell로 인증 없이 서버에 들어온 뒤 BYOVD로 보안 제품을 제거하고, 정상 서비스를 위장한 다중 프록시로 통신을 유지하는 흐름이 이어진다. 패치 적용 속도, 네트워크 세그멘테이션, GPO 변경 감시, 이상 드라이버 로딩 탐지가 함께 작동해야 한다. 인터넷에 노출된 레거시 SharePoint 서버 한 대가 전체 도메인 침해의 시작점이 될 수 있다.