SQL 슬래머 웜, 10분 만에 전 세계 인터넷을 마비시킨 사태(2003)

2002년 7월 24일 마이크로소프트는 SQL 서버 2000의 해석 서비스에서 발견된 버퍼 오버플로 취약점(CVE-2002-0649)을 공개하고 보안 패치 MS02-039를 함께 배포했다. 이 취약점은 데이비드 리치필드가 발견해 블랙햇 컨퍼런스에서 개념 증명 코드까지 시연한 것이었다. 공격자는 UDP 1434번 포트로 조작된 패킷 하나만 보내면 원격에서 임의 코드를 실행할 수 있었다. 패치는 즉시 제공됐지만 많은 기업이 서버 업데이트를 미뤘고 마이크로소프트 내부 서버조차 예외가 아니었다. 이 6개월의 공백이 훗날 슬래머 웜이 폭발적으로 번질 토양이 되었다.

2003년 1월 25일 토요일 새벽(UTC 기준 약 07시) 인터넷 곳곳에서 트래픽이 폭증했고, 마이클 바카렐라는 UTC 07시 11분께 보안 메일링리스트 Bugtraq에 'MS SQL 웜이 인터넷을 파괴하고 있다, 1434 포트를 차단하라'는 글을 올렸다. 약 40분 뒤 시만텍이 첫 분석 자료를 내놓았고 이후 여러 기관이 같은 증상을 확인했다. 웜의 크기는 고작 376바이트로 패킷 하나에 모두 들어갔으며, 연결 확인 절차가 없는 UDP로 '쏘고 잊는' 방식이어서 전파 속도가 극단적으로 빨랐다. 웜은 디스크에 저장되지 않고 메모리에만 상주해 감염 서버를 파괴하지는 않았지만 네트워크를 가득 채웠다. 인터넷이 금요일 밤에서 토요일로 넘어가는 시간대에 순식간에 마비되기 시작한 순간이었다.

슬래머는 확산 초기에 약 8.5초마다 감염 규모가 두 배로 늘어날 만큼 빠르게 번졌다. 전파 시작 후 약 10분 만에 취약한 SQL 서버를 쓰는 약 7만 5천 대의 피해 시스템 대부분이 감염된 것으로 분석된다. 감염된 서버는 임의의 IP 주소로 초당 수많은 패킷을 쏘아대며 라우터를 과부하에 빠뜨렸고, 라우팅 테이블 갱신 트래픽이 급증하면서 일부 구간의 라우터가 멈추기도 했다. 이는 웜의 탐색 방식이 대역폭을 먹어 치우는 구조라 감염 대수보다 훨씬 광범위한 서비스 거부 효과를 낳았다는 의미다. 실제 감염 서버는 비교적 적었지만 이 한 번의 사태로 인터넷 백본의 취약성이 처음으로 크게 드러났다.

슬래머의 충격은 한국에서 특히 컸다. 당시 보도에 따르면 KT 가입자 거의 전부가 인터넷 연결을 잃었고, 국내 양대 ISP인 KT와 하나로텔레콤의 주가는 크게 하락했다. 같은 시기 포르투갈에서는 넷카부(Netcabo) 케이블 인터넷 가입자 30만 명 이상이 12시간 넘게 접속하지 못했다. 이 사태는 한국의 초고속 인터넷 환경이 보안 업데이트에 얼마나 무방비였는지를 보여 준 사례로 꼽혔다. 국내에서는 이후 '1.25 인터넷 대란'으로 불리며 정보보호 체계 점검의 계기가 되었다.

뱅크오브아메리카의 ATM 약 1만 3천 대가 주말 내내 거래를 처리하지 못했고, 일부 고객은 일요일 정오 무렵까지도 계좌에 접근하지 못했다고 호소했다. 콘티넨털항공은 예약·일정 시스템과 전자 키오스크에 접속하지 못해 항공편 지연과 취소가 발생했다. 윈도 XP 제품 인증 서버를 포함한 마이크로소프트 서비스도 활성화 오류를 겪었다. 시벨시스템스는 사흘간 방어하다 네트워크 경계가 뚫렸고, CIO는 발생한 트래픽이 이전에 겪은 것보다 한 자릿수 이상 많았다고 말했다. 평범한 데이터베이스 취약점 하나가 금융·항공 등 핵심 업무를 멈춰 세울 수 있음을 보여 준 장면이었다.

사태 직후 시만텍은 정점 시간대에 2만 2천 개 이상의 고유 시스템이 감염된 것을 관측했다고 밝혔고, 이후 감염률은 점차 낮아졌다. 컴퓨터 이코노믹스는 슬래머로 인한 전 세계 피해가 7억 5천만 달러를 넘을 것으로 추산했다. 전문가들은 패치가 6개월 전에 나와 있었는데도 적용하지 않은 관리 부실이 근본 원인이라고 지적했다. 이 사건으로 기업들은 방화벽에서 UDP 1434를 차단하고 패치 관리 절차를 강화하기 시작했다. 한 번의 취약점 방치가 전 세계 서비스 장애로 이어질 수 있다는 교훈이 업계에 남았다.

2010년 10월 사이버 보안 인식의 달에 SANS 연구소는 사태 7년이 지나도 포트 1434에서 슬래머 잔여 트래픽이 계속 관측된다며 퇴치 캠페인을 시작했다. 하루 약 200대의 감염 호스트가 탐지됐고, 슬래머는 여전히 네트워크 트래픽 상위 10위권에 들었다. SANS는 감염 시스템을 호스팅하는 업체에 연락했지만 호스팅 회사들의 신고 대응이 충분히 빠르지 않았다. 요한네스 울리히 SANS 최고연구책임자는 완전한 박멸 가능성이 낮다고 인정했다. 한번 풀린 웜이 패치되지 않은 시스템에서 수년간 살아남는다는 사실을 보여 준 후일담이다.