기술 전문가의 인터넷 연결 Synology NAS, 18개월 된 원격 코드 실행 취약점으로 랜섬웨어 공격을 받다

시스템 관리자들은 다른 회사나 사람들의 설정에서 느슨한 보안 정책을 지적하는 사람들 중 하나입니다. 때로는 그들 자신이 남에게 쉽게 조언하는 것과 달리, 그러한 문제에 휘말리기도 합니다. 레딧 사용자 NakamuraHwang의 사례가 바로 그런 경우인데, 그는 일련의 불필요한 실수 끝에 자신의 Synology DS918+ NAS에서 파일들이 랜섬웨어 공격으로 암호화되는 피해를 입었습니다.

Hwang은 기술적으로 매우 능숙해 보였으며 상황에 대한 상세한 글을 올렸습니다. 하지만 핵심 사항들은 다음과 같습니다. 해당 장치(a)는 웹 인터페이스가 인터넷에 노출되어 있었고, (b) 보안 패치가 약 18개월 정도 지연된 상태였습니다. 최근 PHP 문제 [has adeptly shown]에서 알 수 있듯이, 안일함은 AI 봇 군대보다 훨씬 더 나쁜 적입니다.

그는 3-2-1 백업 설정을 갖추고 있었기 때문에 데이터를 잃지 않은 것으로 보입니다. 그는 추가 검사를 위해 디스크들을 Proxmox 머신에 연결했습니다. Synology의 DSM 운영체제는 내부적으로 mdraid를 사용하기 때문에, 디스크들을 다른 컴퓨터로 옮겨 마운트할 수 있습니다. 로그와 운영 체제 파일을 조사한 결과, 이 공격은 1년 반 전에 공개된 CVE-2024-10441 원격 코드 실행 취약점을 악용하여 수행되었을 가능성이 높다는 것이 밝혀졌습니다.

다른 모든 시스템 관리자(sysadmin)들이 말하듯이, 장치를 보호 계층 없이 인터넷에 직접 노출하는 것은 절대 권장되지 않습니다. 주로 VPN이나 SSH 터널이겠지만, 그것만이 전부는 아닙니다. 예를 들어, Tailscale은 요즘 VPN을 사용하는 것을 매우 간편하게 만들어 주며, 무료 플랜으로 대부분의 가정 설치 환경을 커버합니다.

Synology는 해당 익스플로잇(exploit)에 대해 자체 권고문([its own advisory])을 발표했지만, NAS의 업데이트 관련 동작 방식이 상황을 복잡하게 만듭니다. 스레드와 [다른 포럼]의 여러 댓글에 따르면, 사용자 인터페이스(UI)는 사용자가 수동으로 설치해야 하는 중요한 보안 업데이트가 있음에도 불구하고 장치가 최신 상태라고 기꺼이 알려줍니다. [DSM 매뉴얼]은 2025년 이후 모델에는 자동 업데이트 기능이 있다고 명시하며, 이는 이전 제조사의 제품도 그렇게 설정되어야 함을 암시합니다.

게다가 Synology는 고객에게 중요한 보안 취약점(vulnerability)을 경고할 직접적인 채널이 없는 것 같습니다. 간단한 이메일 알림만으로 충분했을 것입니다. 회사가 소비자용 장비에서 멀어지는 것처럼 보이지만, 여전히 일반 사용자가 구매할 수 있는 소형 장치를 판매하고 있으며, 보안 게시판에 대해 인지하고 있을 것이라고 기대하는 것은 합리적이지 않습니다. 게다가 PHP2Shell 취약점에 대한 패치와 같은 패키지 업데이트도 별도로 설치해야 합니다.