코드 레드 웜 사건

Code Red는 2001년 7월 공개된 인터넷 웜으로 Microsoft IIS Indexing Service의 버퍼 오버플로 취약점을 이용했습니다. 감염된 서버는 다른 IP 주소를 탐색해 공격을 반복했고 특정 조건에서 웹페이지 변조와 서비스거부 공격을 수행했습니다.

취약점 패치는 웜 대유행 전에 이미 제공되었으나 많은 서버가 적용하지 않은 상태였습니다.

사건 개요

진행 경과

웜은 인터넷의 IP 주소를 빠르게 탐색하고 취약한 IIS 서버에 메모리 기반 코드를 주입했습니다. 일부 변종은 스캔 방식과 영속성이 달랐습니다. 감염된 서버는 대량의 탐색 트래픽을 생성했고 지정된 시점에 특정 웹사이트를 공격하도록 설계되었습니다.

피해와 영향

수십만 대 규모의 서버가 짧은 시간에 감염된 것으로 널리 보고되며 웹서비스 장애와 네트워크 혼잡이 발생했습니다. 웹사이트 변조 메시지가 노출되었고 관리자는 긴급 패치와 재부팅, 재감염 방지 작업을 수행해야 했습니다.

원인과 확산 요인

취약점 공개와 패치 배포 이후에도 자산 파악과 업데이트가 지연되었습니다. 인터넷에 직접 노출된 동일 제품이 많았고 자동화된 스캔이 패치되지 않은 서버를 빠르게 찾았습니다. 메모리 기반 감염은 재부팅으로 사라질 수 있었으나 패치가 없으면 곧 재감염되었습니다.

대응과 수습

CERT와 정부기관, Microsoft는 긴급 경보와 패치 적용을 권고했습니다. 운영자는 서버를 패치하고 재부팅하며 불필요한 서비스를 비활성화했습니다. 네트워크 사업자는 비정상 스캔과 공격 트래픽을 모니터링했습니다.

남긴 교훈

취약점 패치의 존재와 실제 적용 사이의 시간차가 인터넷 웜의 핵심 위험입니다. 외부 노출 자산의 실시간 목록, 긴급 패치 절차, 재부팅 후 검증, 네트워크 수준 탐지가 필요합니다. 취약점 대응은 공지 수신으로 끝나지 않고 적용률 확인까지 포함해야 합니다.

사실 확인 시 주의점

Code Red I, Code Red II와 여러 변종의 기능이 다르므로 감염 수치와 행위를 하나로 합쳐 설명하면 오류가 생깁니다. 특정 백악관 IP 대상 공격 계획과 실제 영향도 구분해 읽어야 합니다.

공식 참고자료

CISA — Code Red 웜 경보

미국 CISA — 기관 소개