[🧑‍💻] 회사 컴퓨터 메모리 부족의 원인, 암호화폐 채굴용 악성코드, 좀비 PC

✨ GPT-5.6 Sol의 요약 　

RAM 용량은 남았는데 커밋만 한도까지 차던 회사 PC를 이틀간 추적해, WPR ETL에서 채굴 명령과 위장 로더의 실행 흔적을 찾아낸 기록.

어제 오전, 회사 PC 한 대에서 계속 메모리 부족 오류가 뜬다는 이야기를 들었다.

작업 관리자를 보니 이상했다. 물리 RAM 16GB 중 실제 사용량은 절반 정도였다. 사용 가능한 RAM이 9GB 가까이 남아 있는데도 엑셀과 브라우저가 꺼지고 Out of Memory가 떴다. 대신 커밋 메모리는 18.1 / 18.8GB까지 차 있었다.

처음에는 C드라이브 용량이 10GB도 남지 않았고 페이지 파일도 3GB 정도로 작았기 때문에, SSD 여유 공간과 가상 메모리 설정을 가장 먼저 의심했다. ChatGPT도 SSD 용량 부족이 90% 이상 유력하다고 답했다.

그런데 계속 마음에 걸렸다.

아무것도 켠 게 없는데 왜 커밋이 이렇게 높지?

페이지 파일을 늘리자 범인도 같이 커졌다

페이지 파일을 자동 관리로 바꾸고 재부팅했다. 이 조치는 시스템이 바로 죽는 것을 막는 데에는 도움이 됐다. 하지만 문제를 해결하지는 못했다.

커밋 한도가 16GB일 때는 15.5 / 16GB까지 찼다. 가상 메모리를 켜서 한도가 32GB 가까이 늘어나자 이번에는 31.9 / 32GB까지 올라갔다.

그제야 확실히 알 수 있었다.

페이지 파일이 작아서 오류가 빨리 터진 것은 맞지만, 페이지 파일이 메모리를 먹는 범인은 아니었다. 누군가가 한도를 거의 끝까지 계속 예약하고 있었다. 한도를 늘리면 그만큼 더 먹었다.

작업 관리자와 Process Explorer에서 커밋 크기순으로 프로세스를 봤다. 상주 프로그램을 하나씩 종료해보고, 백신도 꺼보고, 시작 프로그램도 줄였다. 눈에 보이는 프로세스의 커밋을 다 더해도 전체 수치가 설명되지 않았다.

Malware Zero에서는 SmartBridge라는 유해 가능 프로그램이 발견돼 격리됐다. 이것이 원인인가 싶었지만 재부팅 뒤에도 커밋은 다시 올라갔다.

나는 계속 물었다.

솔직히 이 정도면 걍 바이러스 의심이 맞는 거 아님?

그때까지도 ChatGPT는 악성코드 가능성을 진지하게 봐야 하지만 확정은 아니라고 답했다. PUP나 오작동하는 보안 모듈, 숨은 서비스일 가능성도 남아 있었다.

WPR을 한 시간 돌렸다가 기록부터 꼬였다

작업 관리자에 잡히지 않는 커밋의 정체를 보려고 Windows Performance Recorder와 Windows Performance Analyzer를 설치했다.

첫 시도는 엉망이었다. VirtualAlloc 추적을 파일 모드로 한 시간 넘게 켜뒀다가 커밋 한도까지 차올랐다. 추적을 중지하는 과정에서도 오류가 나서 ETL 저장에 실패했다.

다시 재부팅하고, 이번에는 설치한 WPR의 정확한 경로를 지정했다. 기록을 메모리 모드로 시작한 뒤 커밋이 치솟는 순간 중지 명령을 내려 memory.etl을 저장했다.

파일 크기는 318MB였다.

ETL 안에 채굴 명령이 그대로 남아 있었다

그리고 오늘 오후, ETL을 분석하자 긴 추측이 한 번에 끝났다.

로그 안에는 이런 명령이 반복해서 들어 있었다.

C:\Windows\System32\cmd.exe
  --algo progpowz
  --url stratum+tcp://pool.zh.woolypooly.com:3146
  --user [지갑 주소]
  --pass x

progpowz, stratum+tcp, 채굴 풀 주소와 지갑 주소가 한 명령에 묶여 있었다. 단순한 프로그램 오류로 볼 수 없는 암호화폐 채굴 명령이었다.

같은 ETL에서는 더 노골적인 흔적도 확인됐다.

• Windows 업데이트 파일처럼 보이는 C:\ProgramData\KB5019959.exe가 반복 실행됐다.
• 인코딩된 PowerShell 명령이 실행됐다.
• PowerShell을 정상 시스템 파일처럼 위장하려는 명령이 있었다.
• Microsoft Defender의 탐지 동작과 경로·프로세스 제외 항목을 추가했다.
• 외부 저장소에서 파일을 내려받고 C:\ProgramData\Google 아래에 7-Zip으로 풀었다.
• DNS를 바꾸고 절전·최대 절전 기능을 껐다.

ETL에는 정상 업무 프로그램으로 보이는 FindWorker.exe도 여러 번 등장했다. 하지만 같은 로그에 많이 나온다는 이유만으로 그 프로그램을 감염원이라고 몰 수는 없었다. 결정적인 증거는 별도로 남아 있던 채굴 풀 명령과 위장 로더의 행위였다. 최초 감염 경로도 아직 확정되지 않았다.

그 결과를 보고 내가 한 말은 이것이었다.

헐… 이게 그 말로만 듣던 좀비 PC????

정확히는 공격자가 회사 PC의 자원을 몰래 사용하던 채굴용 좀비 PC였다. SSD 용량과 페이지 파일은 증상을 더 빨리 드러나게 한 조건일 뿐, 근본 원인은 아니었다.

바로 사내에 알렸다

USB를 연결한 뒤부터 증상이 시작됐다는 이야기가 있었지만, 그것만으로 USB를 감염 경로라고 확정할 수는 없었다. 그래도 같은 USB가 다른 PC에 연결될 수 있고 감염 PC는 회사 NAS까지 쓰고 있었기 때문에, 결과를 혼자 들고 있을 상황은 아니었다.

사내에는 아래와 같이 긴급 공지를 보냈다.

[긴급 보안 공지]

사내 PC 1대에서 암호화폐 채굴 악성코드에 감염된 ‘좀비 PC’가 확인되었습니다.

정확한 감염 경로는 아직 확인되지 않았으나, 현재로서는 악성코드가 포함된 USB 연결 가능성을 우선 의심하고 있습니다.

회사 NAS 서버와 공유자료의 감염·변조 여부도 조사 중이며, 결과가 확인되는 대로 다시 안내드리겠습니다.

평소보다 PC가 자주 느려지거나 엑셀·문서·브라우저가 이유 없이 꺼지는 분들은 아래 방법으로 확인해 주세요.

Ctrl + Shift + Esc → 작업 관리자 → 성능 → 메모리 → 커밋됨

감염 PC에서는 실제 RAM의 ‘사용 가능’ 용량이 9GB 정도 남아 있는데도,

• 커밋됨이 15.5GB / 16GB처럼 한도에 거의 도달하거나
• 가상 메모리가 켜진 뒤 31.9GB / 32GB처럼 계속 한도까지 상승하는

비정상적인 현상이 확인되었습니다.

다음 중 하나라도 해당하면 작업 관리자 메모리 화면을 캡처해 바로 알려주시기 바랍니다.

• 별다른 프로그램을 실행하지 않았는데 커밋 메모리가 12GB 이상인 경우
• 커밋 사용량이 최대 한도의 80% 이상인 경우
• 커밋 수치가 가만히 있어도 계속 올라가는 경우
• 엑셀·문서·브라우저가 이유 없이 반복적으로 종료되는 경우
• ‘메모리 부족’, ‘Out of Memory’ 오류가 나타나는 경우
• 최근 USB 연결 이후 PC가 느려지거나 이상 증상이 생긴 경우

이상 증상이 있으면 파일이나 프로그램을 임의로 삭제하지 마시고, 사용한 USB도 다른 PC에 연결하지 말아 주세요. 확인이 필요한 PC는 직접 방문하여 점검하겠습니다.

NAS 점검 뒤 후속 공지를 보냈다

NAS의 로그들을 export하고, 파일 변조 여부를 전수조사 시켜봤다. 다행히 NAS까지 악성코드가 배포된 정황은 드러나지 않았다. 이를 확인한 뒤에는 아래 내용을 추가로 알렸다.

회사 NAS 서버 점검 결과, 현재까지 NAS 자체의 감염을 확정할 만한 정황은 확인되지 않았습니다. 다만 현 단계에서 감염 가능성을 완전히 배제하기는 어려워, 데이터 보호를 위한 폴더별 순차 백업을 진행할 예정입니다.

현재 업무 파일은 정상적으로 열람 및 사용 가능합니다.

매일 23시부터 다음 날 07시까지 백업이 진행되며, 해당 시간에도 NAS를 이용할 수 있으나 일시적으로 접속이나 파일 처리 속도가 느려질 수 있으니 참고해 주시기 바랍니다.

파일이 열리지 않거나, 파일명·확장자·내용이 비정상적으로 변경된 경우 즉시 알려주시기 바랍니다. (비상 연락망: 010-0000-0000)

To be continued

아무래도 내일은 매우 바빠질 것 같다.

지금 같은 2층에서 거의 완벽히 동일한 증상을 호소하는 분은 현재 총 3명이고, 공교롭게도 다들 이 회사의 유일한 재무회계팀 멤버들이다. 따라서, 내일은 최대한 빠르게 그 분들의 PC 3대를 포맷해야 할 것이다.

야근각 세게 떴네…