ESXi 랜섬웨어 침입 경로

**가장 흔한 길은 관리자 계정 탈취이고, 그다음이 미패치 취약점이다.** | 경로 | 내용 | |---|---| | 계정 탈취 | 피싱·도난 비밀번호로 관리 콘솔 로그인 | | 미패치 취약점 | CVE-2025-22225 등 — 미 CISA가 랜섬웨어 악용 확인 | | 노출된 관리 포트 | 인터넷에 열린 관리 서비스(2023년 ESXiArgs 대량 감염) | | 내부 확산 | 일반 서버를 먼저 뚫고 관리망으로 이동 |

하이퍼바이저 랜섬웨어 대비

**관리 영역을 따로 가두고, 백업은 같은 층 밖에 두는 것이 핵심이다.** | 대책 | 이유 | |---|---| | 관리망 분리 | 일반 업무망에서 관리 콘솔에 닿지 못하게 | | 다중 인증·최소 권한 | 계정 하나 털려도 전체 장악 못 하게 | | 빠른 패치 | 알려진 취약점이 주요 침입로 | | 불변·오프라인 백업 | 공격자가 스냅샷을 지워도 살아남게 | | 복구 훈련 | 새 환경 재구축 시간을 미리 재 둔다 |

하이퍼바이저 랜섬웨어란 — 서버 한 대 대신 그 밑을 잠가 수백 대를 한 번에 멈춘다

Q: 하이퍼바이저 랜섬웨어란

**가상 서버들이 올라탄 바닥(가상화 층)을 잠그는 랜섬웨어다.** | 항목 | 내용 | |---|---| | 표적 | VMware ESXi 등 하이퍼바이저, 관리 콘솔(vCenter 등) | | 하는 일 | 가상 서버 강제 종료 → 스냅샷 삭제 → 가상 디스크 파일 암호화 | | 왜 효과적인가 | 호스트 하나에 수십~수백 대가 있어 한 번에 멈춤 | | 최근 사례 | 2026년 10월 7일 IDC 프론티어(고객 495곳) |

하이퍼바이저 랜섬웨어는 물리 서버 한 대 위에서 가상 서버 수십~수백 대를 돌리는 '가상화 층'(대표적으로 VMware ESXi)을 노리는 공격이다. 서버를 하나씩 암호화하는 대신 하이퍼바이저나 그 관리 콘솔을 장악해 가상 서버를 끄고, 스냅샷(복원 지점)을 지우고, 가상 디스크 파일을 통째로 암호화한다. 그 위의 모든 서비스와, 같은 층에 둔 백업까지 한 번에 멈춘다. 침입은 주로 도난당한 관리자 계정이나 패치하지 않은 취약점(예: 미 사이버보안·인프라보안청이 랜섬웨어 악용을 확인한 CVE-2025-22225)으로 시작한다. 2026년 10월 7일 소프트뱅크 자회사 IDC 프론티어 클라우드가 이 방식으로 공격받아 고객 495곳이 멈췄다. 방어 핵심은 관리망 분리, 다중 인증, 빠른 패치, 지울 수 없는 오프라인 백업이다

랜섬웨어가 서버 한 대를 잠그는 대신 그 '바닥'을 잠그면 무슨 일이 생기나. 2026년 10월 7일 일본에서 답이 나왔다. 소프트뱅크 자회사 IDC 프론티어의 클라우드 리전 하나가 랜섬웨어에 멈추면서 기업·지자체 고객 495곳이 동시에 멈췄고, 회사는 "데이터 복원이 어렵다, 새 환경에서 재구축하라"고 안내했다(「일본 IDC 프론티어 랜섬웨어」). 공격자는 하이퍼바이저 약 240대에 7분 만에 들어갔다고 주장했다. 이런 공격을 하이퍼바이저 랜섬웨어라고 부른다. 클라우드와 사내 서버실 대부분이 가상화 위에서 돌기 때문에, 이 층은 공격자에게 가장 효율이 높은 표적이 됐다.

1. 하이퍼바이저란 무엇이고 왜 표적인가

하이퍼바이저는 물리 서버 한 대를 여러 대의 가상 서버(VM)로 쪼개 쓰게 해 주는 소프트웨어다. 아파트로 치면 기초와 골조이고, 가상 서버는 그 위에 올라간 집들이다.

구분	일반 서버 공격	하이퍼바이저 공격
잠그는 대상	서버 한 대의 파일	가상 디스크 파일 자체(서버 전체가 파일 몇 개)
한 번에 멈추는 범위	1대	호스트당 수십~수백 대
보안 프로그램	서버마다 백신·탐지 도구 설치	하이퍼바이저에는 보통 설치 못 해 감시 사각지대
백업	다른 곳에 남을 수 있음	같은 층의 스냅샷까지 지움
피해자	한 회사	클라우드면 고객사 전체

가상 서버 하나는 결국 하이퍼바이저 입장에서 커다란 파일 몇 개다. 그 파일을 암호화하면 안에 무엇이 있든 전부 열리지 않는다. 보안 프로그램은 대개 가상 서버 '안'에 깔려 있어서, 바깥 층에서 벌어지는 일을 보지 못한다.

2. 공격은 어떤 순서로 진행되나

단계	공격자 행동	왜
1. 침입	관리자 계정 탈취, 미패치 취약점, 인터넷에 열린 관리 포트	크라우드스트라이크는 ESXi 공격의 가장 흔한 경로로 계정 탈취를 꼽는다
2. 관리 영역 장악	관리 콘솔(vCenter 등)·여러 호스트에 자동 스크립트로 접속	한 번에 많은 호스트를 다루려고
3. 가상 서버 종료	실행 중인 VM 강제 종료	켜져 있는 파일은 잠겨 있어 암호화가 어렵다
4. 스냅샷·백업 삭제	복원 지점 지우기	피해자가 몸값 없이 되돌리지 못하게
5. 암호화	가상 디스크 파일 암호화, 설정 변경, 협박문 남김	—

IDC 프론티어 공격자가 주장한 숫자 — 스냅샷 55만 4천여 개 삭제, 백업 41.5PB 제거 — 는 4단계가 핵심이라는 걸 보여 준다(회사는 이 수치를 확인하지 않았다). 백업을 먼저 없애야 몸값을 받을 수 있기 때문이다.

3. 주요 사례

시기	사례	특징
2023년 2월	ESXiArgs	인터넷에 노출된 낡은 ESXi 서버 수천 대 대량 감염, 2021년 공개된 취약점 악용
2025년 3월	CVE-2025-22225 패치	브로드컴(VMware) 패치. 미 CISA가 이후 랜섬웨어 악용 확인
2025년 4월	영국 막스앤스펜서	보안 업계 분석상 ESXi 하이퍼바이저 암호화로 핵심 시스템 마비
2026년 10월 7일	일본 IDC 프론티어	클라우드 리전 하나, 고객 495곳 정지, 데이터 복원 어려움

4. 어떻게 막나 — 기관·기업용 체크리스트

우선순위	대책	구체적으로
1	관리망 분리	하이퍼바이저·관리 콘솔은 업무망·인터넷에서 닿지 않는 별도 망에
2	다중 인증·최소 권한	관리자 계정에 다중 인증, 관리 권한자는 최소 인원
3	빠른 패치	하이퍼바이저 취약점은 '알려진 취약점 악용 목록'에 오르는 경우가 많다
4	불변·오프라인 백업	정해진 기간 동안 아무도 지울 수 없는 백업, 다른 사업자·다른 장소에 한 벌
5	감시	대량 VM 종료·스냅샷 삭제 같은 관리 행동에 경보
6	복구 훈련	'새 환경에서 재구축'에 며칠 걸리는지 미리 재 본다

클라우드를 쓰는 고객이라면 4번이 가장 현실적인 대책이다. 클라우드 사업자의 하이퍼바이저를 고객이 지킬 수는 없지만, 같은 사업자·같은 리전 밖에 백업 한 벌을 두는 것은 할 수 있다. IDC 프론티어가 "각자 백업으로 복원하라"고 안내한 것도 그래서다. 사이버 위기 시 국가 경보 단계는 「사이버 위기경보 단계」에, 취약점 점수 읽는 법은 「CVSS란」에 정리했다.

5. 자주 묻는 질문

질문	답
클라우드는 원래 백업이 되지 않나	사업자의 스냅샷은 같은 인프라 안에 있는 경우가 많다. 그 인프라가 공격받으면 함께 사라질 수 있다
VMware만 위험한가	ESXi가 가장 널리 쓰여 표적이 많을 뿐, 다른 하이퍼바이저도 같은 구조적 위험이 있다
몸값을 내면 복구되나	보장되지 않는다. 복호화 도구가 불완전하거나 데이터가 이미 지워졌을 수 있다
개인 사용자와 관계있나	직접 공격 대상은 기업이지만, 쓰던 서비스(와이파이 인증·전화·쇼핑몰)가 한꺼번에 멈추는 식으로 영향을 받는다

6. 남은 것과 확인되지 않은 것

통계: 가상화 인프라를 노린 랜섬웨어 비율이 크게 늘었다는 보도가 이어지지만, 신뢰할 만한 원 보고서 수치는 이번에 확인하지 못했다.
IDC 프론티어 경로: 어떤 하이퍼바이저였는지, 어떻게 관리 영역에 들어갔는지 아직 공개되지 않았다.
AI 변수: 일본 보안 업체 마크니카는 값싼 AI 도구가 작은 조직을 노리는 공격 비용을 낮추고 있을 수 있다고 봤다. 실제 이번 공격에 AI가 쓰였는지는 알려지지 않았다.