Lotus Wiper Malware - 베네수엘라 에너지 시스템 파괴적 공격 분석

Executive Summary

2025년 말부터 2026년 초까지 베네수엘라의 에너지 및 유틸리티 부문을 대상으로 한 파괴적 사이버 공격 캠페인이 확인되었습니다. 이 공격은 이전에 문서화되지 않은 데이터 와이퍼 "Lotus Wiper"를 사용하여 시스템을 복구 불가능한 상태로 만드는 것을 목표로 합니다.

주요 사항:
- 타깃: 베네수엘라 에너지 및 유틸리티 섹터
- 공격 시기: 2025년 말 ~ 2026년 초
- 악성코드 유형: 데이터 와이퍼
- 목표: 시스템 완전 파괴
- 금전적 동기: 없음

1. 위협 분석

1.1 Lotus Wiper의 기술적 특성

1. 데이터 파괴 중심: 데이터를 물리적으로 삭제하고 덮어씁니다.
2. 복구 메커니즘 파괴: 시스템 복원 지점 삭제, USN 저널 클리어
3. 다중 레벨 파괴: 논리적 볼륨, 물리적 드라이브, 파일 시스템 레벨 파괴

1.2 공격 체인

[1단계] 사전 침투 → [2단계] 환경 준비 → [3단계] 배치 스크립트 → [4단계] Lotus Wiper 실행

2. 기술적 세부사항

2.1 배치 스크립트

OhSyncNow.bat:
- UI0Detect 서비스 비활성화
- NETLOGON\OHSync.xml 트리거 확인
- 네트워크 기반 동시 실행 조정

notesreg.bat:
- 사용자 계정 비밀번호 변경 및 비활성화
- 네트워크 인터페이스 차단
- 디스크 와이핑 준비
- 와이퍼 페이로드 실행

2.2 와이퍼 페이로드

2.3 파괴 프로세스

1. 권한 획득 및 복원 지점 삭제
2. 물리적 드라이브 와이핑 (모든 섹터를 0으로 덮어쓰기)
3. 파일 시스템 파괴 (USN 저널 삭제, 파일명 변경, 파일 삭제)

3. 대응 방안

3.1 탐지 방법

• UI0Detect 서비스 상태 모니터링
• NETLOGON 공유 파일 변경 감지
• diskpart, robocopy, fsutil 비정상적 사용 감지
• 대량 계정 비밀번호 변경 감지

3.2 백업 및 복구

• 3-2-1 백업 원칙 강화
• 불변성(Immutability) 백업 사용
• 정기적 복구 테스트
• 백업 시스템 네트워크 분리

3.3 인시던트 대응

즉시 대응 (0~1시간):
- 감염된 시스템 네트워크 격리
- 증거 보존 (메모리 덤프, 디스크 이미지)
- 영향 범위 평가

단기 대응 (1~24시간):
- 악성코드 분석
- 보안 패치 및 하드닝
- 모니터링 강화

장기 대응 (24시간~):
- 시스템 재구축
- 포렌식 분석
- 개선 계획 수립

4. 보안 권고사항

4.1 예방 조치

4.2 IOC

• 파일명: OhSyncNow.bat, notesreg.bat, nstats.exe, nevent.exe, ndesign.exe
• 디렉토리: C:\lotus\
• 서비스: UI0Detect
• Kaspersky 탐지: HEUR:Trojan.BAT.LotusWiper.gen, HEUR:Trojan.Win32.LotusWiper.gen

4.3 MITRE ATT&CK 매핑

• Initial Access: T1078 (Valid Accounts)
• Execution: T1059 (Command and Scripting Interpreter)
• Defense Evasion: T1562 (Impair Defenses)
• Impact: T1565 (Data Destruction), T1561.001 (Disk Wipe)

5. 결론

1. 와이퍼 공격의 부활: NotPetya, HermeticWiper에 이어 Lotus Wiper는 와이퍼 공격이 지속적으로 진화하고 있음을 보여줍니다.
2. 비금전적 동기: 이번 공격은 금전적 이득이 아닌 순수 파괴를 목표로 합니다.
3. 사전 준비의 중요성: 공격자는 수개월 전에 시스템을 침투하고 환경을 파악했습니다.
4. 기간 시설 취약성: 레거시 Windows 시스템은 와이퍼 공격에 취약합니다.

6. 참고자료

1. Kaspersky SecureList: "Highly destructive Lotus Wiper used in a targeted attack"
2. BleepingComputer: "New Lotus data wiper used against Venezuelan energy, utility firms"
3. The Hacker News: "Lotus Wiper Malware Targets Venezuelan Energy Systems"

본 콘텐츠는 AI 기술로 생성된 분석 리포트를 포함하고 있습니다. 내용 중 사실과 다르거나 보완이 필요한 정보를 발견하시면 댓글을 통해 소중한 의견 부탁드립니다. 여러분의 피드백은 더 정확한 보안 정보 공유에 큰 도움이 됩니다.