· 톺아보기

PC/모바일

원격데스크톱(RDP)에 대한 무차별 패스워드 대입 공격 차단

가벼운여우 · · 수정

조회 40,691 · 공감 33 · 댓글 59

팁이라고는 뭐하지만 바쁜분들을 위한 3줄 요약

 1. 원격데스크톱(RDP) 사용하시면 윈도우로그 > 보안탭에서 불필요한 로그인 시도가 있는지 확인해보세요.

 2. 윈도우 ID,패스워드는 어렵게 설정해주세요.

 3. 기본 원격데스크톱(RDP)의 포트를 변경해주세요.

------------------------------------------------------------------------------


외부에서 원격으로 작업할 일이 있어서 VM에 윈도우를 설치했는데, 3번에 걸쳐 랜섬웨어에 걸려버리는 사태가 발생했습니다.

중요한 자료는 없는데,  윈도우만 4번이나 설치했다는 거죠. ㅜㅜ (3번이나 VM백업을 안해놓음)


우선 사용하는 환경은 윈도우10(최신 업데이트) + 윈도우 기본 디펜더 + 각종프로그램


상황 

1 = 테스트용 프로그램 설치로 인한 백도어 공격으로 당했구나 생각

2 = 재설치 후 디펜더 및 Appcheck 설치, 특정프로그램 인바운드/아웃바운드 차단 = 2달 뒤 Devos 랜섬웨어가 걸려있는 것을 확인

3 = OS만 설치 = 2주 후 Devos 랜섬웨어

4 = 현재


원격데스크톱(RDP)을 열어둔 PC와 VM 둘다 시스템 로그-보안 탬에  감사 실패가 떠있는 것을 발견했습니다.

1초에 2~10회에 대한 패스워드 대입공격입니다.



로그를 보니, 원본 네트워크의 주소를 보고 공격자의 IP대역만 차단하면 될 것 같습니다.



음... 윈도우 재설치한지 하루도 안됐는데,  중복을 제거하고 450라인이 나옵니다. (중복 제거전 34550라인)

대역도 다틀려서 IP대역 차단은 포기합니다.


생각해보니, 계정명과 패스워드를 간단하게 설정해 둔 것이 기억납니다.

VM말고 사용하는 PC도 한번 점검해봅니다.

네.... 동일하게 공격받고 있네요, 하지만 ID와 패스워드를 복잡하게 사용해서 아직 뚫리진 않았습니다.

하지만 언젠가는 뚫릴테니 기본PC는 원격접속할 일이 없어서 RDP를 중지시킵니다.


VM은 패스워드는 일단 변경하겠지만, 패스워드만 변경한다고 해도 공격은 끊임없이 들어올테니, RDP 포트도 변경해주도록 합니다.


작업순서는 아래와 같습니다.

1. 우선 패스워드를 변경합니다 (영문 대/소문자+숫자+특수문자 추천)

2. RDP의 포트를 변경합니다. 기본 3389에서 원하는 포트로 변경하고 재부팅

 > 참고 : https://docs.microsoft.com/ko-kr/windows-server/remote/remote-desktop-services/clients/change-listening-port 

3. 방화벽 인바운드 설정에서 변경한 RDP포트 활성화

 > A. '설정 - 업데이트 및 보안 - Windows 보안 - 방화벽 및 네트워크 보안 - 고급설정'으로 들어갑니다.

         또는 간편하게 시작 - 실행(Win+R) 에서 wf.msc 입력

    B. 인바운드 규칙 = 새 규칙 - 포트 - TCP - 특정로컬포트에 바꾼포트 입력 - 연결허용


변경 후 다시 윈도우로그의 보안탭을 확인합니다.


보는것 처럼 RDP로 접속한 내역만 남아있습니다

감사 실패는 없고 감사 성공만 나오는 것에  감사하빈다


참고로 윈도우 업데이트시 디펜더 관련해서 설치가 되지않은 경우 이미 공격받아, 서비스나 정책에서 중지되어 있을 확률이 큽니다.

랜섬웨어 방지까지 해봤지만, 로그인이 성공하게 되면, RDP를 통해 미리 디펜더와 랜섬웨어 감지/방지 소프트웨어를 중지 시키고 공격하기 때문에 윈도우 최신업데이트와는 관련이 없습니다.


별거 아닌 내용이지만, 참고하시어 저처럼 안일한 패스워드로 인해 랜섬웨어 걸리지 않길 바라며, 데이터 백업은 생활화 하시길 바랍니다.

저는 참고로 랜섬웨어 걸리기 전에 아이디/패스워드를 user에 qwer1234를 사용했습니다. :)


여기까지 읽어주셔서 감사합니다.


* 공격자 IP노출이 있어서 가린 이미지로 대체합니다.

출처 : 3번이나 랜섬웨어에 걸린 나

댓글 59

  1. mjkang0720 ·
    기업도 아니고 일개 개인용 집컴퓨터에도 RDP를 이용한 이런 식의 해킹 시도가 자주 있나요?ㄷㄷㄷ 아마 아무 IP나 무작위 대입해서 잡히면 아무 비밀번호나 넣어보는 방식이겠죠?ㄷㄷ
  2. 신사입니당 · · 공감 3
    @새소운로식님 개인용 집컴퓨터도 채굴이될테고, 다른곳을 해킹하기위한 전진기지로 만들수도 있죠
  3. 가벼운여우 ·
    @새소운로식님 네.. 저도 집이거든요.. 공격 방식은 말씀하신것과 같습니다.
  4. 수중신 · · 공감 4
    포트를 변경해도 공격이 들어오는 경우가 있습니다.
    저는 wail2ban 을 이용해 무차별 대입 5회실패시 차단 5분
    이후 또 5회 실패시 30분차단 이런식으로 보호하는 스크립트를 이용중입니다. 검색 해 보시고 참고 해 보세요
  5. 가벼운여우 · · 공감 1
    @수중신님 추가정보 감사드립니다.
    수중신님 답글처럼 포트 변경해도 공격 들어오는 경우가 있으니, wail2ban 사용하시면 되겠습니다.
    wail2ban 스크립트는 여기서 받으시면 됩니다. https://github.com/glasnt/wail2ban
    설치방법에 대해 잘 정리되어 있는 페이지가 있어 추가로 남깁니다.
    https://developer.ibm.com/kr/cloud/softlayer-bluemix-infra/security/2017/08/31/rdp-security-script/
  6. aiek2612 ·
    헉 이 글을 보고 저도 확인 해보니까 시도 사례가 엄청 많았네요
    그 중에서도 성공 사례가 몇 있는거 보고 소름이 ㄷㄷ
  7. 가벼운여우 ·
    @Ruccin님 계정이름과 원본 네트워크에서 IP를 확인해보세요
    시간이랑 보셔서 적절한 원격접속인지 아닌지 확인해보셔야 할 것같습니다.
  8. aiek2612 ·
    @가벼운여우님 요 며칠동안 원격 킨 적이 없는데 로그에는 성공 사례가 종종 보이네요 아이피는 다 달랐습니다.
  9. 피그스킨 ·
    깃헙에 가시면 중국인들이 만들어둔 공격툴이 정말 많습니다...

    RDP가 편하고 참 좋은데...
    wail2ban은 거의 필수라고 봐야져,
    방화벽으로 IP를 제한 해두고 VPN 등으로 접근하거나, SSH나 키발급으로 추가적인 보안이 꼭 필요 합니다. ㅠ.ㅠ
  10. 가벼운여우 ·
    @옥둑히부산식돼지국밥님 맞습니다. 추가적인 보안은 필수입니다.
    다만 편의성만 추구하다 이런일이 생겼네요ㅎㅎ
  11. theo ·
    요즘 세상에 굳이 외부ip를 물릴 이유가 없다면 공유기가 기본적인 방화벽 역할은 하니 rdp는 보안수준이 높은 vpn으로 접속해서 내부ip로 이용하셔야 안전하지 않나 싶네요.
  12. 나쁜아라레 ·
    @theo님
    그러면 VPN공격 들어옵니다. ㅎ
    보안은 복잡할 좋습니다. ㅎㅎ
  13. theo ·
    @나쁜아라레님 그래도 인증서기반 키파일 쓰는 vpn이면 rdp를 바로 오픈해두는 것 보다야 훨씬 낫죠.
  14. InFinity ·
    사용자 암호는 복잡한데 10개정도 로그온 실패 이력이 있네요ㅋ
    생각난김에 포트변경부터 wailban 까지 모두 적용했습니다...

    부끄럽지만 솔직히 말하자면 몇몇 프로그램 사용이 제가 깨끗하진 않은터라...ㅜ
    저같은 분들은 보안 몇번씩 더 신경 쓰셔야 할거 같습니다.
  15. 알면용취2 ·
    솔직히 가벼운 마음으로 글을 봤는데 놀라서 보니 오늘 하루만 감사실패가 수천개,,, 아니 수만개? 떠 있네요;; ㄷㄷㄷㄷ 뱅글라데시 뭥미... 일단 감사성공 로그로는 다행히 없는 것 같긴 한데 말이죠. ms계정으로 써서 그런가

    감사합니다.
  16. 장충동브로콜리 ·
    하드웨어키 (USB) 인증방식 같은건 없을까요? 저는 필요할때만 WOL으로 켜서 하는데.. 늘 불안하긴 하더라고요.
  18. 가벼운여우 ·
    @롹!님 파워쉘 권한때문에 실행 안될 수 있는데, 요 링크 참고하세요
    https://idchowto.com/?p=52506
  19. 솜브레로 ·
    혹시 80으로 변경해도 오작동 같은 건 없을까요? 외부망이 아예 차단된 내부망에서만 쓸건데 이상하게 3389는 안붙더라고요
  20. 커피칼디 ·
    @솜브레로님 80은 너무나 알려진 포트기에 일단 두들겨보는 구멍입니다. http가 아닌 응답을 하는 것만 봐도 해커는 무슨 용도인지 알 수 있죠.
  21. 솜브레로 ·
    @커피칼디님 그럼 443으로 해봐야겠네요.
  22. 0Moon ·
    이글 보고 확인했는데 저는 포트번호는 바꿨음에도 공격이 들어오고 있네요
    확인하는 순간에도 계속 로그가 올라옵니다ㄷㄷ
  23. 산들 ·
    광범위하게 공격들어옵니다. 저도 최근 원격열어두었다가 카스퍼스키가 막아줘 다시 닫아 두었습니다.
  24. 찬찬엉아 · · 공감 6
    Windows 10에서는 소스를 한 줄 고쳐야 합니다.

    제가 고쳐서 fork해 놓은 주소입니다. https://github.com/chanhwahong/wail2ban
  25. 결론적으로 ·
    나중엔 자기들이 만들어놓고 자기들도 컨트롤 못할정도의 스카이넷이 나오게 생겼네요
  26. Guillaume ·
    저도 예전에 한 번 당해서 글 올렸었는데, 이렇게 강좌로 남겨주시니 좋네요.
    다행히? 저는 랜섬웨어 감염중 발견하여 일부만 감염되고 나머지 데이터는 살아있네여 ㅜㅜ
  27. KuddLim ·
    avast 를 쓰고 있는데 저도 RDP 관련 차단 팝업이 자주 뜨더군요. 팝업 메시지에 RDP:CVE-2019-0708 [Expl] 이라고 되어 있는데 검색해보니

    "An attacker who successfully exploited this vulnerability could execute arbitrary code on the target system."
    라는 내용이 있습니다. (https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708)

    RDP 포트를 바꾸어 주었는데도 avast 최근 로그를 보니 간간히 공격 시도가 있네요. (윈도우 새로 설치할때 RDP 활성화 이전에 백신을 반드시 설치해야할듯..)

    원격 제어에 RDP 만한게 없어서 (편의성이나 속도등) 어쩔수 없이 쓰고 있는데, 불안한 마음은 어쩔수가 없네요.
  28. agape ·
    좋은 정보 감사합니다.
    비번을 쉽게 만들어 놓은거 반성합니다.
    어디에서 뚤려도 이상하지 않죠.
  29. 지티알 ·
    윈도우즈 10인데 적용하려니 스케줄테스크 생성시에 xml 파일에 오류가 있다며 등록이 안되네요.
  30. 루멘개발 · · 공감 1
    administrator의 계정명도 바꿔두시는게 좋아요
  31. 가루 ·
    wail2ban 을 Windows 10에 적용할려고 했는데 스케줄러에서 작업 가져오기로 등록을 할려고 했더니 'start wail2ban onstartup 작업에서 오류가 발생했습니다. 오류 메시지: 다음 오류가 보고되었습니다. 작업 XML에 형식이 잘못되었거나 범위를 벗어 난 값이 있습니다.
    이렇게 나오면서 안되네요 ㅠㅠ
  32. 지티알 ·
    @가루님 저도 동일하게 메시지 나와서 그냥 수동으로 추가 했습니다.
    작업 만들기 하셔서 그대로 추가하시고,
    사용자 또는 그룹 메뉴에서 사용자를 SYSTEM으로 추가하시면 잘 됩니다.
  33. 가루 ·
    @지티알님
    알려주신대로 수동으로 추가했더니 잘 되네요^^
    감사합니다~
  34. 찬찬엉아 ·
    @가루님 수동으로 추가해도 소스 고쳐야 합니다. 제가 쓴 위에 댓글 참고하세요. 파이어월에 등록이 안돼서 블럭 기능이 제대로 작동 되지 않습니다.
  35. 지티알 ·
    수동으로 태스크 추가해서 스크립트 구동 성공했습니다.
    공유기에서 포트포워딩해서 쓰고 있는데 다른 포트로 예전부터 변경해서 쓰고 있는데도
    항상 로그 보면 새벽 시간에 상당한 횟수의 시도가 있어서 고민중 이었는데
    정보 감사합니다.
    당분간 잘 지켜보면서 써보겠습니다.
  36. 덤스터베이비 ·
    rdp를 그냥 꺼버리면 괜찮은거죠?
  37. 가벼운여우 ·
    @아주좋구나님 사용할 일이 없으시면 꺼두시는게 좋습니다
  38. NULLNONE ·
    3389 기본포트 사용하면 보안상 위험이 많더라구요 봇들이 시도하는듯한.. 저는 포트들은 무조건 돌려쓰는 버릇화 되있어서.. 고생많으셧네요 좋은글 추천드립니다!
  39. blue1 ·
    집pc아무런 암호 설정 안하고 사용하는데 그럼 문제 생기나요?..
  40. 가벼운여우 ·
    @blue1님 원격데스크톱 사용시 사용자에 대한 패스워드를 요구하기 때문에, RDP를 켜두셨더라도 공격 시도만 들어올 뿐 문제가 될 것 같진 않지만, RDP사용을 안하시면 꺼주시는게 좋습니다.(기본은 비활성)
  41. 레밍스 ·
    맥도 원격접근 포트 열어 놓으면 공격 대상됩니다. 저는 실제로 당해봤습니다. 밤에 갑자기 혼자 동작하는 모습을 봤을때 식겁했죠 -_-;
  42. 가벼운여우 ·
    @레밍스님 ...ㄷㄷㄷ 생각만해도 끔찍하네요
  43. poohut ·
    목숨 살려주셔서 (?) 감사드려요. 포트 바꾸고 감사 성공뜨네요
  44. 풀비누 ·
    요즘 아무 작업없이 cpu 5~10% 잡아먹고 있으면, cpu 사용률에 rdp 공격 꼭 뜨더라구요.
  45. footnote ·
    저장된 로그 열기, 로그 지우기, 현재 로그 필터링 같은 건 목록에 보이는데
    로그 보기란건 뭘 클릭해야 로그를 볼 수 있나요?
  46. 가벼운여우 ·
    @footnote님 중앙에 감사 실패로 떠있는 것을 더블클릭하거나 하단의 내용을 보시면 유추할 수 있습니다.
  47. seongwon ·
    좋은 내용 감사합니다
    /Vollago
  48. 오홈마 ·
    적용해보니 인바운드규칙에 추가는 잘되는데 중간중간
    [bannedIPLog.ini 파일은 다른프로세스에서 사용 중이므로 프로세스에서 엑세스할 수 없습니다] 라는 에러 메시지가 뜨네요. 오류 위치는 [wail2ban.ps1:214 문자:56] 입니다.
    동일증상이신분 없나요?
  49. mirushinji ·
    와 감사합니다. 수정하니 깨끗해졌네요
  50. zango ·
    공유기 포트포워딩에서 외부 내부 동일하게 3389가 아니라 외부 포트는 다르게 설정해 두는 것 부터 먼저 해 둬야죠.
  51. 흥미도 ·
    정말 감사합니다..ㅠㅠ 거의 2~3초마다 공격이 들어오고 있었네요 소름입니다
    평소 잘 사용하지도 않는데 이 기회에 비활성화 시켰습니다.
  52. 가벼운여우 ·
    @롹!님 ㄷㄷㄷ... 공격시도가 어마어마하죠? 그나마 차단이 되서 다행이네요.
  53. 거머리jy ·
    이 글 보고 제가 나스용으로 윈10 설치해서 쓰는 컴퓨터 확인해보니
    수차례 접속시도가 있네요.ㄷㄷㄷ

    포트를 바꿔놨는데도 어떻게 알았는지 접속시도가 있음.
    IP바꿔가면서 수차례 접속시도가 있음.

    접속시도 ip 조회 해보면 전부 중국.
  54. 지식여행 ·
    정말 감사합니다. 놓치고 있던 건인데.. 잘 배워갑니다.
  55. 씨엔 ·
    여러 대의 PC를 관리하는 경우 라우터 단계에서 막아버리는게 더 효율적일 것 같아서 찾아보니, DD-WRT를 사용하시는 분들을 위해서 이런 게 있네요. 자세히 한번 알아봐야겠네요.
    Preventing Brute Force Attacks
    https://wiki.dd-wrt.com/wiki/index.php/Preventing_Brute_Force_Attacks
  56. melonPro ·
    혹시 두번째, 아이피 리스트 보려면 어디서 확인이 가능한가요? 저는 IP로 다 차단...하려구요...
  57. 가벼운여우 ·
    @K-melon님 이벤트로그 보안 우클릭 후 다른이름으로 모든 이벤트 저장 하실때 csv나 txt로 저장하셔서 따로 필터링 해주시면 됩니다. 저는 notepad++ 에서 원본 네트워크만 검색+중복항목 제거 걸어서 봤습니다
  58. melonPro ·
    @가벼운여우님 감사합니다. 그냥 다른 원격 SW를 쓰던가, 원격 툴 만들던가 해야겠네요 ㄷㄷ 감사합니다.
  59. melonPro ·
    @가벼운여우님 하핫...IP중복제거 후 전부 차단 했는데, IP변경해서 그대로 들어오네요. 자동 차단 매크로 만들 수 있는지 찾아봐야겠네요 ㅎㅎ

팁과강좌 최근 글

팁과강좌 목록 더 보기