Fast16: Stuxnet보다 5년 앞선 고정밀 소프트웨어 사보타주

SentinelLABS가 2005년으로 거슬러 올라가는 미공개 사이버 사보타주 프레임워크 fast16을 분석했다. 핵심은 fast16.sys와 svcmgmt.exe로, 고정밀 계산 소프트웨어의 결과를 메모리 패치로 조작해 전체 시설에 같은 오차를 퍼뜨리도록 설계됐다.

svcmgmt.exe는 Lua 5.0 VM을 내장한 캐리어 역할을 하며, 암호화된 Lua 바이트코드와 Windows API 바인딩을 통해 설정·전파·제어 로직을 분리했다. 실행 방식도 명령행 인자에 따라 서비스 실행, Lua 실행, 프로토콜 래핑 등으로 나뉘어 모듈형 구조를 보였다.

fast16.sys는 부팅 초기 로드되는 파일시스템 드라이버로, 디스크에서 실행 코드가 읽힐 때 이를 가로채 수정하는 방식으로 동작했다. 이 드라이버는 Windows 2000/XP 환경을 겨냥했고, 네트워크 공유와 서비스 제어 API를 이용해 스스로를 복제·배포하는 웜렛을 포함했다.

분석 과정에서 svcmgmt.exe의 PDB 경로가 fast16.sys와 연결됐고, 같은 fast16 문자열은 2017년 ShadowBrokers 유출본의 NSA Territorial Dispute 관련 목록에서도 확인됐다. 저자는 이를 통해 fast16이 Stuxnet보다 최소 5년 앞선, 그리고 알려진 가장 이른 형태의 정밀 사보타주 사례라고 결론냈다.

• 설치 전 검사로 보안 제품 레지스트리 키를 확인해 배포를 중단할 수 있음
• 기본 공유와 약한 관리자 비밀번호를 이용해 전파함
• ConnotifyDLL을 통해 RAS 네트워크 연결 시 최소한의 보고 채널을 제공함