미국 법무부(DoJ)가 중국 연계 해킹 그룹 'QTFY'의 공격과 관련해 앞서 발표한 보도자료를 수정했습니다. NASA, 연방준비제도, 에너지부, 법무부 등 주요 기관이 "피해자"가 아니라 "표적"이었다고 표현을 바로잡은 것으로, 실제 침해 여부는 일부에 한정된다는 의미입니다. QTFY는 중국 국가안전부(MSS)의 지원을 받는 것으로 알려진 민간 회사 소속 해킹 그룹으로, 취약점 스캐너(QScan)와 트래픽 은닉 네트워크(QTRouter)를 활용해 2018년부터 미국 정부·병원·통신사·전력사·금융기관·방산업체를 공격해 왔습니다. FBI는 관련 도메인을 압수해 악성 인프라를 무력화했으며, 보안 연구기관 Lumen Black Lotus Labs는 이 그룹이 IoT 기기(사물인터넷 장치)를 대량으로 감염시켜 공격 출처를 숨기는 분산형 봇넷(악성 좀비 네트워크)을 산업적 규모로 운영 중임을 밝혔습니다.
중국 국가안전부 연계 해킹 그룹 QTFY(일명 QT AND QTCYBER)가 2018년부터 미국 연방기관·병원·통신사·전력사·금융기관·방산업체를 대상으로 사이버 첩보 활동을 벌여왔음이 미국 DoJ 기소 및 도메인 압수를 통해 공개됐다.
NASA·연방준비제도·에너지부·법무부 등 광범위한 기관이 표적이 됐으며, 일부는 실제로 침해됐다. IoT 기기 기반 ORB 봇넷을 통해 공격 원점이 은닉되어 탐지가 어렵고, QTFY 인프라를 제3자에게도 판매해 피해 범위가 확산될 수 있다.
CVE-2019-11510(Pulse Secure VPN 치명적 취약점) 등 알려진 취약점 악용, IoT 기기 대량 감염, 상용 프록시 서비스와 임대 VPS를 혼합한 'Fast Labyrinth' 암호화 릴레이 네트워크 운영으로 합법 트래픽에 악성 트래픽을 은닉.
FBI가 QScan·QTRouter 관련 도메인(qtproxy[.]xyz, qt-proxy[.]org, qt-team[.]com)을 압수해 악성 기능을 무력화했고, Lumen Black Lotus Labs가 ORB 네트워크 구조를 상세 분석·공개했다.
Pulse Secure VPN 등 오래된 취약점(CVE-2019-11510)이 여전히 국가 지원 공격에 활용되므로 레거시 VPN·네트워크 장비의 패치 상태를 즉시 점검해야 한다. 아울러 QTRouter 방식의 ORB 네트워크는 기존 IP 차단 방어를 우회하므로 행위 기반 탐지와 IoT 기기 보안 모니터링 강화가 필요하다.
본문
Ravie Lakshmanan 2026년 8월 31일 · 사이버 첩보 / IoT 봇넷
미국 법무부(DoJ)는 금요일, 이전에 발표한 보도자료에서 여러 정부 기관이 중국 위협 행위자의 공격 "피해자"라고 밝혔던 내용을 수정해, 해당 기관들이 공격의 "표적"에 포함됐다는 표현으로 바로잡았다.
지난주 DoJ는 NASA(미국 항공우주국), 연방준비제도(Federal Reserve), 에너지부(Department of Energy), 법무부(Department of Justice), 보건복지부(Department of Health and Human Services), 국립보건원(National Institutes of Health), 미국 상원(U.S. Senate) 등이 중화인민공화국(PRC) 연계 국가 지원 그룹 QTFY가 주도한 "컴퓨터 침입 활동"의 피해자라고 발표했다.
새롭게 수정된 성명에서는 앞서 언급된 기관들이 "QTFY의 표적 중 하나"로 표기됐다. 이 수정 내용은 주말 사이 로이터(Reuters)가 보도했다.
DoJ는 각주를 통해 "이 보도자료가 도메인 압수를 지지하는 선서 진술서(affidavit)의 정부 주장을 정확히 반영하도록 편집이 이루어졌다"고 밝혔다.
선서 진술서에 따르면, QTFY(일명 QT AND QTCYBER)는 난징신지우웨이네트워크기술(Nanjing Xinjiuwei Network Technology Co)이라는 중국 민간 회사 소속으로 활동하며, 국가안전부(MSS)로부터 지급된 대금은 이 회사가 베이징을 대신해 악성 사이버 활동을 수행하고 있음을 시사한다.
이 위협 행위자는 2018년부터 활동해온 것으로 추정된다. 이 조직과 연결된 인프라는 미국 내외의 주요 민감 네트워크 침해에 활용됐다. 미국 연방정부 네트워크 외에도 병원·통신사·전력사·금융기관·방산업체를 집중 표적으로 삼았다.
QTFY는 기술적 지원 조직(technical quartermaster)으로 묘사되며, 중국의 사이버 첩보 활동을 지원하기 위해 정찰·프록시 관리·작전 라우팅 역량을 제공해왔다. 핵심 도구 두 가지는 취약점 스캔 및 익스플로잇 플랫폼인 QScan과 트래픽 난독화 네트워크인 QTRouter다.
2019년으로 거슬러 올라가는 한 사례에서, 이 위협 행위자는 Pulse Secure VPN에 영향을 미치는 치명적 취약점인 CVE-2019-11510을 악용해 NASA에 침입하려 시도한 것으로 알려졌다.
표현 변경은 중요한 의미를 지닌다. 광범위한 조직들이 공격 대상이 됐지만, 실제로 침해된 곳은 그 중 일부에 불과하다는 점을 시사하기 때문이다.
미국 연방수사국(FBI)은 QScan 및 QTRouter와 연결된 도메인(qtproxy[.]xyz, qt-proxy[.]org, qt-team[.]com)을 압수해 해당 악성코드의 기능을 사실상 무력화했다.
Lumen Black Lotus Labs는 이 위협 행위자가 중국 연계 첩보 작전을 위해 ORB(Operational Relay Box, 운영 중계 박스) 네트워크 생성을 산업적 규모로 자동화했다고 밝혔다. 감염된 IoT 기기와 임대 VPS(가상 사설 서버)로 구성된 분산형 봇넷을 통해 악성 활동의 실제 출처를 은닉하는 구조다.
QTFY는 QScan과 QTRouter에 대한 접근권을 다른 행위자에게 판매해, 취약한 IoT 기기를 식별·악용할 수 있도록 한다. 이를 통해 QTFY 자체 행위자와 고객 모두가 해당 기기를 QTRouter의 봇넷 노드로 편입시킬 수 있다.
이 네트워크는 중국 상업용 프록시 서비스 fastlink[.]ws가 운영하는 노드도 포함한다. 전체 아키텍처는 악성 트래픽을 정상 네트워크 활동에 섞어 은닉하는 암호화 릴레이 네트워크인 'Fast Labyrinth'를 뒷받침한다.
선서 진술서는 "QScan에 의해 감염된 피해자 인근 IoT 기기를 통해 악성 인터넷 트래픽을 라우팅함으로써, 이 중국 해커들은 합법적인 사용자인 것처럼 위장해 주요 인프라 및 기타 표적을 스캔·공격할 때 탐지를 피할 수 있다"고 주장했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
