국제 법 집행 기관과 민간 보안 기업들이 20년 넘게 활동해 온 Sality 봇넷(악성코드에 감염된 컴퓨터들이 서로 연결된 네트워크)의 인프라를 합동 작전으로 해체했습니다. 이번 작전에는 미국 법무부(DOJ), FBI, 유럽의 Europol·Eurojust, 불가리아·헝가리·루마니아 당국, 그리고 민간 보안기업 CrowdStrike가 참여했습니다. Sality는 최소 2003년부터 활동해 왔으며, 최근 8년간 주로 암호화폐 지갑 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 유포하는 데 사용됐습니다. CrowdStrike는 봇넷의 통신 핵심 노드를 싱크홀링(sinkholing, 악성 트래픽을 무력화하는 기술) 처리해 감염 기기를 고립시켰습니다. 이번 작전으로 Sality 봇넷은 운영자의 통제권을 완전히 잃었습니다.
DOJ, FBI, Europol 등 국제 기관과 CrowdStrike가 20년 이상 운영된 Sality P2P 봇넷 인프라를 합동으로 해체하고 관련 도메인을 압수했다.
15,000대 이상의 감염 기기가 운영자로부터 격리됐으며, 봇넷은 그간 자격증명 탈취·스팸 발송·DDoS·클립보드 조작을 통한 암호화폐 절도 등 다양한 공격에 활용됐다.
러시아 바시코르토스탄 공화국에 근거지를 둔 것으로 추정되는 SALTY SPIDER 조직이 20년 넘게 Sality를 운영해 왔으며, 최근에는 EggJagger 악성코드를 통한 클립재킹(clipjacking) 공격이 주를 이뤘다.
미국·유럽 당국이 관련 도메인을 압수하고, CrowdStrike가 봇넷의 핵심 슈퍼피어(super peer) 노드를 싱크홀링해 페이로드 전파를 차단하고 감염 기기의 피어 목록을 삭제했다.
암호화폐를 다루는 기업 환경에서는 클립보드 하이재킹 공격에 대비해 복사·붙여넣기 시 지갑 주소를 반드시 육안으로 재확인하고, Sality 감염 여부 점검을 권장한다.
본문
국제 법 집행 기관과 민간 파트너들이 피어 투 피어(P2P) 봇넷을 교란·차단하기 위한 합동 작전의 일환으로 Sality 악성코드 인프라를 압수했다.
Europol 및 Eurojust의 지원을 받은 이번 작전에서 미국 법무부(DOJ), FBI, DCIS는 미국 내 Sality 연계 도메인을 압수했으며, 불가리아·헝가리·루마니아 당국은 유럽에 호스팅된 추가 Sality 연계 도메인을 압수했다.
CrowdStrike의 Counter Adversary Operations 팀도 국제 법 집행 기관 및 민간 산업 파트너들과 협력해 피어 투 피어 싱크홀 작전을 통해 봇넷의 통제 채널을 해체하고 감염 기기를 격리했다.
Sality 봇넷은 20년 넘게 활동해 왔으며, 처음 등장한 2003년 이후 15,000대 이상의 기기에 악성코드를 감염시켰다. CrowdStrike는 Sality가 자사가 'SALTY SPIDER'로 추적하는 범죄 집단에 의해 운영되고 있으며, 이 집단은 러시아 바시코르토스탄 공화국에 근거를 두고 있을 가능성이 높다고 밝혔다.
DOJ는 "Sality에 감염된 피해자 컴퓨터들은 피어 투 피어(P2P) 봇넷의 일부였으며, 이는 Sality 악성코드에 감염된 컴퓨터(각각 '봇')들이 연결된 네트워크로 Sality 운영자에 의해 제어됐다"고 설명했다.
CrowdStrike에 따르면, 이번 주 테이크다운이 이루어질 당시 여전히 활성 상태였던 두 개의 별도 Sality 봇넷 네트워크는 주로 클립재킹(clipjacking) 공격에서 EggJagger 악성코드 페이로드를 배포하는 데 사용됐다.
CrowdStrike는 "Sality는 그 역사 전반에 걸쳐 자격증명 탈취, 스팸 발송, 프록시 서비스, 네트워크 악용, 분산 서비스 거부(DDoS) 공격 등 다양한 악성코드 패밀리를 유포했다"며 "지난 8년간 주요 페이로드는 암호화폐 지갑 주소를 모니터링하다가 운영자가 제어하는 주소로 조용히 교체하는 클립재킹 도구인 EggJagger였다"고 밝혔다.
Sality 감염 기기 현황 (CrowdStrike)
P2P 봇넷은 통신 핵심 역할을 하는 슈퍼 피어(super peer) 목록을 싱크홀링해 파일 팩(직접 페이로드 전송)과 URL 팩(페이로드 다운로드 지시)의 전파를 차단하고 감염 기기의 피어 목록을 삭제함으로써 교란됐다.
CrowdStrike는 "20년 넘는 지속적인 운영 끝에 CrowdStrike는 국제 법 집행 기관 및 산업 파트너들과 함께 Sality 봇넷에 대한 성공적인 교란 작전을 수행했으며, 봇넷은 이제 더 이상 운영자의 통제하에 있지 않다"고 덧붙였다.
전 세계 법 집행 기관들은 국제 합동 작전의 일환으로 연초 이후 다수의 다른 사이버범죄 조직도 해체했다.
3월에는 미국과 유럽 당국이 민간 파트너들과 함께 SocksEscort 사이버범죄 프록시 네트워크를 교란하고 Aisuru, KimWolf, JackSkid, Mossad 봇넷에 사용된 명령 및 제어(C2) 인프라를 차단했다.
더 최근에는 네덜란드 당국이 5월에 1,700만 대 규모의 대규모 봇넷을 오프라인으로 전환했으며, FBI 주도의 작전이 중국 사이버 스파이 그룹이 사용하는 QScan 및 QTRouter 해킹 플랫폼을 교란했다.
