23년간 운영된 Sality 봇넷(악성코드에 감염된 컴퓨터들로 구성된 네트워크)이 국제 법집행기관과 CrowdStrike, Shadowserver Foundation의 공동 작전으로 완전히 차단됐습니다. Sality는 2003년 처음 등장해 전 세계 1만 5,000대 이상의 기기를 감염시켰으며, 최근 8년간은 클립보드 가로채기 수법으로 암호화폐 주소를 몰래 바꿔치기하는 'EggJagger' 악성코드를 주로 배포해 운영자가 최소 15만 달러를 가로챈 것으로 추정됩니다. 이번 작전은 봇넷의 P2P(컴퓨터끼리 직접 연결되는 분산형) 구조의 핵심인 '슈퍼 피어 목록'을 연구진이 장악해 정상 서버를 싱크홀(방어자가 통제하는 서버)로 교체하는 방식으로 진행됐습니다. 미국·불가리아·헝가리·루마니아 수사기관은 Sality의 악성코드 배포에 사용된 도메인도 압수했습니다. Shadowserver Foundation은 현재 감염 기기 소유자에게 피해 사실을 알리는 통보 작업을 진행 중입니다.
2003년부터 운영된 Sality P2P 봇넷이 국제 공조 작전을 통해 완전히 무력화됐다. 전 세계 1만 5,000대 이상을 감염시켰으며, 클립보드 하이재킹·DDoS·자격증명 탈취 등 다양한 공격에 악용됐다.
운영자는 클립보드 하이재킹(EggJagger)만으로 최소 15만 달러를 탈취했고, 2022년 러시아의 우크라이나 침공 직후 우크라이나 포럼 DDoS 공격 등에도 동원됐다. 감염 기기들은 새로운 명령 및 악성코드를 수신할 수 없게 됐다.
Sality는 실행 파일에 붙어 네트워크 공유, USB, 파일 공유 네트워크를 통해 전파되는 파일 감염형 바이러스로 시작해, 수십 년에 걸쳐 P2P 봇넷으로 발전했다.
CrowdStrike의 Counter Adversary Operations팀이 싱크홀 작전을 통해 P2P 슈퍼 피어 목록을 교체하고 봇을 격리했다. 미국·불가리아·헝가리·루마니아 당국이 관련 도메인을 압수했으며, Shadowserver Foundation이 ISP 및 CERT와 협력해 감염 기기 소유자에게 통보하고 있다.
P2P 아키텍처가 봇넷 차단을 어렵게 만든다고 알려져 있었으나, 프로토콜 구조를 정밀 분석하고 법집행기관·민간이 협력하면 해체 가능함이 입증됐다. 감염 여부를 확인하고 파일 감염형 악성코드 차단을 위해 엔드포인트 보안 솔루션을 최신 상태로 유지해야 한다.
본문
Sality는 23년간 운영되며 전 세계 1만 5,000대 이상의 기기를 감염시킨 P2P(피어 투 피어) 봇넷으로, 국제 법집행기관이 CrowdStrike 및 Shadowserver Foundation과 협력한 공동 작전을 통해 마침내 차단됐다.
이번 작전으로 Sality 운영자는 자신이 통제하던 모든 감염 기기로부터 완전히 차단됐다.
Sality는 2003년 파일 감염형 바이러스로 처음 등장했다. 실행 파일에 자신을 첨부한 뒤, 감염된 파일이 네트워크 공유, USB 드라이브, 파일 공유 네트워크를 통해 복사될 때마다 퍼지는 방식이었다. 운영자는 시간이 지나면서 이를 버전 3과 버전 4로 불리는 두 개의 별도 P2P 네트워크로 발전시켰다. 두 네트워크는 코드를 공유하면서도 호환되지 않는 프로토콜과 서로 다른 암호화 키를 사용해 운영됐다.
CrowdStrike는 이번 차단 작전에 관한 기술 보고서에서 "Sality는 역사 전반에 걸쳐 자격증명 탈취, 스팸 배포, 프록시 서비스, 네트워크 악용, DDoS(분산 서비스 거부) 공격 등 다양한 악성코드 패밀리를 배포했다"고 밝혔다.
지난 8년간 Sality가 주로 배포한 페이로드(악성 실행 코드)는 EggJagger라는 클립보드 하이재커였다. 이 악성코드는 감염 기기에서 클립보드에 복사된 암호화폐 지갑 주소를 감시하다가, 아무런 알림이나 경고 없이 운영자가 통제하는 주소로 몰래 바꿔치기한다.
연구진은 "피해자가 비트코인이나 이더리움 주소를 복사해 결제하려 하면, 자금이 다른 곳으로 빠져나간다"고 설명했다.
CrowdStrike는 운영자가 이 수법만으로 최소 15만 달러를 가로챈 것으로 추정하고 있다.
Sality는 수익 창출에만 활용된 것이 아니었다. CrowdStrike는 이 봇넷을 통해 감행된 DDoS 캠페인을 세 차례 기록했다. 여기에는 러시아의 침공이 시작된 다음 날인 2022년 2월 25일 우크라이나 웹 포럼을 대상으로 한 공격, 그리고 2023년 거래상의 개인적 분쟁에서 비롯된 것으로 보이는 러시아 암호화폐 거래소 공격이 포함됐다.
Sality 싱크홀 작전, 봇넷의 핵심 인프라를 겨냥하다
이번 차단 작전의 핵심은 CrowdStrike의 Counter Adversary Operations팀이 월요일에 실행한 싱크홀 작전이었다. 팀은 국제 법집행기관 및 업계 파트너들과 협력해 Sality의 P2P 네트워크를 교란했다.
CrowdStrike는 "실제로 이번 작전은 모든 봇의 네트워크 인식 구조의 핵심인 피어 목록을 표적으로 삼았다"고 밝혔다.
모든 Sality 봇은 슈퍼 피어 목록을 유지한다. 슈퍼 피어란 P2P 네트워크의 중추를 이루는, 외부에서 접근 가능한 감염 기기들이다. 봇은 40분마다 저장된 피어들이 여전히 온라인 상태인지 확인한다. 연구진은 이 과정을 역이용해 정상 슈퍼 피어를 무효화하고, 방어자가 통제하는 싱크홀로 교체했다.
정상 피어로부터 격리된 봇들은 더 이상 운영자로부터 새 명령이나 악성 페이로드를 수신할 수 없게 됐다.
감염 기기 대부분은 방화벽이나 NAT(네트워크 주소 변환) 뒤에 위치해 직접 접근이 불가능했기 때문에, 연구진은 봇들이 정기적인 유지 보수 주기 동안 싱크홀에 스스로 접속하기를 기다렸다. 이후 저장된 정상 피어 항목을 삭제해 봇들을 운영자 네트워크로부터 영구적으로 격리했다.
CrowdStrike는 "이번 작전은 오랫동안 차단을 방해하는 방패로 여겨져 온 P2P 아키텍처가 난공불락이 아님을 보여준다. 충분한 기술적 투자, 프로토콜 동작에 대한 정밀한 이해, 법집행기관과 업계 파트너들의 협력이 갖춰지면 가장 견고한 범죄 인프라도 해체할 수 있다"고 덧붙였다.
미국·불가리아·헝가리·루마니아 수사기관은 Sality의 페이로드 파일을 호스팅하던 도메인도 압수했다. 이로써 전환 과정에서 봇이 새 악성코드를 내려받는 데 사용할 수 있었던 마지막 경로도 차단됐다.
Shadowserver Foundation은 현재 인터넷 서비스 제공업체(ISP) 및 국가 컴퓨터 보안 대응팀(CERT)과 협력해 감염 기기를 파악하고 소유자에게 피해 사실을 통보하고 있다.
미국 수석 연방검사보 Bill Essayli는 "사이버 범죄자, 봇넷, 악성코드는 우리 국가의 안보와 경제에 명백하고 현존하는 위협"이라며, "Sality 봇넷 차단에 성공한 이번 사례는 공공·민간 부문이 협력하면 강력한 선의의 힘이 될 수 있음을 보여준다"고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
