미국 법무부와 유럽 국가들, CrowdStrike 등 민간 기업이 협력해 2003년부터 활동해 온 악성코드 봇넷(악성 소프트웨어에 감염된 컴퓨터들의 집합) 'Sality'를 성공적으로 차단했습니다. Sality는 P2P(피어투피어) 방식으로 운영돼 기존 서버 차단 방식이 통하지 않던 악성코드로, 전 세계 1만 5,000대 이상의 컴퓨터를 감염시켜 암호화폐 탈취, 스팸 발송, DDoS(분산 서비스 거부) 공격 등에 악용됐습니다. 당국은 Sality의 P2P 네트워크 구조 자체를 역이용해 감염된 컴퓨터들이 공격자의 명령을 받지 못하도록 격리하는 방식으로 봇넷을 무력화했습니다. 현재 모든 감염 기기는 CrowdStrike가 운영하는 싱크홀(sinkhole, 악성 트래픽을 흡수해 무력화하는 서버)로 연결되도록 설정됐습니다. 단, 이미 감염된 기기에 남아 있는 악성코드는 여전히 수동으로 제거해야 합니다.
미국·불가리아·헝가리·루마니아 당국과 CrowdStrike, Shadowserver Foundation이 2026년 8월 31일 공동 작전을 통해 2003년부터 활동해 온 P2P 봇넷 Sality를 차단했다. Sality는 러시아 바시코르토스탄 공화국 소재로 추정되는 위협 행위자 'Salty Spider'가 운영해 왔다.
전 세계 1만 5,000대 이상의 Windows 기기가 감염됐으며, EggJagger 클리퍼 악성코드를 통해 최소 15만 달러 상당의 암호화폐가 탈취됐다. 또한 우크라이나 침공 다음 날 우크라이나 포럼을 대상으로 한 DDoS 공격 등 정치적 목적의 공격에도 봇넷이 사용됐다.
Sality는 P2P 네트워크 구조를 사용해 단일 C2 서버를 차단해도 계속 작동할 수 있었으며, 인증·암호화 신원 확인·허용 목록 없이 P2P 네트워크에 누구든 참여 가능한 구조적 취약점을 가지고 있었다.
당국은 '피어 목록 조작(peer list manipulation)' 기법으로 Sality의 P2P 네트워크를 역이용해 감염 기기들을 공격자로부터 격리하고 싱크홀 노드로 연결했다. 또한 Sality 페이로드를 호스팅하던 도메인과 URL도 압수·차단했다.
조직의 네트워크 로그와 엔드포인트 텔레메트리에서 IP 주소 '188.166.101[.]148'으로의 UDP 트래픽을 확인해야 하며, 해당 트래픽이 발견되면 Sality 감염을 의미하므로 즉시 악성코드 제거 조치가 필요하다.
본문
미국 법무부(DoJ)는 화요일, 피어투피어(P2P) 방식으로 운영되던 장기 활동 봇넷 Sality에 대한 테이크다운(차단 작전)을 발표했다.
이번 작전은 2026년 8월 31일, 미국·불가리아·헝가리·루마니아 당국이 민간 산업 파트너인 CrowdStrike 및 Shadowserver Foundation과 협력해 수행했다. P2P 싱크홀(sinkhole, 악성 트래픽을 흡수해 무력화하는 서버) 작전을 통해 위협을 제거했으며, 동시에 Sality와 연계된 도메인이 미국과 유럽에서 압수됐다.
"사이버 범죄자, 봇넷, 악성코드는 우리 국가 안보와 경제에 명백하고 현존하는 위협입니다"라고 Bill Essayli 미국 연방검사 직무대행은 말했다. "Sality 봇넷 차단에 성공한 이번 노력은 공공과 민간 부문이 협력하면 강력한 선의의 힘이 될 수 있음을 보여줍니다."
Sality는 2003년부터 야생(실제 환경)에서 문서화된 악성코드로, Windows 실행 파일을 감염시키고 변조하는 기능을 갖추고 있으며, 자격 증명 탈취·스팸 배포·프록시 서비스·네트워크 악용·DDoS(분산 서비스 거부) 공격을 위한 추가 악성 소프트웨어를 유포한다.
이 악성코드는 사이버보안 커뮤니티에서 Salty Spider, Kukacka, Sality, KuKu, SalLoad, Kookoo, SaliCode 등의 이름으로 추적되는 위협 행위자의 작품이다. 해당 그룹은 러시아 바시코르토스탄 공화국에서 활동하는 것으로 추정된다.
수년간 이 Windows 악성코드의 여러 변종은 P2P 네트워크를 통해 통신하는 기능을 갖추게 됐으며, 이를 통해 기존의 C2(명령 및 제어) 서버 차단 전술을 우회할 수 있었다.
Sality를 통해 배포되는 주요 페이로드 중 하나는 EggJagger로, 기기의 클립보드에서 암호화폐 지갑 주소를 지속적으로 모니터링하고 이를 위협 행위자가 제어하는 주소로 몰래 바꿔치기해 거래를 가로채는 클리퍼(clipjacking) 도구다. 위협 행위자들은 이 방법으로 최소 15만 달러를 탈취한 것으로 추정된다.
Sality의 운영은 주로 금전적 이익을 목적으로 하지만, CrowdStrike에 따르면 이 악성코드는 세 차례의 주목할 만한 DDoS 공격 캠페인에도 사용됐으며, 위협 행위자가 개인적 또는 정치적 목적으로 봇넷을 전용할 의향이 있음을 보여준다. 공격 대상은 다음과 같다:
- 2016년 4월, 아랍 금융 포럼("forex2030[.]com")
- 2022년 2월, 러시아의 우크라이나 전면 침공 하루 뒤 우크라이나 포럼("kharkovforum[.]com")
- 2023년 9월, AvanChange
Sality는 감염된 네트워크 공유, USB 기기, 파일 공유, 침해된 웹사이트, 이메일 첨부 파일, P2P 네트워크 등 다양한 방법으로 유포되며, 위협 행위자의 능동적인 노력 없이도 새로운 감염을 재생산하는 자가 전파형 봇넷을 효과적으로 구성했다.
2022년 7월, 운영 기술(OT) 사이버보안 회사 Dragos는 산업 엔지니어 및 운영자를 대상으로 PLC(프로그래머블 로직 컨트롤러)를 장악하고 해당 기기를 Sality 봇넷에 편입시키는 캠페인을 공개했다.
CrowdStrike에 따르면, 이 봇넷은 운영자가 전 세계 1만 5,000대 이상의 감염 기기에 악성 페이로드를 배포할 수 있게 해주었으며, 버전 3과 버전 4로 알려진 두 개의 독립적인 P2P 네트워크가 차단 작전 이전까지 활성 상태를 유지했다.
"두 네트워크는 동일한 코드베이스를 공유하고 같은 위협 행위자가 운영했지만, 호환되지 않는 프로토콜 버전과 서로 다른 암호화 키를 사용했습니다"라고 CrowdStrike Counter Adversary Operations 팀은 밝혔다.
테이크다운 작전은 Sality의 P2P 아키텍처를 역이용해 네트워크의 모든 피어(peer)를 위협 행위자의 통제로부터 격리하고, 감염 기기와 통신하는 능력을 무력화하는 방식으로 이루어졌다. 이를 통해 페이로드 다운로드 지시나 페이로드 전송을 수신하지 못하게 해 봇넷을 무력화했다.
"Sality를 탄력적으로 만들었던 바로 그 속성이 스스로의 몰락을 위한 조건을 만들었습니다"라고 CrowdStrike는 설명했다. "Sality의 P2P 프로토콜은 패치될 수 없습니다. C2 서버에서 코드 업데이트를 받을 수 있는 일반적인 악성코드와 달리, Sality의 전파 메커니즘은 파일 감염기(file infector)입니다. 즉, 디스크의 실행 파일에 자신을 첨부하는 방식으로 전파됩니다."
반격은 **피어 목록 조작(peer list manipulation)**이라는 기법을 활용했으며, 이 기법은 2014년 GameOver Zeus 및 2017년 Kelihos 봇넷 차단 작전에서도 사용된 바 있다. 이 기법은 Sality 봇이 누가 네트워크에 추가됐는지 확인하지 않고 P2P 네트워크를 맹목적으로 신뢰한다는 점을 이용했다.
기기가 공개적으로 접근 가능하고 P2P 핸드셰이크에 올바르게 응답하는 한, 합법적인 피어로 수락됐다. 인증, 암호화 신원 확인, 허용 목록이 없다는 사실은 "누구든" 실제 감염 호스트와 구별할 수 없는 완전한 참여자로 네트워크에 참여할 수 있었음을 의미했다.
피어 목록 조작 기법은 이름에서 알 수 있듯이, 슈퍼 피어(super peer)라고 불리는 공개 접근 가능한 감염 기기들로 구성된 P2P 네트워크의 기반이 되는 유한한 알려진 슈퍼 피어 집합을 담은 데이터 구조인 피어 목록을 변조하는 방식이다. 봇넷은 40분마다 저장된 피어가 여전히 온라인 상태인지 확인한다. 확인에 응답한 피어는 평판이 쌓이고, 응답하지 않은 피어는 평판이 낮아져 결국 제거된다.
이 유지 관리 주기를 악용해, 피어 검증 중 프로토콜 수준의 조작을 통해 합법적인 피어를 네트워크에서 제거하고 비워진 피어 목록에 목적에 맞게 구축된 싱크홀 항목을 삽입한다.
"차단 작전은 슈퍼 피어를 먼저 대상으로 합니다. 슈퍼 피어가 네트워크의 통신 중추를 형성하기 때문입니다"라고 CrowdStrike는 말했다. "일단 격리되면 URL 팩과 파일 팩 모두 전파가 중단됩니다. 감염 기기의 대다수는 방화벽이나 NAT(네트워크 주소 변환) 뒤에 있어 직접 접촉할 수 없습니다."
이러한 기기에는 보다 수동적인 접근 방식이 채택된다. 정상적인 유지 관리 주기 중 싱크홀 노드에 접속하면, 해당 기기의 피어 목록이 지워지고 영구적으로 격리된다.
P2P 네트워크 싱크홀 외에도, 이번 공조 작전은 Sality 페이로드를 호스팅하는 것으로 확인된 URL도 차단했다. 이를 통해 악성코드가 해당 파일을 다운로드하고 추가 페이로드를 가져오는 것을 방지한다. URL 목록은 아래와 같다:
- theunforgiven.p8[.]hu/img/top.gif
- painelwebradiodigital.awardspace[.]info/v3/readme.pdf
- sgwebdesigner.free[.]fr/left.gif
- www.yonelco[.]com/icon.png
- pozdravizbeograda[.]com/readme.pdf
- highclass.atspace[.]com/styles.gif
- situluimihai.3x[.]ro/top.png
- gatheredovertime[.]com/nb4
- imagebucket[.]biz/nv4
현재 Sality에 감염된 모든 기기는 CrowdStrike가 운영하는 싱크홀로 비콘(beacon) 신호를 보내도록 설정됐다. 조직들은 네트워크 로그와 엔드포인트 텔레메트리에서 "lighthouse" IP 주소 "188.166.101[.]148"로의 UDP 트래픽을 검토할 것을 권고받고 있다. 해당 트래픽이 발견되면 Sality 감염을 의미하며 즉각적인 조치가 필요하다.
"이번 작전은 P2P 아키텍처가 오랫동안 차단에 대한 방패로 여겨져 왔지만 무적이 아님을 입증합니다"라고 CrowdStrike는 말했다. "충분한 기술적 투자, 프로토콜 동작에 대한 정밀한 이해, 그리고 법 집행 기관 및 산업 파트너와의 협조를 통해, 가장 탄력적인 범죄 인프라도 해체할 수 있습니다."
"이번 차단으로 감염 기기에 새로운 페이로드가 도달하는 것은 방지됐지만, 해당 시스템에 이미 설치된 기존 악성코드는 여전히 활성 상태이므로 제거해야 합니다."
이번 공동 단속은 도널드 트럼프 대통령의 미국 사이버 전략의 핵심 기반 중 하나입니다. "적대 행위자 행동 형성(Shape Adversary Behavior)"으로 불리는 이 전략은 악성 네트워크를 식별·차단하고, 국가 역량을 강화하며, 위협 행위자의 도구와 인프라를 약화시켜 그들의 계산을 바꾸는 것을 목표로 한다.
"국제 법 집행 기관과 민간 부문 파트너 간의 이 독보적인 협력은 FBI의 사이버보안 역량과 Sality 봇넷이 야기하는 위협을 무력화하려는 노력을 더욱 강화시켜 줍니다"라고 FBI 로스앤젤레스 현장 사무소 책임 부국장 Patrick Grandy가 말했다.
"FBI는 미국 내 피해자들에 대한 추가적인 사이버 공격과 절도를 방지하기 위해 파트너들과 계속 협력할 것입니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
