미국 법무부(DoJ)가 수십만 건의 DDoS(분산 서비스 거부) 공격에 사용된 불법 서비스 'NightmareStresser'의 도메인 2개를 압수했습니다. NightmareStresser는 겉으로는 '서버 부하 테스트 도구'를 표방했지만, 실제로는 돈을 받고 원하는 대상에게 DDoS 공격을 대신 해주는 '부터(booter)' 서비스였습니다. 2022년부터 전 세계 교육기관·정부기관·게임 플랫폼 등을 대상으로 수십만 건의 공격에 활용됐으며, 가입자만 56만 6천 명이 넘을 정도로 규모가 컸습니다. 이번 조치는 전 세계 DDoS 범죄 인프라를 해체하기 위한 국제 공조 작전 'Operation PowerOFF'의 일환으로, FBI·캐나다 기마경찰(RCMP) 등이 참여했습니다. 지금까지 이 작전을 통해 100개 이상의 도메인이 압수되고 12명이 기소됐습니다.
미국 법무부와 FBI가 DDoS 대행 서비스 NightmareStresser의 도메인(nightmare-stresser[.]com, nightmarestresser[.]org)을 법원 영장을 통해 압수했다. 2022년부터 전 세계 수십만 건의 DDoS 공격에 사용된 플랫폼이다.
교육기관, 정부기관, 게임 플랫폼 등 광범위한 피해자가 발생했으며, 일반 인터넷 연결까지 완전히 마비시킬 수 있는 공격 능력을 갖추고 있었다. 가입자 56만 6천여 명, 서버 52개 규모였다.
합법적인 '서버 스트레스 테스트 도구'로 위장해 운영됐으며, 암호화폐 결제와 추천인 제도를 활용해 익명성을 유지하며 수익을 창출했다. Layer 4·Layer 7 공격 방식과 CAPTCHA·지역 차단 우회 기능을 제공했다.
Operation PowerOFF 국제 공조 작전의 일환으로 도메인 압수 조치가 이루어졌다. 지금까지 총 100개 이상의 도메인이 압수되고 12명이 기소됐으며, 공개 교육 캠페인도 병행됐다.
DDoS 공격은 여전히 저렴하고 손쉽게 구매 가능한 서비스로 유통된다. 기업은 DDoS 방어 솔루션을 점검하고, 자사 IP·도메인이 이런 부터 서비스의 표적이 될 가능성에 대비해 트래픽 이상 탐지 체계를 갖춰야 한다.
본문
Ravie Lakshmanan 2026년 9월 17일 | 사이버범죄 / DDoS 대행 서비스
미국 법무부(DoJ)는 화요일, 'NightmareStresser'로 알려진 DDoS(분산 서비스 거부) 대행 서비스와 연관된 인터넷 도메인을 법원의 허가를 받아 압수했다고 발표했다.
압수된 도메인은 nightmare-stresser[.]com과 nightmarestresser[.]org이다. 해당 사이트에 접속하면 이제 다음과 같은 압수 공지가 표시된다.
"이 도메인은 알래스카 연방지방법원이 발부한 압수 영장(18 U.S.C. §§ 981(a)(1)(A) 및 (b), 982(b)(1), 1030(i)(1)(A); 21 U.S.C. § 853)에 따라 국제 공동 법 집행 작전의 일환으로 연방수사국(FBI)에 의해 압수되었습니다. 참여 기관: 알래스카 연방 검사실, FBI 앵커리지 지부, 캐나다 기마경찰(RCMP)."
법무부는 이러한 '부터(booter)' 서비스가 일반적으로 서버 부하 테스트 도구로 홍보되지만, 실제로는 미국 내외 광범위한 피해자들을 표적으로 한 공격을 촉진하는 데 사용됐다고 밝혔다. 표적 분야에는 교육기관, 정부기관, 게임 플랫폼, 그리고 수백만 명의 일반 사용자가 포함된다.
"표적 피해자에게 직접적인 피해를 입히는 것 외에도, 이러한 공격은 인터넷 서비스를 심각하게 저하시키고 인터넷 연결을 완전히 마비시킬 수 있습니다"라고 법무부는 성명에서 밝혔다.
NightmareStresser는 2022년부터 전 세계 피해자들을 대상으로 수십만 건의 실제 또는 시도된 DDoS 공격을 감행하는 데 사용된 것으로 평가된다. 인터넷 아카이브(Internet Archive)가 수집한 스냅샷에 따르면, "nightmarestresser[.]org" 도메인은 BlazingFast라는 웹 인프라 제공업체의 DDoS 방어 서비스로 보호되고 있었다.
2023년 말 Searchlight Cyber의 보고서에 따르면, NightmareStresser는 56만 6천 명 이상의 등록 사용자와 52개의 서버를 보유하고 있었으며, 공격자가 표적으로 삼을 IP 주소나 URL, 포트 번호를 선택하고 동시 공격 수를 설정할 수 있는 패널을 갖추고 있었다.
현재 폐쇄된 NightmareStresser 웹사이트는 스스로를 "8년 이상 24시간 365일 논스톱으로 운영되는 유일한 DDoS 도구"라고 주장했다. 아이러니하게도, 해당 사이트는 "8년간의 끊임없는 운영 동안 NightmareStresser는 단 한 번도 다운된 적이 없습니다. 사라진 적도 없고, 약속을 어긴 적도 없습니다. 오직 강력하고 일관된 지배력으로 밤낮없이 운영됩니다"라고 선언하기도 했다.
또한 NightmareStresser는 암호화폐 결제를 허용하고, 사용자가 자신의 추천 링크를 통해 다른 사람이 사이트를 방문하면 즉각적인 구매 여부와 무관하게 크레딧을 받을 수 있는 "고급 추천인 시스템"을 운영했다. "추천된 사용자는 영구적으로 귀하의 계정에 연결되며, 그들이 향후 갱신하거나 구매할 때마다 크레딧을 적립할 수 있습니다"라고 사이트는 안내했다.
플랫폼이 제공한 서비스에는 고급 Layer 4 증폭 기법과 UDP/TCP 기반 Layer 4 및 Layer 7에 대한 다양한 우회 기법이 포함됐으며, CAPTCHA, 지역 차단(geoblock), 속도 제한(rate limit)을 무력화할 수 있다고 주장했다. 또 다른 기능으로는 Layer 4 또는 Layer 7의 모든 플러드(flood) 공격을 일괄 중단할 수 있는 "전체 중지(Stop All)" 버튼이 있었다.
"Layer 4, Layer 7, 또는 두 가지 모두에서 활성화된 플러드 수와 관계없이, 클릭 한 번으로 즉시 모두 중단할 수 있습니다. 검색도, 지연도, 혼란도 없습니다. 필요한 순간에 딱 하나의 버튼만 누르면 됩니다"라고 NightmareStresser의 기능을 홍보하는 웹 페이지는 소개했다.
이번 도메인 압수는 전 세계 DDoS 대행 범죄 인프라를 해체하기 위한 국제 공조 법 집행 작전인 'Operation PowerOFF'의 일환이다. 2022년 12월에는 NightmareStresser와 연결된 또 다른 도메인("nightmarestresser[.]com")이 법무부가 압수한 48개 도메인 중 하나였다.
올해 4월에는 유사한 작전을 통해 53개의 도메인이 폐쇄되고, 7만 5천 명 이상의 사이버 범죄자들이 이용한 여러 상업적 DDoS 대행 서비스와 관련하여 4명이 체포됐다.
이러한 법 집행 조치를 통해 지금까지 DDoS 대행 서비스를 운영한 12명이 기소됐으며, 100개 이상의 관련 인터넷 도메인이 압수됐다.
"오늘 발표된 다각적 수사는 알려진 모든 부터 사이트를 표적으로 삼아 최대한 많은 사이트를 폐쇄하고, 공개 교육 캠페인을 진행함으로써 이전 사건들의 성과를 이어나갑니다"라고 법무부는 밝혔다.
