봇넷이란 — 남의 공유기 수천 대가 공격자의 주소가 되는 방식

봇넷은 악성코드에 감염된 기기들을 공격자가 원격으로 한꺼번에 조종하는 네트워크다.

이름은 로봇(bot)과 네트워크(network)를 합친 말이다.

그런데 이 설명에서 가장 자주 빠지는 것이 하나 있다. 감염된 기기는 대개 공격의 목표가 아니다.

1. 구조 — 세 층으로 되어 있다

감염된 기기 하나하나를 봇 또는 좀비라고 부른다. 이들은 스스로 판단하지 않는다. 정해진 주소로 접속해 다음 명령을 받아야만 움직인다.

이 의존성이 봇넷의 힘이자 약점이다. 뒤에서 다시 나온다.

2. 왜 남의 기기를 쓰나 — 훔치기 전에 숨기

공격자가 노리는 것은 감염된 공유기 안의 자료가 아니다. 그 공유기의 주소다.

공격이 어느 나라에서 출발했든, 제3국 기기 수천 대를 거쳐 도착하면 로그에는 그 기기들의 주소만 남는다.

실제로 미 법무부는 8월 26일 압수한 QScan·QTRouter 봇넷의 목적을 난독화 네트워크로 규정했다. 공격자의 트래픽을 감춰 탐지를 어렵게 만드는 것이 이 봇넷의 존재 이유였다는 뜻이다.

봇넷은 훔치는 도구이기 이전에 숨는 도구다.

물론 다른 용도도 있다.

목록을 보면 공통점이 보인다. 대부분 '여러 주소에서 나눠서' 하는 일이다.

3. 왜 하필 공유기인가

세 조건이 동시에 맞는 기기가 흔치 않다.

노트북은 꺼지고, 백신이 돌고, 느려지면 사용자가 이상을 느낀다.

공유기는 몇 년씩 전원이 꽂힌 채 돌아간다. 펌웨어는 구입 당시 버전 그대로인 경우가 많다. 그리고 인터넷이 느려지면 사람들은 통신사를 탓하지 감염을 의심하지 않는다.

여기에 두 가지가 더해진다.

• 초기 비밀번호를 바꾸지 않은 기기 — 모델별 기본 비밀번호는 인터넷에 목록으로 돌아다닌다.
• 원격 관리 기능이 인터넷 쪽으로 열린 기기 — 편의를 위해 켜둔 기능이 그대로 입구가 된다.

같은 이유로 IP 카메라, 네트워크 저장장치(NAS), 공유 프린터도 표적이 된다. 이런 기기들을 묶어 사물인터넷 봇넷이라고 부른다.

4. 도메인을 뺏으면 왜 멈추나

8월 26일 미 법무부는 서버가 아니라 도메인을 압수했다. 중국에 있는 물리적 서버를 미국 법원이 가져올 수는 없다.

그런데도 법무부는 봇넷이 작동 불능이 됐다고 밝혔다. 근거는 한 문장이었다 — 해당 도메인이 봇넷 코드 안에 하드코딩돼 있었다.

감염 자체는 그대로 남는다. 하지만 지시가 끊기면 그 기기들은 아무 일도 하지 못한다.

그런데 이 방법이 항상 통하지는 않는다

봇넷 설계자들도 이 약점을 안다. 그래서 나온 대응이 있다.

이번 압수가 통했다는 것은 이 봇넷이 첫 번째 구조였다는 뜻이다.

5. 내 기기를 지키는 순서

감염을 확실히 진단하기는 어렵다. 잘 만든 봇넷은 성능에 티가 나지 않게 동작한다. 그래서 진단보다 예방이 훨씬 싸다.

5번이 실제로 가장 중요하다. 제조사가 보안 업데이트를 더 내지 않는 기기는, 새 취약점이 발견돼도 고칠 방법이 없는 상태로 계속 켜져 있게 된다.

흔히 말하는 감염 징후는 이유 없는 속도 저하, 바꾼 적 없는데 바뀐 DNS 주소, 관리자 페이지 접속 실패 정도다. 다만 이 증상들은 다른 원인으로도 생긴다.

6. 관련해서 이 지면이 다룬 것

• 「중국 국가배후 해커 플랫폼 압수 (8월 26일)」 — 이번 압수의 전말과 피해 기관
• 「제로데이란 — 패치가 없는 취약점이 가장 비싼 이유」 — 취약점이 사고팔리는 시장
• 「AI 반도체 수출통제란」 — 같은 대치의 다른 층위

7. 확인하지 못한 것

• 두 플랫폼의 역할 — QScan과 QTRouter의 기술적 구분을 원문으로 확인하지 못했다.
• 감염 규모 — 이번 사건의 정확한 감염 기기 대수를 확인하지 못했다.
• 설계 방식 — 도메인 생성 알고리즘이나 P2P가 이번 봇넷에 쓰였는지 확인하지 못했다. 해당 대목은 봇넷 일반의 설계 설명이다.
• 점검 항목의 출처 — 본문의 예방 목록은 통용되는 권고이며 특정 기관의 공식 지침을 인용한 것이 아니다.
• 국내 통계 — 국내 공유기 감염 규모는 이 지면에서 확인하지 않았다.