봇넷이란 무엇인가?
봇넷(botnet)은 악성코드로 감염된 여러 대의 컴퓨터가 하나의 네트워크로 연결되어, 봇넷 제작자인 봇 허더(bot herder)의 지배를 받는 시스템을 의미합니다. 봇 허더는 다수의 컴퓨터를 감염시켜 봇넷을 구축한 뒤, 이를 하나의 집단처럼 통제하여 대규모 사이버 공격, 스팸 발송, 피싱 캠페인 등을 수행합니다.
봇넷이라는 단어는 로봇(robot)과 네트워크(network)의 합성어입니다. 봇넷에 속한 컴퓨터는 봇(bot) 또는 좀비 컴퓨터(zombie computer)라고 불리며, 일부 봇넷은 수백에서 수천 대에 이르는 컴퓨터를 포함해 현재 가장 큰 온라인 위협 중 하나로 꼽힙니다.
봇넷은 어떻게 작동할까?
봇넷 내 모든 기기는 인터넷을 통해 봇 허더와 연결되며, 봇 허더는 이를 모두 통제해 다양한 사이버 범죄에 활용합니다. 컴퓨터와 라우터는 물론 스마트 TV, 스마트 온도조절기 같은 IoT(사물인터넷) 기기까지 거의 모든 인터넷 연결 기기가 봇넷의 일부가 될 수 있습니다. 실제로 2016년의 미라이(Mirai) 봇넷은 주로 IoT 기기를 표적으로 삼았습니다.
봇넷이 만들어지는 3단계 과정
해커가 봇넷을 만들고 활용하려면 감염, 확장, 활성화라는 세 단계의 공격 과정을 거쳐야 합니다.
피해자 감염: 봇 허더는 먼저 봇넷 악성코드를 피해자의 컴퓨터에 침투시켜야 합니다. 이 과정은 주로 악성코드나 소셜 엔지니어링 기법을 통해 이루어집니다.
해커는 무해한 것으로 위장한 트로이 목마 악성코드, 방문자를 공격하는 멀버타이징(악성 광고)이 심어진 웹사이트, 보안 취약점 악용, 또는 사용자가 직접 악성코드를 설치하도록 유도하는 피싱 공격 등 다양한 방법으로 피해자를 감염시킵니다.
봇넷 확장: 이미 봇넷에 편입된 좀비 컴퓨터는 추가 기기를 감염시키는 도구로 활용됩니다. 일부 봇넷 악성코드는 네트워크를 자동으로 스캔해 취약한 기기를 찾아 스스로 전파되기도 합니다.
특히 아직 보안 패치가 나오지 않은 제로데이(zero-day) 취약점을 이용할 경우 이러한 확산 속도는 더욱 빨라집니다.
봇넷 활성화: 봇넷이 충분한 규모에 도달하면 봇 허더는 감염된 모든 기기의 결합된 성능을 활용해 파괴적인 DDoS 공격부터 암호화폐 채굴까지 다양한 작업을 수행합니다.
봇넷 생성 및 활용의 3단계: 감염 → 확장 → 공격
봇넷에 감염된 컴퓨터에서 일어나는 일
컴퓨터나 기기를 감염시키면 해커는 해당 운영체제(OS)와 파일에 대한 관리자 수준의 접근 권한을 얻습니다. 이 권한을 통해 데이터를 훔치거나, 사용 현황을 감시하거나, 기기를 원격으로 조종할 수 있습니다.
봇 허더가 좀비 컴퓨터로 할 수 있는 일은 다음과 같습니다.
시스템 데이터 읽기/쓰기: 해커는 좀비 컴퓨터의 시스템 수준 데이터를 읽는 것은 물론, 수정하고 새로운 데이터를 기록할 수도 있습니다.
개인 정보 수집: 좀비 컴퓨터의 파일을 뒤져 비밀번호, 금융 정보 등 민감한 개인 데이터를 수집합니다.
피해자 감시: 시스템 수준 접근 권한을 이용해 좀비 컴퓨터를 사용하는 사람의 모든 활동을 몰래 볼 수 있습니다.
데이터 발송: 많은 봇넷이 대량 이메일 캠페인, 즉 스팸 발송에 활용됩니다. 봇 허더는 좀비 컴퓨터로 하여금 이메일, 파일, 메시지 등 각종 데이터를 대량으로 발송하게 할 수 있습니다.
앱 설치: 봇넷은 더 큰 규모의 악성코드 공격의 1단계가 되기도 합니다. 수많은 컴퓨터에 접근할 수 있는 봇 허더는 랜섬웨어, 스파이웨어, 애드웨어 등을 손쉽게 설치할 수 있습니다.
다른 기기 감염: 좀비 컴퓨터는 자신이 속한 네트워크를 스캔해 잠재적 희생자를 찾아 감염시킵니다. 특히 보안 취약점을 통해 전파될 때 그 위력이 막강합니다.
이런 이유로 보안 도구는 봇넷에 대한 강력한 방어책이 됩니다. 아바스트 원(Avast One)은 24시간 내내 기기를 모니터링해 악성코드의 징후를 포착하고, 공격이 발생하기 전에 차단합니다.
해커는 어떻게 봇넷을 통제할까?
대부분의 봇넷은 두 가지 형태 중 하나를 따릅니다. 봇 허더가 각 좀비 컴퓨터와 직접 통신하는 중앙집중식 봇넷과, 감염된 기기들 사이에 다중 연결이 이루어지는 분산형 봇넷입니다.
중앙집중식: 클라이언트-서버 모델
중앙집중식 봇넷은 기존 네트워크 아키텍처의 클라이언트-서버 구조를 활용해, 명령통제(C&C) 서버에서 봇넷 내 기기들과 통신합니다. 효율적인 방식이지만 C&C 서버가 쉽게 노출되고 차단될 수 있다는 명백한 약점이 있습니다.
C&C 서버가 한 번 차단되면 봇 허더는 더 이상 봇넷과 통신할 수 없게 됩니다.
중앙집중식 클라이언트-서버 봇넷 모델
분산형: P2P(피어 투 피어) 모델
P2P 봇넷은 더 진화된 형태로, 클라이언트-서버 모델을 버리고 통신을 전체 네트워크에 분산시키는 피어 투 피어(P2P) 구조를 채택했습니다. 감염된 각 기기가 서로 통신할 수 있어 단일 C&C 서버가 필요 없습니다.
클라이언트-서버 방식의 봇넷에 비해 P2P 봇넷은 훨씬 더 교란하기 어렵습니다.
분산형 P2P 봇넷 모델
봇넷이 일으키는 주요 피해 유형
DDoS 공격: 분산 서비스 거부(DDoS) 공격에서 봇 허더는 봇넷의 모든 컴퓨터가 동시에 지속적으로 트래픽을 쏟아내도록 지시해 서버를 마비시킵니다. 웹사이트는 물론 사업 전체가 순식간에 중단될 수 있습니다. 2019년에는 DDoS 공격으로 위키피디아가 여러 국가에서 접속 불가 상태가 되기도 했습니다.
스팸·피싱 캠페인: 봇넷은 한 번에 셀 수 없이 많은 이메일을 보낼 수 있어 대량 메일 캠페인에 자주 활용됩니다. 스팸 봇넷은 대량의 스팸을 뿌리고, 다른 봇넷은 피싱 공격이나 각종 사기에 이용됩니다.
암호화폐 채굴: 암호화폐가 주류가 되면서 봇 허더들은 봇넷을 채굴 도구로 활용하는 경우가 늘고 있습니다. 대규모 크립토재킹(cryptojacking)에 해당하며, 모든 수익은 봇 허더에게 돌아갑니다.
피해자 감시 및 개인 정보 절도: 모든 봇넷이 외부 공격에 동원되는 것은 아닙니다. 일부 봇 허더는 봇넷을 잠복 상태로 유지하면서 피해자를 감시하고 로그인 자격 증명, 금융 정보 등 민감한 개인 데이터를 훔칩니다.
추가 악성코드 유포: 봇넷은 랜섬웨어 같은 더 위험한 악성코드 공격을 위한 준비된 표적 풀입니다. 봇넷이 구축되어 있으면 봇 허더는 감염된 컴퓨터에 랜섬웨어를 손쉽게 배포할 수 있습니다.
광고 사기 수익 창출: 흔한 사기 수법으로, 봇 허더는 웹사이트에 광고 공간을 임대한 뒤 봇넷에게 광고를 대량으로 '클릭'하게 합니다. 클릭당 수익이 봇 허더에게 지급되는 구조입니다.
어떤 기기가 봇넷에 포함될 수 있을까?
봇 허더가 봇넷 악성코드를 심을 수만 있다면 인터넷에 연결된 모든 기기가 잠재적 표적이 될 수 있습니다. 데스크톱 PC, 노트북, 스마트폰, 게임 콘솔, 심지어 스마트 가전까지 봇넷에 포함될 수 있습니다.
스마트 기기는 봇 허더에게 특히 매력적인 표적입니다. 사물인터넷(IoT) 환경의 최대 리스크 중 하나가 바로 취약한 보안이기 때문입니다. 많은 제조업체가 스마트폰이나 컴퓨터에 적용되는 강력한 보안 조치를 스마트 기기에는 적용하지 않으며, 사용자들 역시 공장 초기 비밀번호를 그대로 두는 경우가 많습니다.
해커는 이러한 보안 취약점을 악용해 스마트홈 기기에 봇넷 악성코드를 설치할 수 있습니다. 스마트홈을 구축하거나 스마트 기기를 구매할 때는 봇넷 보안을 최우선으로 고려해야 합니다.
세계를 떠든 악명 높은 봇넷 사례
봇넷은 최근 몇 년간 가장 파괴적인 사이버 공격 여러 건의 배후에 있었습니다. 대표적인 봇넷들을 살펴보겠습니다.
컨피커(Conficker)
2008년 전성기에 1,050만 대 이상의 기기를 장악했던 컨피커는 역사상 가장 큰 봇넷 중 하나로 남아 있습니다. 웜(worm) 유형의 봇넷으로, 당시 전례 없는 속도로 확산되었습니다.
유럽 전역의 정부 네트워크까지 침투해 수백만 달러의 피해를 낳으며 전 세계로 확산될 조짐을 보였지만, 다행히 DDoS 공격에는 사용되지 않았습니다. 현재도 전 세계 약 50만 대의 컴퓨터에 잔존하고 있는 것으로 추정됩니다.
게임오버 제우스(Gameover ZeuS)
제우스(ZeuS) 악성코드 계열에서 파생된 암호화 P2P 봇넷인 게임오버 제우스는 수백만 명의 은행 계좌 정보를 탈취하는 데 악용되어 악명을 떨쳤습니다. 적발 당시까지 1억 달러 이상의 피해를 초래한 것으로 알려졌습니다.
2013년에는 이 봇넷이 크립토락커(CryptoLocker) 랜섬웨어를 유포하는 데 이용되었고, 피해자들로부터 수백만 달러어치 비트코인을 갈취했습니다. 이후 FBI와 유로폴 등이 참여한 국제 공동 작전 '토바르(Operation Tovar)'에 의해 2014년 봇넷이 완전히 차단되었습니다.
미라이(Mirai)
라우터와 웹캠 같은 리눅스 기반 기기를 표적으로 삼은 미라이 봇넷은 2016년 발견되었으며, 여건 고위험 DDoS 공격의 배후로 확인되었습니다. 미라이에 감염된 기기는 기본 비밀번호를 그대로 사용하는 IoT 기기를 인터넷에서 스캔해 발견하는 즉시 감염시킵니다.
2016년 9월 첫 공격 물결 이후 미라이의 소스 코드가 온라인에 공개되면서, 다른 악성코드 개발자들이 이를 학습해 더 정교한 봇넷 악성코드를 만드는 결과를 낳았습니다.
메리스(Mēris)
2021년 9월, 메리스 봇넷은 러시아 인터넷 기업 얀덱스(Yandex)를 초당 2,180만 건이라는 기록적인 요청으로 공격하며 세계를 놀라게 했습니다. 메리스 봇넷은 약 25만 대의 기기로 구성되어 있으며, 그해 초에는 웹 인프라 업체 클라우드플레어(Cloudflare)도 공격한 바 있습니다.
메리스 봇넷의 봇 대부분은 라트비아 업체 MikroTik이 제조한 라우터 같은 네트워크 장비입니다. 과거 공격에서는 금품 요구가 받아들여지지 않으면 공격하겠다고 잠재적 표적에 협박 메시지를 보내기도 했습니다.
내 컴퓨터가 봇넷에 감염되었는지 확인하는 방법
봇넷은 보통 많은 CPU 자원을 소모하지 않기 때문에 감염 여부를 알아차리기 어려울 수 있습니다. 하지만 컴퓨터가 봇넷에 끌려 들어갔는지 확인할 수 있는 몇 가지 징후가 있습니다.
갑작스러운 인터넷 속도 저하 또는 대역폭 급증: 스팸 발송이든 DDoS 공격이든 봇넷에는 대역폭이 필수적입니다. 인터넷 속도가 갑자기 느려지거나 대역폭 사용량이 급증한다면 백그라운드에서 봇넷이 활동 중일 가능성이 있습니다. 스마트홈 기기에 봇넷 악성코드가 있다는 신호일 수도 있습니다.
설명할 수 없는 시스템 변화: 봇 허더는 시스템 파일을 변경할 수 있습니다. 원인을 알 수 없는 변화가 발견된다면 누군가 외부에서 조작했을 가능성이 있습니다.
프로세스 종료 불가: 봇넷 악성코드는 자신의 임무 수행에 필요한 프로그램을 종료하지 못하도록 막을 수 있습니다. 도무지 닫히지 않는 앱이 있다면 봇넷이 원인일 수 있습니다.
OS 업데이트 불가: 많은 봇넷(및 기타 악성코드)은 OS와 소프트웨어 취약점을 이용해 기기를 감염시킵니다. 일부 봇넷 악성코드는 시스템에 남아 있기 위해 OS 업데이트 자체를 차단하기도 합니다.
작업 관리자의 미확인 프로세스: Windows의 작업 관리자는 현재 실행 중인 모든 프로세스를 보여줍니다. 여기서 생소한 프로세스가 보인다면 즉시 검색해 확인하세요. 봇넷 악성코드일 수 있습니다.
백신 프로그램의 탐지: 우수한 무료 백신 프로그램 대부분은 훌륭한 봇넷 스캐너이기도 합니다. 봇넷과 기타 위협을 스캔하고 발견 시 악성코드를 제거합니다.
아바스트 원으로 무료 봇넷 보호를 시작하세요. 악성코드, 바이러스 및 기타 위협을 실시간으로 탐지해 감염을 사전에 차단합니다. 봇넷 검사기 그 이상의 기능으로 모든 종류의 온라인 위협으로부터 안전하게 지켜줍니다.
봇넷으로부터 자신을 보호하는 방법
소프트웨어를 항상 최신 상태로 유지: 소프트웨어 업데이트에는 알려진 취약점에 대한 보안 패치가 포함되어 있습니다. 수시로 업데이트해 봇넷 악성코드의 침투를 막으세요.
예상치 못한 첨부파일 열지 않기: 지인에게서 받을 것으로 예상한 첨부파일만 다운로드하고 여세요. 지인이 해킹당했다면 그 사람이 보낸 첨부파일조차 피싱 미끼가 될 수 있습니다.
수상한 링크 클릭 금지: 피싱 이메일에는 멀버타이징이나 드라이브바이 다운로드를 통해 악성코드를 설치하는 악성 웹사이트로 연결되는 링크가 포함된 경우가 많습니다.
의심스러운 웹사이트 피하기: 웹사이트의 안전 여부를 확인하는 방법을 익혀두세요. 신뢰할 수 없어 보이는 사이트라면 즉시 창이나 탭을 닫으세요.
P2P 다운로드 서비스 사용 자제: 토렌트 같은 P2P 다운로드에는 봇넷 악성코드가 포함되어 있을 수 있습니다. 영상과 미디어는 합법적이고 신뢰할 수 있는 경로를 통해 받으세요.
새 기기 설정 시 비밀번호 변경: 새 라우터, 웹캠, IoT 기기를 설치할 때는 즉시 로그인 자격 증명을 변경하세요. 기본 비밀번호를 이용한 미라이 같은 봇넷 악성코드의 침입을 막을 수 있습니다.
방화벽 사용: 좋은 방화벽은 이미 설치된 봇넷 악성코드가 C&C 서버나 P2P 봇넷 내 다른 기기와 연결되는 것을 차단합니다.
강력한 비밀번호 사용: 일부 봇넷 악성코드는 비밀번호를 무차별 대입(brute-force) 공격으로 깨려 합니다. 길고 고유한 비밀번호나 패스프레이즈를 만들면 이런 공격에 훨씬 잘 저항할 수 있습니다.
이중 인증(2FA) 활용: 2FA는 비밀번호가 유출되더라도 봇넷 악성코드가 기기와 계정에 침입하는 것을 막아줍니다.
백신 소프트웨어 사용: 신뢰할 수 있는 백신 도구는 무료 봇넷 검사 및 제거 기능을 제공하면서 다른 종류의 악성코드로부터도 보호해 줍니다.
무료 보안 도구로 봇넷 예방과 제거를 동시에
봇넷은 압도적으로 보안이 취약한 기기를 노립니다. 보호되지 않은 IoT 기기와 라우터, 소프트웨어 취약점이 있는 컴퓨터와 노트북, 쉽게 깨질 수 있는 비밀번호를 가진 기기가 대표적입니다. 강력한 보안 도구를 갖추면 봇넷 악성코드와 기타 온라인 위협으로부터 충분히 보호받을 수 있습니다.
아바스트 원(Avast One)은 봇넷 제작자들이 피싱 캠페인에 사용하는 악성 이메일 첨부파일과 웹사이트를 자동으로 탐지하고 차단합니다. 또한 24시간 시스템 모니터링을 통해 봇넷 악성코드가 기기를 노리기 전에 미리 보호합니다. 지금 무료 봇넷 보호 및 제거 기능과 함께 다양한 보안·개인정보 보호 기능을 아바스트 원으로 경험해 보세요.