해커는 '명령 및 제어(Command and Control, 이하 C2)' 공격을 활용해 네트워크 전체를 손아넣거나, 개별 컴퓨터를 자신이 원하는 대로 움직이는 봇(bot) 군대로 바꿔버릴 수 있습니다. 최근 미국 당국이 감염된 기기에 직접 침입해 악성코드를 제거함으로써 '사이클롭스 블링크(Cyclops Blink)' 봇넷을 차단한 사례에서도 이런 위협이 고스란히 드러났습니다. 그렇다면 C2 공격은 정확히 어떻게 작동하고, 우리는 어떻게 대비해야 할까요?
C2(명령 및 제어) 공격이란 무엇인가?
악의적인 행위자가 PC를 침해한 뒤, C2 서버에서 감염된 기기로 원격으로 명령과 질의를 전송할 수 있는 악성코드를 심는 공격을 '명령 및 제어 사이버 공격(C2 또는 C&C)'이라고 부릅니다. 최초 감염된 PC는 통신하는 다른 기기들까지 연쇄적으로 감염시키는 경우가 많기 때문에, 기업 네트워크라면 단 몇 분 만에 시스템 전체가 공격자의 통제 하에 놓일 수 있습니다.
공격자가 PC를 감염시키는 경로는 매우 다양하며, 시스템 내부에 진입한 뒤 가할 수 있는 공격의 종류 역시 무궁무진합니다. 사이버보안 기업 팔로 알토 네트웍스(Palo Alto Networks)에 따르면, 바이러스의 80% 이상이 도메인 네임 시스템(DNS)을 이용해 C2 서버를 찾아 데이터를 탈취하고 악성코드를 확산시킵니다.
C2 공격은 어떻게 작동할까?
공격자는 먼저 악성코드를 이용해 대상 PC에 침투해야 합니다. 이 과정에는 피싱 메일, 위험한 웹사이트로 유도하는 가짜 광고, 의심스러운 브라우저 플러그인과 프로그램 등 소셜 엔지니어링 기법이 주로 동원됩니다. 공격자들은 코로나19부터 비디오 게임까지, 사람들의 호기심을 자극할 만한 최신 이슈나 대중문화를 교묘히 활용하는 경우가 많습니다. 드물지만 악성코드가 담긴 USB를 물리적으로 연결해 시스템을 침해하기도 합니다.
명령이 전달되면 감염된 PC는 공격자가 조종하는 디지털 좀비, 즉 '봇'으로 변신합니다. 이후 추가 기기로 바이러스를 퍼뜨려 그마저 봇으로 만들고 공격자의 지배 영역을 넓히면서, 이른바 '봇넷(botnet)'이라 불리는 봇 네트워크가 형성됩니다. 특히 데이터 절취를 목표로 하는 많은 C2 공격은 최대한 오랫동안 발각되지 않도록 설계됩니다. 팔로 알토 네트웍스가 밝힌 C2의 대표적인 악용 사례는 다음과 같습니다.
- 타인의 컴퓨터를 장악해 암호화폐 채굴에 이용
- 데이터 파괴
- 특정 기기 또는 네트워크 전체의 강제 종료
- 시스템 기능 마비를 위해 감염된 기기를 원격으로 재부팅
- 랜섬웨어 공격에서 데이터를 암호화하고 시스템을 인질로 삼는 수단으로 활용
명령 및 제어 공격의 구조
인터넷 초창기에는 공격자가 직접 관리하는 서버를 두고 그곳에서 공격을 개시하는 방식이 일반적이었습니다. 하지만 요즘은 클라우드 기반 서비스를 통해 C2 공격이 실행되는 경우가 훨씬 많습니다. 공격자가 단일 서버를 운영하고 악성코드가 해당 서버에 지시를 요청하는 구조라면, C2 서버의 IP 주소를 탐지해 차단함으로써 비교적 쉽게 막을 수 있습니다. 그러나 공격자가 프록시(proxy)를 이용해 실제 IP 주소를 숨기면 방어 난이도는 급격히 올라갑니다.
사기범들은 흔히 여러 대의 서버를 동원해 공격을 감행합니다. 하나가 다운되더라도 공격을 이어갈 수 있도록 동일한 임무를 수행하는 서버들을 준비해 두는 방식입니다. 또한 공격자는 봇넷에 감염된 컴퓨터들에게 중앙 서버를 거치지 않고 P2P(peer-to-peer) 네트워크처럼 서로 무작위로 통신하도록 지시할 수도 있는데, 이렇게 되면 감염 출처를 추적하기가 훨씬 어려워집니다. 사이버보안 소프트웨어 업체 DNSFilter에 따르면, 이 전략은 단일 서버 공격과 병행되는 경우가 많으며 서버가 무력화되면 P2P 방식이 예비 수단으로 작동한다고 합니다.
C2 공격으로부터 방어하는 방법
내 시스템이 제3자의 손에 넘어간다는 생각은 섬뜩하지만, 스스로를 보호하기 위해 실천할 수 있는 조치들이 분명히 있습니다.
첫째, 보안 교육입니다. 사이버 공격자는 소셜 엔지니어링 기법을 즐겨 사용하므로, 네트워크에 접근 권한이 있는 모든 사람에게 그 위험성을 알려야 합니다. 경고 신호를 미리 인지하고 있으면 피해자가 될 가능성이 크게 줄어듭니다. 피싱 메일의 전형적인 특징, 다운로드 파일의 안전성 확인 방법 등을 함께 알려주는 것이 좋습니다.
둘째, 방화벽을 활용하세요. 이미 시스템에 침입한 악의적 행위자까지 막아주지는 못하지만, 외부에서 속여 진입하려는 시도를 차단하는 데 효과적입니다. 방화벽은 네트워크로 오가는 데이터의 양을 제한하고, 수상한 URL이나 IP 주소를 알림으로 알려주도록 설정할 수도 있습니다.
셋째, 온라인 활동 시 VPN을 사용하세요. 윈도우용 최고의 VPN 서비스 중 하나인 Systweak VPN은 스마트 DNS와 킬 스위치(kill switch) 기능을 결합했습니다. 이 VPN은 익명 브라우징을 지원하고 군사급 AES 256비트 암호화로 IP 주소를 숨겨 온라인 프라이버시를 보호합니다. Systweak VPN은 53개국 200개 위치에 4,500개의 서버를 보유하고 있으며, 선택한 서버에 연결하면 앱이 기기의 모든 트래픽을 암호화된 터널로 감싸줍니다. 덕분에 공용 Wi-Fi에서 전송되는 모든 데이터가 암호화되어 해커가 접근할 수 없으므로, 공용 Wi-Fi의 위험으로부터도 안전합니다. 또한 VPN을 활성화해 두면 노트북에서 회사나 집의 컴퓨터로 원격 접속 설정도 손쉽게 구축할 수 있습니다.
C2 사이버 공격에 대한 마무리 정리
C2 공격은 한 대의 PC에서 시작해 네트워크 전체를 무너뜨릴 수 있는 무서운 위협이지만, 보안 교육, 방화벽, VPN 같은 기본적인 방어책만 갖추어도 피해 가능성을 크게 낮출 수 있습니다. 평소 의심스러운 이메일과 다운로드를 경계하고 네트워크 상태를 수시로 점검하는 습관이 무엇보다 중요합니다. 기술 관련 팁과 트릭, 자주 발생하는 문제의 해결 방법을 계속 공유해 드리겠습니다. 궁금한 점이나 제안이 있다면 댓글로 알려주세요.