블록체인 기반 도메인과 감염 기기 중계 방식을 새로 도입

[보안뉴스 김형근 기자] 중국 국가 보안 기관인 CNCERT와 민간 보안 연구소 엑스랩(XLab)은 디스포리아 봇넷(Dysphoria botnet)에 감염된 사물인터넷(IoT) 기기가 20만대를 넘는다고 발표했다. 수치를 검증할 세부 집계 근거는 공개하지 않았다.

지난 3월 국제 사법기관의 잭스키드(JackSkid) 봇넷 단속 이후, 디스포리아 봇넷이 추적을 피하기 위해 블록체인 기반 도메인과 감염 기기 중계 방식을 새로 도입한 것으로 파악됐다.


[출처: gettyimagesbank]

공격자는 블록체인 기반의 이더리움 이름 서비스(ENS)와 솔라나 이름 서비스(SNS)로 명령제어(C2) 서버 위치를 위장했다. 감염된 기기들은 분배 노드를 거쳐 또 다른 감염 기기를 통해서만 통신하기 때문에 실제 명령제어(C2) 서버는 외부에 노출되지 않는다.

공격자는 자체 RC4 암호화를 적용한 뒤, 공유기 벽(NAT)을 뚫는 UPnP 포트 매핑 기능과 리눅스 이폴(epoll) 기술을 결합해 다량의 통신을 효율적으로 처리하는 중계 전용 변종을 신속히 퍼뜨렸다.

디스포리아는 주로 텔넷과 보안셸(SSH)의 취약한 비밀번호를 무작위로 대입하거나, 린크시스(Linksys) E1700 공유기 취약점(CVE-2025-9528)처럼 이미 알려진 사물인터넷(IoT) 원격 코드 실행(RCE) 허점을 노려 유포된다.

일본 정보통신연구기구(NICT)와 해외 연구진은 디스포리아가 킴울프(Kimwolf) 등 타 봇넷과 코드 및 문자열을 공유하는 정황을 포착했다. 이는 특정 단일 조직의 소행이라기보다 공격 도구가 여러 집단 사이에 공유되었을 가능성을 보여준다.

공격자들은 디스포리아 봇넷을 활용해 암시장에서 최대 4Tbps 규모의 디도스(DDoS) 공격 서비스를 제공한다고 장담하지만, 보안 업계에서 실제로 관측된 공격 수치는 아직 확인되지 않았다.

중앙 서버 압류라는 기존 사법 기관의 단속 기법은 블록체인 기록과 민간 기기 중계망을 결합한 디스포리아의 탈중앙화 구조 앞에서 무력화될 수밖에 없다.

기업의 보안 담당자는 IoT 기기의 패치 적용, 기본 비밀번호 변경, 불필요한 원격 관리 및 UPnP(범용 플러그 앤 플레이) 기능 비활성화를 철저히 이행해야 한다.

[김형근 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>