봇넷 (Botnet)

봇넷(Botnet)은 악성 소프트웨어에 감염되어 소유자의 인지 없이 원격으로 제어되는 컴퓨터와 장치의 모음입니다. 이름은 ‘로봇’과 ‘네트워크’를 합친 말이며, 감염된 장치 하나하나를 봇(또는 좀비)이라고 하고, 이를 제어하는 공격자를 “봇 허더(bot herder)” 또는 “봇 마스터”라고 합니다.

봇넷이 만들어지는 방식

공격자는 트로이 목마나 익스플로잇 키트를 구입하거나 직접 만들어 장치를 감염시키고, 감염된 장치에는 봇이라는 악성 애플리케이션이 페이로드로 설치됩니다. 감염 경로는 다음과 같습니다.

• 피싱 이메일의 첨부 파일이나 링크로 전달된 트로이 목마 실행
• 해킹된 웹사이트의 드라이브 바이 다운로드, 웹 브라우저 취약점 악용
• 아직 패치되지 않은 흔한 취약점을 자동으로 스캔해 감염을 퍼뜨리는 웜 기능
• 기본 비밀번호를 그대로 쓰는 공유기·카메라 같은 IoT 장치와 악성 앱이 설치된 모바일 장치

명령 및 제어(C&C) 모델

봇 허더는 명령 및 제어(Command and Control, C&C) 서버를 통해 모든 봇에 한 번에 명령을 내리고, 봇은 받은 명령을 동시에 수행합니다. 봇넷은 원래 인터넷 릴레이 채팅(IRC) 봇을 확장한 형태에서 시작되어, 초기에는 IRC 채널이나 웹 서버 같은 중앙 서버를 C&C로 썼습니다. 중앙 서버는 차단되면 봇넷 전체가 멈추므로, 이후에는 봇끼리 명령을 전달하는 P2P 방식이나 접속 주소를 계속 바꾸는 방식이 쓰입니다. 공격자는 여러 단계의 프록시와 암호화된 통신 뒤에 숨기 때문에, 봇 한두 개는 추적할 수 있어도 수만 대 규모의 봇넷 전체와 운영자를 추적하기는 어렵습니다.

봇넷의 주요 용도

• 분산 서비스 거부(DDoS) 공격: 수많은 봇이 동시에 요청을 보내 대상 서버와 네트워크를 과부하시키고, 웹사이트·모바일 애플리케이션·API를 정상 사용자가 쓸 수 없게 만듭니다. 암호화폐 거래소도 DDoS 공격의 대상이 됩니다.
• 스팸과 피싱: 봇넷은 이메일·댓글·양식 스팸의 큰 원인이며, 하루에 수십억 개의 메시지를 보내 멀웨어와 피싱 링크를 퍼뜨립니다.
• 무단 채굴(크립토재킹): 감염된 장치의 연산 능력과 전기를 소유자 몰래 암호화폐 채굴에 씁니다.
• 정보와 키 탈취: 비밀번호, 금융 정보, 암호화폐 지갑 파일과 시드 문구를 훔치거나, 복사한 지갑 주소를 공격자 주소로 바꿔치기하는 멀웨어를 설치합니다.
• 기타: 광고 클릭 사기, 랜섬웨어·뱅킹 트로이 목마 배포, 피싱 페이지 호스팅, 다른 범죄자에게 봇넷 임대 등에 쓰입니다.

봇넷 공격은 단일 장치를 노리는 멀웨어보다 위험합니다. 수백에서 수백만 개의 장치를 한꺼번에 동원하므로 위협의 규모가 크고, 정상 사용자의 장치에서 트래픽이 나오기 때문에 막기도 어렵습니다.

감염 징후

• 프로세서, 하드 드라이브, 컴퓨터 팬이 이유 없이 과도하게 작동합니다.
• 인터넷 속도가 평소보다 느리거나, 예상치 못한 네트워크 트래픽이 발생합니다. 회사 네트워크에서는 갑작스러운 트래픽 급증이 외부 C&C와의 통신 신호일 수 있습니다.
• 재부팅과 종료가 느리거나 완전히 종료되지 않고, 전에는 문제없던 프로그램이 자주 충돌합니다.
• 운영 체제나 바이러스 백신 업데이트를 내려받을 수 없습니다. 봇넷 멀웨어는 제거되지 않으려고 보안 업데이트를 차단하기도 합니다.

예방과 제거

• 업데이트: 운영 체제와 소프트웨어, 공유기·IoT 장치의 펌웨어 업데이트를 나오는 즉시 설치하고, 기본 비밀번호를 바꿉니다.
• 바이러스 백신: 최신 버전의 바이러스 백신으로 검사하면 봇넷 멀웨어를 탐지하고 제거할 수 있습니다. 오래된 버전은 새 변종을 탐지하지 못할 수 있습니다.
• 신중한 실행: 출처가 불분명한 첨부 파일, 링크, 프로그램을 열지 않습니다.
• 2단계 인증(2FA): 2FA는 장치 감염을 막지는 못하지만, 봇넷이 훔친 비밀번호로 거래소나 이메일 계정에 접속하는 것을 어렵게 합니다.
• 암호화폐 보관: 금액이 큰 자산의 키는 감염될 수 있는 온라인 컴퓨터가 아니라 하드웨어 지갑에 보관하고, 송금 전에는 받는 주소를 장치 화면에서 확인합니다.

법적 측면

피해자의 동의 없이 장치에 멀웨어를 설치해 봇넷을 구축하는 것은 대부분의 국가에서 불법이며, 봇넷으로 수행하는 DDoS 공격이나 정보 탈취도 범죄입니다. 다른 사람의 네트워크나 서버에 ‘IP 스트레서’를 실행해 서비스 거부를 일으키는 것도 마찬가지입니다. 한국에서는 정보통신망법이 악성 프로그램의 유포와, 대량의 신호를 보내 정보통신망에 장애를 일으키는 행위를 금지합니다.