보안

두번째 켈리호스 봇넷 진압 작전 성공…싱크홀 기법으로 무력화

Lucian Constantin | IDG News Service 2012.03.29
여러 보안 전문업체의 악성 프로그램 전문가들이 공조해 켈리호스 봇넷의 두 번째 버전을 중단시켰다. 이번 작업에는 카스퍼스키랩, 크라우드스트라이크, 델 시큐어웍스, 허니넷 프로젝트 등의 악성 프로그램 전문가들이 참여했으며, 폐쇄된 켈리호스 봇넷은 지난 2011년 9월 마이크로소프트와 협력업체들이 폐쇄한 것보다 훨씬 규모가 큰 것으로 알려졌다. 
 
켈리호스 봇넷은 웨일댁 봇넷과 스톰 봇넷의 후속 버전으로 알려져 있으며, 앞서의 봇넷과 마찬가지로 피어 투 피어 아키텍처를 기반으로 스팸 메일 발송과 DDoS 공격 개시에 주로 사용되고 있다.
 
지난 2011년 9월 마이크로소프트와 카스퍼스키랩, 서프넷(SurfNET), 카이러스 테크(Kyrus Tech) 등이 협력해 원본 켈리호스 봇넷을 장악해 C&C 인프라를 동작 중지시킨 바 있다.
 
하지만 지난 1월 카스퍼스키랩 연구원들은 새로운 버전의 켈리호스 봇넷을 발견했는데, 새로운 버전은 통신 프로토콜이 향상됐고, 가상 화폐의 일종인 비트코인(BitCoins)을 훔치는 것으로 파악됐다.
 
지난 주 카스퍼스키랩의 스테판 오트로프는 블로그 포스트를 통해 몇 개월 간의 분석 작업 끝에 새로운 전문가 그룹이 새로운 진압 작전을 개시하기로 결정했다고 밝혔다. 켈리호스 봇넷과 같이 분산 구조의 봇넷을 무력화시키는 것은 C&C 서버 몇 대를 중단시키는 것보다는 훨씬 복잡한 작업이다. 봇넷 클라이언트들이 클라이언트 내에서 명령을 주고 받을 수 있기 때문이다.
 
봇넷 작성자가 P2P 구조를 이용해 봇넷을 업데이트하는 것을 방지하기 위해 보안업체들은 세계곳곳에 가짜 봇넷 클라이언트를 설치하고 특수 기법을 사용해 다른 감염된 시스템들이 카스퍼스키랩이 운영하는 서버로만 접속하도록 했다. 이 기법은 싱크홀링(Sinkholing)이라고 알려져 있다.
 
대부분의 봇넷 클라이언트가 싱크홀 서버에 연결되면서 연구원들은 이번 켈리호스 봇넷이 지난 해 폐쇄된 것보다 훨씬 더 규모가 크다는 것을 알게 됐다. 카스퍼스키랩의 마르코 프레우스는 감염된 호스트 숫자에서 지난 번 것이 4만여 대였던 것에 비해 이번에는 11만 대에 이르렀다고 밝혔다.
 
지역적으로는 새로운 켈리호스 봇의 25%가 폴란드에 있었고, 10%는 미국에 있었다. 크라우드스트라이크의 연구원 틸만 워너는 이처럼 폴란드의 봇 집중도가 높았던 것은 켈리호스 봇넷을 운영하는 사이버 범죄단이 악성 프로그램 배포를 위해 돈을 주고 다른 봇넷 운영자를 고용하는데, 설치당 가격이 가장 저렴한 곳을 골랐기 때문일 것이라고 설명했다.
 
켈리호스에 감염된 컴퓨터의 대부분은 윈도우 XP를 사용하고 있으며, 1만 대는 윈도우 7, 5,000대는 윈도우 7 SP1를 구동하는 PC였다. 
 
켈리호스 봇넷을 운영하던 사이버 범죄단은 싱크홀 작전이 성공하면서 곧바로 해당 봇넷을 포기했는데, 워너는 이번이 다섯번째 봇넷이라는 점을 감안하면 이들 범죄단이 새로운 봇넷을 만들어낼 가능성이 높다고 덧붙였다.  editor@itworld.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.