DDoS 봇넷 운영자 한 명이 200만 대 기기를 좀비로 만들었다

DDoS 봇넷 운영자 한 명이 200만 대 기기를 좀비로 만들었다.
미국·캐나다 합동 수사로 5월 21일 체포됐어요.
봇넷 이름은 '킴울프(Kimwolf)'.

DDoS 봇넷이 어떻게 만들어지는지부터 보자.
공격자가 보안이 허술한 라우터·CCTV·IoT 기기에 악성 코드를 심어서 자기 명령을 듣게 만든다.
이렇게 모인 기기 무리가 봇넷.
킴울프는 약 200만 대를 모았어요.

미국 법무부 발표에 따르면,
23세 캐나다인 제이콥 버틀러(코드명 Dort)가 운영자였다.
5월 21일 미국과 캐나다 양국 사법당국이 동시 기소했죠.
이 봇넷은 이전에 활동하던 AISURU(아이수루) 봇넷의 변종으로 분석된다.
즉, 코드 일부를 물려받은 후속 세대다.

DDoS 공격이 왜 사라지지 않을까.
보안 업계에서 보면 두 가지 이유가 있어요.
첫째, 가정용·소형 기기는 한 번 출시되면 펌웨어 업데이트가 거의 안 된다.
둘째, 공격력 대비 수익이 큰 사업이다.
봇넷 1개로 여러 고객한테 "공격 대행" 서비스를 팔 수 있죠.

실무 관점에서 일반 사용자가 할 일은 단순하다.
라우터·IP카메라·NAS 같은 인터넷 노출 기기는
(1) 공장 초기 비밀번호 변경
(2) 펌웨어 자동 업데이트 켜기
(3) 외부에서 접속 가능한 관리 포트(원격 접속 입구) 닫기.
이 3가지만 해도 대부분의 봇넷 모집에서 빠질 수 있다.
운영자 한 명을 잡았다고 봇넷이 사라지지는 않을 가능성이 높다.
이전 AISURU의 코드가 다시 변종 형태로 살아 있을 가능성이 크고,
같은 패턴이 반복될 것으로 보인다.
봇넷을 만드는 것보다 만들 재료(취약 기기)를 줄이는 게
더 근본적인 대응이라고 본다.