카드냅(KadNap) 봇넷 경고: 1만4천 대 라우터 감염의 의미

최근 보안 업계에서 눈길을 끈 뉴스가 있습니다. 전 세계 1만4천 대가 넘는 라우터가 'KadNap'이라는 악성코드에 감염됐고, 이 봇넷은 중앙 서버를 끊는 방식으로는 무력화하기 어려운 구조를 갖췄다는 내용입니다.¹ 겉보기엔 집 안 와이파이 공유기 이야기 같지만, 실제로는 사이버 범죄의 방식이 한 단계 진화했다는 신호에 가깝습니다.

KadNap 봇넷이 위험한 진짜 이유

KadNap은 주로 Asus 라우터를 노렸고, 감염된 기기를 조용히 묶어 거대한 프록시 네트워크처럼 활용합니다.² 쉽게 말해, 공격자는 남의 집 인터넷 회선을 '우회 통로'로 빌려 쓰는 셈입니다.

이 방식이 무서운 이유는 악성 트래픽이 데이터센터가 아니라 일반 가정용 IP에서 나오는 것처럼 보이기 때문입니다. 보안 시스템 입장에서는 "평범한 사용자 접속"과 "공격자의 위장 접속"을 구분하기가 훨씬 어려워집니다. 그래서 무차별 대입 공격, 계정 탈취 시도, 표적형 침투 같은 행위가 더 은밀해집니다.³

게다가 사용자 입장에서는 증상이 거의 없습니다. 인터넷이 약간 느려지거나 연결이 가끔 불안정한 정도라, 감염 사실을 모른 채 오래 지나가기 쉽습니다.⁴

분산형 C2와 Kademlia, 왜 차단이 어려울까

기존 봇넷은 보통 중앙 지휘 서버(C2)를 찾아 차단하면 큰 타격을 줄 수 있었습니다. 그런데 KadNap은 P2P, 즉 분산형 구조를 활용합니다. 특히 Kademlia 기반 분산 해시 테이블(DHT)을 변형해 명령 전달 경로를 숨기는 방식이 핵심으로 지목됐습니다.²

비유하자면, 한 사람에게 전화번호부를 맡기는 대신 여러 사람에게 조금씩 나눠 들고 있게 하는 구조입니다. 누군가 하나를 잡아도 전체를 끊기 어렵습니다. 그래서 법 집행 기관이나 보안 업체가 "본부 서버 하나를 내려서 끝내는" 전통적 대응이 잘 먹히지 않습니다.

이 점이 바로 이번 KadNap 사태가 단순한 라우터 해킹 뉴스가 아닌 이유입니다. IoT 악성코드가 이제는 더 오래 버티고, 더 자연스럽게 숨어들고, 더 상업적으로 운영되는 단계로 넘어가고 있다는 뜻이기 때문입니다.⁵

Doppelganger 프록시 서비스와 범죄형 수익 모델

더 흥미로운 지점은 감염 자체가 목적이 아니라는 점입니다. 조사에 따르면 KadNap에 감염된 장비들은 'Doppelganger'라는 범죄용 프록시 서비스에 연결돼 악용되는 것으로 보입니다.² 즉, 봇넷 운영자는 감염된 라우터를 직접 쓰는 데 그치지 않고, 다른 범죄자에게 "깨끗한 가정용 IP"를 상품처럼 빌려줍니다.

이건 사이버 범죄의 SaaS화, 혹은 임대업화라고 볼 수 있습니다. 예전에는 공격자가 인프라까지 직접 마련해야 했다면, 이제는 이미 뚫린 라우터 네트워크를 돈 주고 쓰면 됩니다. 공격의 진입장벽은 낮아지고, 추적은 더 어려워집니다.

특히 미국에 감염 기기가 집중돼 있지만 영국, 호주, 브라질, 러시아, 유럽 등으로 퍼져 있어 지역 문제도 아닙니다.¹ 인터넷에 연결된 오래된 라우터가 많을수록 비슷한 봇넷은 다시 등장할 가능성이 큽니다.

Asus 라우터 보안, 지금 당장 확인할 것

가장 현실적인 대응은 화려하지 않습니다. 하지만 효과는 확실합니다. 먼저 라우터 펌웨어를 최신 상태로 올려야 합니다.² 이미 감염이 의심된다면 재부팅만으로는 부족하고, 공장 초기화가 더 적절한 대응으로 거론됩니다.⁴

관리자 비밀번호를 기본값에서 강력한 새 값으로 바꾸는 것도 중요합니다. 또한 원격 관리 기능이나 AiCloud처럼 외부에서 접근 가능한 기능은 정말 필요할 때만 켜두는 편이 안전합니다.⁵ 업데이트가 끊긴 구형 장비라면, 아예 교체를 고려하는 것이 맞습니다.

라우터는 늘 켜져 있지만 늘 신경 쓰이지 않는 장비입니다. 그래서 공격자들이 좋아합니다. 현관문 열쇠를 몇 년째 안 바꾸는 집과 비슷하니까요.

시사점

KadNap 봇넷은 "공유기도 공격 인프라가 될 수 있다"는 사실을 다시 보여줬습니다. 더 중요한 건, 이제 공격자들이 분산형 네트워크와 가정용 IP를 결합해 차단과 추적을 훨씬 어렵게 만들고 있다는 점입니다.¹

집이나 사무실에서 Asus 라우터를 쓰고 있다면, 오늘 확인할 것은 단순합니다. 펌웨어 업데이트, 관리자 비밀번호 변경, 불필요한 원격 기능 비활성화, 필요 시 공장 초기화. 평소엔 조용한 네트워크 장비가, 어느 날 누군가의 공격 거점이 되지 않도록 말입니다.

참고

¹14,000 routers are infected by malware that's highly resistant to takedowns

²KadNap Botnet Hijacks Asus Routers

³Criminals hijack thousands of devices to create never-before-seen cyber weapon

⁴Over 14,000 Routers Were Hijacked In Malicious Global Cyberattack

⁵KadNap: How Hijacked Routers Become Tools for Cybercriminals