20만대 규모 디스포리아 봇넷 확산... 취약한 계정 설정·IoT 장비 패치 시급

블록체인 기반 도메인과 감염 기기 중계 방식을 새로 도입

[보안뉴스 김형근 기자] 중국 국가 보안 기관인 CNCERT와 민간 보안 연구소 엑스랩(XLab)은 디스포리아 봇넷(Dysphoria botnet)에 감염된 사물인터넷(IoT) 기기가 20만대를 넘는다고 발표했다. 수치를 검증할 세부 집계 근거는 공개하지 않았다.

지난 3월 국제 사법기관의 잭스키드(JackSkid) 봇넷 단속 이후, 디스포리아 봇넷이 추적을 피하기 위해 블록체인 기반 도메인과 감염 기기 중계 방식을 새로 도입한 것으로 파악됐다.

공격자는 블록체인 기반의 이더리움 이름 서비스(ENS)와 솔라나 이름 서비스(SNS)로 명령제어(C2) 서버 위치를 위장했다. 감염된 기기들은 분배 노드를 거쳐 또 다른 감염 기기를 통해서만 통신하기 때문에 실제 명령제어(C2) 서버는 외부에 노출되지 않는다.

공격자는 자체 RC4 암호화를 적용한 뒤, 공유기 벽(NAT)을 뚫는 UPnP 포트 매핑 기능과 리눅스 이폴(epoll) 기술을 결합해 다량의 통신을 효율적으로 처리하는 중계 전용 변종을 신속히 퍼뜨렸다.

디스포리아는 주로 텔넷과 보안셸(SSH)의 취약한 비밀번호를 무작위로 대입하거나, 린크시스(Linksys) E1700 공유기 취약점(CVE-2025-9528)처럼 이미 알려진 사물인터넷(IoT) 원격 코드 실행(RCE) 허점을 노려 유포된다.

일본 정보통신연구기구(NICT)와 해외 연구진은 디스포리아가 킴울프(Kimwolf) 등 타 봇넷과 코드 및 문자열을 공유하는 정황을 포착했다. 이는 특정 단일 조직의 소행이라기보다 공격 도구가 여러 집단 사이에 공유되었을 가능성을 보여준다.

공격자들은 디스포리아 봇넷을 활용해 암시장에서 최대 4Tbps 규모의 디도스(DDoS) 공격 서비스를 제공한다고 장담하지만, 보안 업계에서 실제로 관측된 공격 수치는 아직 확인되지 않았다.

중앙 서버 압류라는 기존 사법 기관의 단속 기법은 블록체인 기록과 민간 기기 중계망을 결합한 디스포리아의 탈중앙화 구조 앞에서 무력화될 수밖에 없다.

기업의 보안 담당자는 IoT 기기의 패치 적용, 기본 비밀번호 변경, 불필요한 원격 관리 및 UPnP(범용 플러그 앤 플레이) 기능 비활성화를 철저히 이행해야 한다.

[김형근 기자(editor@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다