23년 활동한 봇넷 사티, 감염기기 1만5000대와 완전 단절…훔친 암호화폐는 손 안 댔다

미국 법무부와 사이버보안업체 크로우드스트라이크(CrowdStrike)가 23년간 활동해온 P2P(peer-to-peer, 중앙 서버 없이 감염 기기끼리 직접 통신하는 방식) 봇넷 ‘사티(Sality)’를 무력화했다. 사티는 최근 8년간 클립보드에 복사된 암호화폐 지갑 주소를 몰래 다른 주소로 바꿔치는 ‘클립재킹’ 도구 ‘에그재거(EggJagger)’를 주력 페이로드로 퍼뜨려왔다. 크로우드스트라이크는 에그재거 하나만으로 최소 1,210만 루블, 약 15만 달러가 도난당한 것으로 추산했다. 작전은 8월 31일(현지시각) 실행됐고, 미 FBI·법무부·국방부 범죄수사국(DCIS)은 9월 1일(현지시각) 이를 공식 발표했다. 이번 조치로 전 세계 1만 5,000대 이상의 감염 기기가 운영자와 완전히 단절됐다.

에그재거, 클립보드를 몰래 훔쳐본 8년

에그재거는 감염된 컴퓨터의 클립보드를 계속 감시하다가 비트코인이나 이더리움 지갑 주소처럼 보이는 문자열이 복사되면 이를 아무 경고 없이 공격자 소유 주소로 바꿔놓는 방식으로 작동했다. 피해자가 정상적인 곳에서 주소를 복사해와도, 결제를 완료하는 순간 감염된 기기에서 클립보드 내용이 조작돼 있었기 때문에 돈은 전혀 다른 사람에게 전송됐다. 크로우드스트라이크는 “피해자가 비트코인이나 이더리움 주소를 복사해 결제하면 자금이 다른 곳으로 전달된다”고 설명했다.

이는 거래소 해킹이나 스마트컨트랙트 취약점을 노린 공격과는 다르다. 블록체인 자체를 공격한 게 아니라, 결제를 준비하는 기기와 클립보드라는 사용자 워크플로 단계를 노린 것이다. 크로우드스트라이크에 따르면 도난당한 암호화폐는 대부분 사용되지 않고 그대로 남아 있었다. 이 미지출 포트폴리오는 2025년 1월 약 1억 4,700만 루블, 명목가치로 약 135만 달러(약 18억 4,700만원, 1달러 1,368원 기준)까지 불어났던 것으로 확인됐다. 확인된 에그재거 단독 피해액이 15만 달러 수준이라는 점을 고려하면, 운영자가 훔친 자금을 곧바로 현금화하지 않고 장기간 보유하는 전략을 택했다는 뜻이다.

피어리스트를 거꾸로 이용한 싱크홀 작전

사티가 23년이나 버틴 이유는 없앨 중앙 서버 자체가 없었기 때문이다. 감염 기기들은 서로 직접 통신했고, 악성코드는 네트워크 공유·USB 드라이브·파일 공유를 통해 실행 파일에 스스로 붙어 퍼져나갔다. 크로우드스트라이크는 사티가 실제로는 서로 호환되지 않는 프로토콜과 암호키를 쓰는 두 개의 독립된 P2P 네트워크(버전3·버전4)로 운영돼왔다고 밝혔다.

이 구조가 침투 경로도 됐다. 사티의 각 감염 기기(봇)는 접속 요청에 올바르게 응답하는 기기라면 별도 검증 없이 누구든 정상 피어로 받아들였다. 크로우드스트라이크의 대응조직(Counter Adversary Operations)은 이 허점을 이용해 각 봇이 보관 중인 ‘슈퍼피어’ 목록에서 정상 피어를 지우고 자체 통제하는 싱크홀 노드를 끼워 넣었다. 사티 봇은 40분마다 자신이 알고 있는 피어가 살아있는지 점검하는데, 이 유지관리 주기를 역이용해 방화벽이나 NAT 뒤에 숨어 직접 접근이 불가능한 대다수 감염 기기까지 싱크홀에 연결되도록 유도했다. 피어 목록에서 완전히 격리된 봇은 더 이상 운영자로부터 새 명령이나 악성 페이로드를 받을 수 없다. 크로우드스트라이크는 “P2P 구조가 방어 불가능하다는 통념과 달리, 충분한 기술 투자와 프로토콜 동작에 대한 정밀한 이해, 법 집행·업계와의 공조만 있다면 가장 견고한 범죄 인프라도 해체할 수 있음을 이번 작전이 보여준다”고 밝혔다. 이 같은 피어 목록 조작 방식은 앞서 2014년 게임오버제우스(GameOver Zeus), 2017년 켈리호스(Kelihos) 봇넷 해체 때도 쓰인 기법이다.

국제 공조 수사와 사티의 어두운 이력

이번 작전은 미국뿐 아니라 불가리아·헝가리·루마니아 당국이 함께 참여했다. 미 법무부·FBI·국방부 범죄수사국(DCIS)이 미국 내 사티 관련 도메인을 압수했고, 유럽에서는 세 나라 경찰이 나머지 도메인 압수를 맡았다. 섀도서버 재단(Shadowserver Foundation)은 인터넷서비스제공업체(ISP) 및 각국 컴퓨터보안 대응팀과 협력해 피해자에게 감염 사실을 알리는 작업을 진행하고 있다. 빌 에사일리(Bill Essayli) 연방검사보는 “사이버범죄와 봇넷, 악성코드는 우리 국가 안보와 경제에 명백하고 현존하는 위협”이라며 “사티 봇넷 해체 성공은 공공과 민간이 힘을 합치면 강력한 선의의 힘이 될 수 있음을 보여준다”고 말했다.

크로우드스트라이크는 사티 운영자를 ‘SALTY SPIDER’로 추적하고 있으며, 보안업계에서는 이 조직이 쿠카치카(Kukacka)·쿠쿠(KuKu)·살로드(SalLoad)·쿠쿠(Kookoo)·살리코드(SaliCode) 등 여러 별칭으로도 불려왔다. 사티는 돈벌이에만 쓰인 게 아니었다. 2016년 4월 아랍권 금융 포럼 ‘forex2030.com’, 2022년 2월 25일 러시아의 우크라이나 침공 하루 뒤 우크라이나 포럼 ‘kharkovforum.com’, 2023년 9월 러시아 암호화폐 거래소 아반체인지(AvanChange)를 상대로 각각 디도스(DDoS·분산서비스거부) 공격을 벌였다. 크로우드스트라이크는 아반체인지 공격용 코드가 업로드 직전에 컴파일된 점을 근거로, 개인적 거래 분쟁에 대한 즉흥적 대응이었을 가능성이 크다고 봤다. 앞서 2022년 7월에는 산업제어 보안업체 드래고스(Dragos)가 산업 엔지니어와 운영자를 노려 프로그래머블 논리제어장치(PLC)를 장악해 사티 봇넷에 편입시키는 별도 캠페인을 공개한 바 있다.

여전히 남은 위험… 완전한 안전은 아니다

이번 작전으로 운영자와 감염 기기 사이의 통신은 끊겼지만, 이미 기기 안에 자리 잡은 악성코드 자체가 제거된 것은 아니다. 크로우드스트라이크는 “감염 기기에 이미 존재하는 악성코드는 누군가 직접 제거하지 않는 한 계속 활성 상태로 남는다”고 경고했다. 즉 감염된 컴퓨터를 사용하는 이용자는 별도의 치료(remediation) 작업을 거쳐야 완전히 안전해진다.

암호화폐 이용자에게 이번 사건이 던지는 메시지는 블록체인 자체의 안전성 문제가 아니라, 결제 준비 과정에서 기기가 감염돼 있으면 주소 자체가 조작될 수 있다는 점이다. 확인된 에그재거 단독 피해액은 15만 달러 규모로 한정돼 있지만, 이 사건은 일상적인 결제 과정에 악성코드가 어떻게 개입할 수 있는지를 보여주는 사례로 남는다. 크로우드스트라이크는 관련 탐지 규칙과 네트워크 지표를 공개했으며, 감염 기기는 이제 운영자가 아닌 크로우드스트라이크가 통제하는 싱크홀 노드로 신호를 보내고 있다.