한국 노린 공유기 봇넷 ‘아리스팅어’ 확산

 

지원이 종료된 구형 디링크(D-Link) 공유기 수천 대를 감염시켜 해커의 공격 중계 서버로 이용하는 신종 봇넷이 발견됐다. 확인된 감염 장비의 절반 가까이가 한국에 있는 것으로 조사돼 국내 이용자의 점검이 필요하다.

치안신 엑스랩은 지난 6월 17일 공개한 분석에서 ‘아리스팅어(AryStinger)’로 이름 붙인 악성코드가 전 세계 공유기 최소 4,300대를 감염시켰다고 밝혔다. 이 수치는 구형 RTL819X 계열 칩을 사용한 공유기만 집계한 결과다. 별도로 발견된 네트워크 저장장치(NAS) 감염 규모는 포함되지 않았다.

엑스랩은 3월 12일 인터넷 위협 탐지 과정에서 아리스팅어를 처음 확인했다. 공격자는 CVE-2013-3307과 CVE-2016-5681 등 오래전에 공개된 취약점을 이용해 공유기를 감염시켰다. 4월 26일에는 CVE-2025-11837을 악용해 NAS를 공격하는 변종도 포착됐다.

주요 감염 제품은 디링크 DIR-850L과 DIR-818LW였다. 전체 감염 장비 중 DIR-850L이 75%, DIR-818LW가 13%를 차지했다. DIR-816L, DIR-818L, DWR-118, DIR-817LW 등 다른 구형 제품에서도 감염 흔적이 발견됐다.

국가별로는 한국이 48.45%로 가장 높은 비중을 차지했다. 중국은 31.82%, 스웨덴은 6.4%, 말레이시아는 3.5%, 싱가포르는 2.5%로 집계됐다. 감염 장비 두 대 중 한 대가 한국에 있는 셈이다.

아리스팅어는 일반적인 디도스 공격용 봇넷과 작동 목적이 다르다. 감염된 공유기를 인터넷과 내부망을 조사하는 정찰 거점이자 공격 트래픽을 우회하는 프록시 서버로 사용한다. 공격자는 자신의 실제 인터넷 주소와 위치를 숨긴 채 감염 장비를 통해 다른 시스템을 스캔하거나 침입을 시도할 수 있다.

감염된 각 장비는 공격 명령을 수행하는 ‘실행기’ 역할을 한다. 공격자는 대규모 인터넷 조사 작업을 여러 개의 작은 작업으로 나눈 뒤 감염 장비에 분산시킨다. 수천 대의 공유기가 서로 다른 인터넷 주소와 도메인을 동시에 조사하기 때문에 짧은 시간 안에 공격 대상을 찾을 수 있다.

악성코드는 감염 장비의 맥 주소, 장치 이름, 공인·사설 인터넷 주소, 운영체제 버전, CPU 구조 등 시스템 정보를 수집해 명령제어 서버로 전송했다. 이후 장비별 식별번호를 부여받고 새로운 작업 명령을 기다렸다.

공격자는 공유기에 드롭베어(Dropbear) 경량 SSH 서버를 설치해 지속적인 원격 접속 통로도 만들었다. 방화벽 설정을 변경해 특정 포트를 열고, 공유기가 재부팅되거나 네트워크 환경이 달라진 뒤에도 원격 제어를 이어갈 수 있도록 설계했다.

아리스팅어는 감염 공유기를 이용한 트래픽 중계와 터널링 기능도 제공했다. 이를 이용하면 공격자가 발생시킨 악성 트래픽이 피해자의 공유기에서 나온 것처럼 보이게 할 수 있다. 수사기관이나 보안업체가 실제 공격자를 추적하기 어렵게 만드는 수법이다.

사용자에게 직접적인 피해를 줄 수 있는 기능도 확인됐다. 공격자가 공유기의 DNS 설정을 바꾸면 이용자가 정상적인 인터넷 주소를 입력해도 피싱 사이트나 악성코드 유포 페이지로 이동할 수 있다. 공유기를 통과하는 인터넷 트래픽을 감시해 계정 정보와 내부 통신 내용을 수집할 가능성도 있다.

NAS를 겨냥한 표준형 변종은 구형 공유기용 악성코드보다 기능이 많았다. 고(Go) 언어로 제작됐으며 IP·DNS·웹서비스 검색과 내부망 정찰, 원격 명령 실행, 추가 악성코드 실행 기능을 갖췄다.

공격자는 에프스캔(Fscan), 케이서브도메인(Ksubdomain), 에이치티티피엑스(Httpx), 티엘에스엑스(Tlsx) 등 공개 보안 점검 도구를 악성코드에 결합했다. 감염된 NAS를 통해 내부 시스템과 실행 중인 서비스, 열린 포트, 취약점을 조사한 뒤 결과를 외부 서버로 전송했다.

NAS 변종은 셸 명령뿐 아니라 고, 자바, 파이썬 소스코드도 내려받아 실행할 수 있었다. 운영체제와 장비 구조에 맞춰 별도의 실행파일을 만들지 않고 공격 기능을 바꿀 수 있다는 의미다. 다만 장비에 해당 언어 실행 환경이 없으면 추가 설치가 필요하고, 명령과 파일 흔적이 남아 탐지될 가능성이 커진다.

아리스팅어의 DNS 검색 기능이 대량의 질의를 발생시키는 디도스 공격에 사용될 가능성도 제기됐다. 실제 DNS 공격에 사용된 흔적은 확인되지 않았다.

주요 감염 제품은 이미 제조사의 지원이 끝난 상태다. 디링크는 DIR-818L과 DIR-818LW 지원을 2017년 종료했으며, DIR-850L도 지원 종료 제품으로 분류했다. 지원이 끝난 제품은 새로운 취약점이 발견돼도 보안 업데이트를 받기 어렵다.

DIR-850L과 DIR-818LW는 과거 에이브이레콘(AVrecon) 악성코드에도 감염됐던 제품이다. 디링크는 2026년 3월 24일 미국 연방수사국(FBI)의 경고 내용을 인용해 이들 공유기가 주거용 프록시 서버로 악용되고 있다며 제품 교체를 권고했다.

단순 재부팅만으로 악성코드가 제거됐다고 판단해서는 안 된다. 공격자가 펌웨어를 변조하거나 업데이트 기능을 끈 경우 감염 상태가 유지될 수 있다. 관리자 비밀번호 변경과 초기화만으로 문제를 해결하기 어려운 이유다.

해당 제품을 사용하는 가정과 기업은 먼저 모델명과 펌웨어 버전을 확인해야 한다. 지원이 끝난 공유기는 인터넷 연결을 해제하고 보안 업데이트가 제공되는 제품으로 교체하는 것이 안전하다.

즉시 교체하기 어렵다면 제조사가 마지막으로 제공한 펌웨어를 적용하고 관리자 계정에 강력한 고유 비밀번호를 설정해야 한다. 외부 원격 관리 기능과 인터넷에 노출된 관리 페이지는 꺼야 한다. 와이파이 암호도 기존 관리자 비밀번호와 다르게 설정할 필요가 있다.

아리스팅어를 운영하는 공격 조직은 아직 확인되지 않았다. 악성코드 통신에 ‘2024’라는 문자열이 포함돼 있지만, 실제 공격이 2024년부터 시작됐다는 증거는 발견되지 않았다. 현재 확인된 사실만으로 특정 국가나 해킹 조직과 연결하기는 어렵다.

출처 : 데일리시큐