23년간 살아남은 Sality 봇넷은 어떻게 차단됐나

2026년 8월 31일, 미국과 유럽의 수사기관, 크라우드스트라이크, 섀도서버 재단은 20년 넘게 활동한 Sality 봇넷을 겨냥한 국제 공조 작전을 벌였다. 법원 절차에 따른 도메인 압수와 P2P(피어 투 피어) 싱크홀 작전을 함께 실시해, 감염된 컴퓨터가 봇넷 운영자의 인프라가 아니라 수사·보안 측이 통제하는 인프라로 연결되도록 유도한 것이다. 참여 기관에는 미국 법무부와 FBI, 국방범죄수사국(DCIS), 불가리아·헝가리·루마니아 당국이 포함됐다. 167

도메인을 압수하고, 분산망의 연결도 끊었다

미국 당국은 감염 기기 제어와 악성 페이로드 유포에 쓰인 Sality 연계 도메인을 압수했다. 불가리아·헝가리·루마니아 당국도 각 관할권 내 추가 인프라에 조치했다. 16

하지만 도메인만 없앤다고 끝나는 구조는 아니었다. Sality는 중앙 명령·제어(C2) 서버 몇 곳에만 의존하지 않는 P2P 봇넷이었다. 감염 기기들이 서로 다른 감염 기기의 정보를 주고받으며 연결 대상을 찾기 때문에, 일부 서버나 도메인이 사라져도 네트워크가 계속 작동할 수 있었다. 67

이에 크라우드스트라이크의 Counter Adversary Operations 팀은 수사기관 및 민간 파트너와 함께 P2P 싱크홀 작전을 수행했다. 목표는 감염 기기를 고립시키고, 운영자가 봇넷에 명령을 전달하던 통신 경로를 무력화하는 것이었다. 17

오래 버틴 P2P 설계가 역으로 약점이 됐다

크라우드스트라이크는 Sality의 P2P 통신 방식을 리버스 엔지니어링해, 감염 기기들이 서로를 찾아가는 데 사용하는 ‘피어 목록’ 메커니즘에 주목했다. 연구진은 이 정보가 수용되고 전파되는 방식의 취약점을 찾아낸 뒤, 네트워크에 허위 피어 정보를 주입했다. 613

쉽게 말해 감염된 시스템이 운영자의 네트워크가 아니라 통제된 싱크홀 인프라로 접속하게 만든 것이다. 그 결과 운영자는 기존 네트워크를 통해 새 악성코드 다운로드를 지시하거나 추가 페이로드를 배포하기 어려워졌다. 67

이 작전이 특히 복잡했던 이유는 중앙 서버 한 대를 제거하는 방식이 아니었기 때문이다. 감염 기기들이 독립적으로 네트워크 정보를 교환하는 분산 시스템을 상대해야 했다. 따라서 도메인에 대한 법적 조치와 봇넷 자체의 탐색 과정을 앞질러야 하는 동시다발적 기술 개입이 함께 필요했다. 167

Sality는 무엇에 쓰였나

Sality는 20년 이상 활동하며 감염 기기에 악성 페이로드를 배포하는 데 사용됐다. 보도와 공식 발표에 따르면 스팸 활동, 분산 서비스 거부(DDoS) 공격, 자격 증명 탈취, 암호화폐 탈취에 활용됐다. 6

보고된 페이로드 중 하나인 EggJagger는 피해자의 클립보드에서 암호화폐 지갑 주소를 감시하다가, 이를 공격자가 통제하는 주소로 바꾸는 방식으로 작동했다. 이 경우 사용자가 의도한 비트코인 또는 이더리움 송금이 공격자에게 넘어갈 수 있다. 크라우드스트라이크는 EggJagger로만 최소 15만 달러 상당의 암호화폐가 탈취됐다고 추산했다. 6

섀도서버 재단의 역할

섀도서버 재단은 크라우드스트라이크 및 법 집행기관과 함께 이번 다국적 교란 작전에 참여한 민간 파트너다. 미국 법무부는 Sality 및 관련 인프라를 교란하는 공동 노력의 협력 기관으로 두 조직을 지목했다. 1

봇넷 대응은 기술만의 문제도, 법 집행만의 문제도 아니다. 도메인 압수에는 법적 권한과 국가 간 협력이 필요하고, 싱크홀에는 전문적인 분석과 실제 운영 역량이 요구된다. 두 수단을 결합함으로써 운영자가 감염 네트워크에 도달할 수 있는 능력을 낮춘 것이다. 17

교란됐다고 감염이 사라진 것은 아니다

봇넷 교란은 모든 감염 기기가 치료됐다는 뜻이 아니다. 크라우드스트라이크는 Sality가 전 세계 3만3,000대가 넘는 감염 기기에 악성 페이로드를 배포할 수 있게 했다고 밝혔다. 7

보안 담당자 입장에서 감염된 엔드포인트는 여전히 잠재적 침투 거점이다. 악성코드가 남아 있을 수 있고, 이전에 자격 증명이 탈취됐을 가능성도 있으며, 후속 침해 활동이 있었는지 조사해야 할 수 있다. 싱크홀은 이번 작전에서 확인된 활성 명령 경로를 끊지만, 조직은 영향을 받은 시스템을 찾아 치료하고 점검해야 한다.

장기적 결과도 아직 확정된 것은 아니다. Sality 운영자는 공개적으로 특정되지 않았으며, 현재 정보가 뒷받침하는 표현은 ‘완전 제거’가 아니라 ‘교란’이다. 운영자가 통제권 회복을 시도하거나 악성코드를 바꾸고 대체 인프라를 구축할 가능성은 남아 있다. 17

Sality 작전이 남긴 교훈

Sality 사례는 P2P 봇넷이 왜 오래 살아남을 수 있는지, 또 왜 몇 개의 서버를 내리는 것만으로는 해체하기 어려운지를 보여준다. 분산형 설계는 수년간 생존력을 높였지만, 동시에 피어 탐색 기능은 수사기관과 보안 연구진이 역이용할 수 있는 진입점이 됐다. 리버스 엔지니어링, 싱크홀, 국제 법 집행 공조가 정교하게 맞물릴 때 분산형 봇넷도 고립시킬 수 있다는 사례다. 167