해체된 Sality 봇넷
CrowdStrike와 미국 법무부는 2003년부터 활동해온 Sality라는 봇넷을 해체했다고 보안 회사가 화요일 발표했습니다. Sality는 감염된 컴퓨터에서 지갑 주소를 재작성하여 암호화폐 결제를 가로채는 방식으로 지난 8년 동안 활동해왔습니다.
주요 기능과 수익
Sality 자체는 다른 사람의 페이로드를 전달하는 것 외에는 특별한 역할을 하지 않았습니다. 8년 동안 Sality의 주요 화물은 EggJagger로, CrowdStrike는 이를 “암호화폐 지갑 주소를 모니터링하여 클립보드를 가로채는 도구“라고 설명하며, 이를 운영자의 주소로 교체했습니다. 비트코인이나 이더리움 주소를 복사하여 누군가에게 지불하려는 피해자는 돈을 낯선 사람에게 보내게 됩니다.
CrowdStrike는 EggJagger만으로 최소 1210만 루블, 약 15만 달러의 수익을 올렸다고 밝혔습니다. EggJagger 이전에 이 봇넷은 자격 증명 도용, 스팸, 프록시 서비스 및 서비스 거부 페이로드를 전달하며 생계를 유지했습니다. 도난당한 코인은 대부분 손대지 않은 채 남겨졌으며, 이는 더 수익성 있는 결정으로 판명되었습니다.
봇넷의 구조와 생존 이유
CrowdStrike는 사용되지 않은 포트폴리오의 가치를 2025년 1월에 약 1억 4700만 루블, 명목상으로 135만 달러, 또는 서구 자본에서의 400만 달러의 구매력으로 평가하고 있습니다. Sality가 2003년부터 생존할 수 있었던 이유는 중앙 서버가 없었기 때문입니다. 감염된 기계들은 서로 직접 통신하며, 악성 코드는 네트워크 공유 및 이동식 드라이브를 통해 전달되는 실행 파일에 붙어 퍼져 나가며, 운영자의 노력 없이도 재생산되었습니다.
이러한 아키텍처는 또한 진입 경로가 되었습니다. 봇들은 핸드쉐이크에 올바르게 응답하는 모든 접근 가능한 기계를 수용했으며, 누가 참여하는지에 대한 검증이 없었습니다.
해체 작업과 국제 협력
CrowdStrike의 반적대작전 팀은 이러한 접근을 이용해 각 봇의 주소 목록에서 합법적인 동료를 제거하고 자신의 싱크홀을 삽입하여 전 세계적으로 15,000대 이상의 기계를 격리했습니다.
법무부, FBI 및 방위 범죄 수사 서비스는 미국 내 Sality 관련 도메인을 압수했으며, 불가리아, 헝가리 및 루마니아 경찰은 유럽 내 다른 도메인을 차단했습니다. Shadowserver 재단은 인터넷 제공업체와 협력하여 피해자에게 알리고 있습니다.
운영자의 활동
CrowdStrike가 SALTY SPIDER로 추적하는 운영자는 가끔 자신의 목표에 봇넷을 사용하기도 했습니다. 2023년 9월에는 서비스 거부 페이로드가 러시아 암호화폐 거래소 AvanChange를 타격했으며, 이는 업로드 직전에 몇 초 만에 컴파일된 것으로, CrowdStrike는 이를 개인적인 불만에 대한 충동적인 반응으로 해석하고 있습니다.
이 회사는 운영자가 도난당한 코인을 현금으로 전환하기 위해 이러한 거래소를 사용했다고 믿고 있습니다. 감염된 기계들은 이제 소유자가 아닌 CrowdStrike가 제어하는 싱크홀에 보고하고 있습니다.
경고 및 조치
이 회사는 탐지 규칙과 네트워크 지표를 발표했으며, 이미 해당 기계에 존재하는 악성 코드는 누군가가 이를 제거할 때까지 활성 상태로 남아 있다고 경고하고 있습니다.
