8년간 비트코인·이더리움 훔친 Sality 봇넷, 20년 만에 해체

20년 넘게 암호화폐 생태계를 교란하며 악명을 떨쳐온 Sality 봇넷이 결국 해체 수순을 밟게 되었다. 미국 법무부와 사이버 보안 업체 크라우드스트라이크(CrowdStrike)는 2003년부터 활동해 온 이 거대 봇넷의 인프라를 무력화했다고 20일(현지시간) 발표했다. Sality 봇넷은 특히 지난 8년간 'EggJagger'라는 악성 페이로드를 통해 사용자들의 암호화폐 지갑 주소를 탈취하는 방식으로 막대한 부당 이득을 챙겨온 것으로 드러났다.

크라우드스트라이크의 분석에 따르면, EggJagger 페이로드만으로도 최소 1210만 루블, 한화 약 15만 달러(약 2억원) 상당의 암호화폐가 탈취되었다. 더욱 놀라운 것은 이 봇넷 운영자가 탈취한 암호화폐를 대부분 인출하지 않고 보유하고 있었으며, 이 미사용 자산의 가치가 2025년 1월 기준 약 1억 4700만 루블, 즉 135만 달러(약 18억원)에 달하는 것으로 추정된다는 점이다. 이는 당시 환율 기준으로 서구 주요 도시에서 400만 달러 상당의 구매력을 가진 금액과 맞먹는 수준이다.

Sality 봇넷은 2003년부터 지금까지 단일 중앙 서버 없이 P2P(Peer-to-Peer) 방식으로 운영되어 왔다는 점에서 시스템 파괴가 더욱 어려웠다. 감염된 컴퓨터들이 서로 직접 통신하는 구조로 인해 운영자의 개입 없이도 악성코드가 자율적으로 복제되고 확산될 수 있었다. 이러한 구조는 네트워크 공유 폴더나 이동식 저장 장치를 통해 실행 파일에 악성코드를 첨부하는 방식으로 이루어졌으며, 이는 Sality가 20년간 생존할 수 있었던 주요 요인으로 분석된다.

그러나 바로 이러한 P2P 구조가 Sality를 무너뜨리는 결정적인 열쇠가 되었다. Sality 봇넷은 특정 조건을 만족하는 모든 접속 가능한 기기들을 봇으로 받아들였는데, 크라우드스트라이크의 '반대 공격 작전팀(Counter Adversary Operations team)'은 이 점을 파고들었다. 팀은 각 봇이 보유한 합법적인 동료 목록에서 실제 동료들을 제거하고, 자체적으로 구축한 '싱크홀(sinkhole)' 서버 주소를 삽입하는 방식으로 15,000대 이상의 감염된 기기들을 격리하는 데 성공했다.

이번 작전은 미국 법무부, FBI, 국방부 범죄 수사국(DCIS)이 미국 내 Sality 관련 도메인을 압수하고, 불가리아, 헝가리, 루마니아 등 유럽 지역의 경찰이 현지에서 관련 인프라를 제거하는 등 다국적 공조를 통해 이루어졌다. 또한, 섀도우서버 재단(The Shadowserver Foundation)은 인터넷 서비스 제공업체(ISP)들과 협력하여 Sality 봇넷에 감염된 피해자들에게 해당 사실을 통지하고 시스템 복구 조치를 안내하고 있다.

Sality 봇넷은 EggJagger를 통한 암호화폐 탈취 외에도 과거에는 크리덴셜 탈취, 스팸 메일 발송, 프록시 서비스 제공, DDoS 공격 등 다양한 악성 행위에 활용되어 왔다. 크라우드스트라이크는 Sality 봇넷 운영자를 'SALTY SPIDER'라는 코드명으로 추적해 왔으며, 이 운영자가 2023년 9월에도 특정 대상을 대상으로 DDoS 공격 페이로드를 실행하는 등 적극적인 악성 활동을 벌여왔음을 밝혔다.

이번 Sality 봇넷 해체는 암호화폐를 노리는 사이버 범죄와의 싸움에서 중요한 진전을 보여주는 사례로 평가된다. P2P 봇넷의 취약점을 파고드는 창의적인 접근 방식과 국제적인 협력이 결합된 결과물이다. 하지만 여전히 유사한 형태의 봇넷이 존재할 가능성이 높으며, 사용자들은 개인 정보 보호 및 보안 의식을 지속적으로 강화해야 할 필요성이 제기된다. 특히, 암호화폐 거래 시에는 항상 지갑 주소를 복사·붙여넣기 한 후 수신인 주소를 재확인하는 습관을 들이는 것이 필수적이다. 또한, 출처가 불분명한 소프트웨어 설치를 지양하고, 최신 보안 업데이트를 유지하는 것이 개인 자산 보호의 기본이다.