Aisuru-Kimwolf 봇넷은 대규모 볼류메트릭 DDoS 공격을 실행할 수 있는 맬웨어로 손상된 장치들의 대규모 네트워크입니다.
이 글을 읽은 후에 다음을 할 수 있습니다:
글 링크 복사
Aisuru-Kimwolf 봇넷은 맬웨어에 감염된 장치의 대규모 집합으로, 분산 서비스 거부(DDoS) 공격을 비롯한 다양한 공격에 사용됩니다. Aisuru와 Kimwolf를 합하면 약 100만~400만 대의 감염된 호스트로 구성된 것으로 추정됩니다. Aisuru-Kimwolf는 핵심 인프라를 마비시키고, 대부분의 기존 클라우드 기반 DDoS 방어 솔루션을 다운시키며, 심지어 국가 전체의 연결성까지도 교란할 수 있는 DDoS 공격을 실행할 수 있습니다.
Aisuru-Kimwolf는 기록상 가장 큰 규모의 DDoS 공격 중 일부를 자행했는데, 여기에는 31.4 테라비트/초(Tbps) DDoS 공격, 141억 패킷/초(Bpps) DDoS 공격, 'Water Torture' 등의 정교한 DNS 기반 DDoS 공격 및 랜덤 접두사 공격, 초당 2억 건 이상의 요청을 처리하는 HTTP DDoS 공격이 포함됩니다.
이러한 비트 집약적 및 패킷 집약적 공격은 일반적으로 감지를 회피하기 위해 패킷 속성의 과도한 무작위화와 함께 융단 폭격 기술을 사용합니다. 이 공격은 일반적으로 '히트 앤드 런' 기술로 실행됩니다. 공격 트래픽이 거의 즉시 최고 속도에 도달하고 몇 초에서 몇 분까지 지속됩니다. 단 일 년(2025년~2026년) 이내에 사이에 Aisuru-Kimwolf의 잠재적 공격 규모가 700% 이상 증가했습니다.
Aisuru 봇넷은 소비자 사물 인터넷(IoT) 장치 및 DVR부터 네트워크 장비, 심지어 클라우드에서 호스팅되는 가상 머신(VM)에 이르는 맬웨어에 감염된 컴퓨팅 장치의 네트워크입니다. 이 감염된 장치들이 함께 작동하여 DDoS 공격을 시작합니다.
Aisuru는 다른 변형이 개발된 아키텍처 기반 또는 '상위' 봇넷 역할을 합니다. Aisuru는 다양한 장치를 대상으로 대규모 볼류메트릭 DDoS 공격을 실행하는 더 광범위한 맬웨어 생태계의 일부입니다.
Kimwolf는 활발하게 활동하며 빠르게 성장하고 있는 봇넷으로, 특히 TV 스트리밍 박스(스마트 TV), Android 스트리머, Android 모바일 기기 등 Android 기기를 겨냥합니다. Kimwolf는 전 세계에 걸쳐 약 200만 개의 장치로 구성되어 있으며, 베트남, 브라질, 인도, 사우디아라비아에서는 감염률이 높습니다.
Kimwolf는 대규모 볼류메트릭 DDoS 공격, 자격 증명 스터핑, 무단 애플리케이션 설치에 사용됩니다.
본질적으로 그 관계는 변형과 상위 개체의 관계입니다. Kimwolf는 Aisuru DDoS 봇넷의 'Android 변형'입니다. Kimwolf는 Aisuru의 핵심 DDoS 기능을 사용하지만, Android 생태계를 감염시키고 그 생태계 내에서 운영되는 데 특화되어 있습니다.
둘 다 손상된 장치를 '레지덴셜 프록시'로 바꾸어 수익을 창출하는 시스템의 일부입니다. Aisuru와 Kimwolf의 운영자는 이러한 감염된 장치의 IP 주소에 대한 액세스 권한을 다른 사용자 또는 프록시 공급자에게 판매하여 사이버 범죄자가 공격을 익명으로 유지할 수 있도록 합니다. Aisuru의 프록시 설정 서비스는 특히 데이터 스크래핑 공격에 사용되어 왔습니다.
또한, 많은 배포자는 이러한 봇넷 청크를 서비스형 DDoS라고도 알려진 임대형 봇넷(botnet-for-hire)으로 수익화하고 있습니다. 이들은 Discord와 Telegram 채널을 통해 이러한 서비스를 판매하는데, 저렴하게 수십 달러에 판매하는 경우도 있습니다. 그러나 DDoS 서비스의 비용은 공격의 규모와 기간에 따라 최대 수천 달러에 달할 수 있습니다. 그 수익은 봇넷의 추가 개발을 위한 자금으로 사용됩니다.
요약하자면, Aisuru는 원조 DDoS 공격 프레임워크이고, Kimwolf는 레지덴셜 프록시 서비스의 허술한 보안을 악용하여 네트워크의 폭발적인 성장을 촉진한 특화된 Android '플랫폼'입니다. Aisuru-Kimwolf 봇넷은 기생 고속 DDoS 생태계입니다. 이는 사이버 범죄의 최신 변화를 나타냅니다. 공격자들은 최종 사용자뿐만 아니라 특히 레지덴셜 프록시 산업을 악용하여 대규모 공격을 가합니다.
봇넷은 맬웨어에 의해 손상되고 악의적인 당사자가 제어하는 네트워크에 연결된 컴퓨팅 장치의 집합입니다. 대부분은 아니더라도 많은 봇넷 컴퓨터가 정상적으로 실행되는 것으로 보이는 반면, 맬웨어는 백그라운드에서 실행되며 명령을 기다립니다. 봇넷 운영자는 감지되지 않은 상태로 네트워크를 최대한 크게 유지하기를 원합니다. 일반적으로 봇넷에 장치가 많이 있을수록 봇넷이 더 효과적입니다. 장치가 많을수록 광범위한 IP 주소에서 발생하는 트래픽의 양이 많아집니다.
봇넷에는 대부분 가정과 사무실의 평범한 장치가 포함되어 있습니다. IoT 장치는 봇넷의 일부가 되는 것에 특히 취약합니다. 이는 IoT 장치가 다음과 같기 때문입니다.
라우터는 또한 봇넷 확산 맬웨어의 대상이 되는 경우가 많습니다. 라우터가 인터넷에 지속해서 연결되어 있고, 라우터를 자주 끄거나 업데이트하지 않으며, 보안 결함이 있는 경우가 많기 때문입니다. 대부분은 아니더라도 많은 가정과 사업체에는 라우터가 있으며, 이를 적절히 보호하는 방법을 모르는 사람이 많습니다.
봇넷 장치는 악의적 활동을 수행하기 전에 지침을 기다립니다. 지침이 주어지면 해당 봇넷 장치는 정보 패킷(네트워크 '트래픽')을 대상, 즉 일반적으로 지정된 애플리케이션, 웹 사이트, 네트워크, 서버로 전송합니다. 수천 개의 장치가 함께 작동하면 대상을 압도할 수 있습니다.
다양한 발송인이 보낸 수백 개의 소포가 한꺼번에 어느 사무실의 프런트 데스크에 도착하고 프런트 데스크 접수원이 모두 대신 서명해야 한다고 상상해 보세요. 그 사무실을 찾는 방문자는 리셉셔니스트로부터 서비스를 받을 때까지 기다려야 하며, 서비스를 전혀 받지 못할 수도 있습니다. 봇넷도 대상에 대해 유사한 영향을 미치며, 그에 따라 합법적인 애플리케이션 사용자에 대한 서비스가 거부됩니다.
Aisuru-Kimwolf의 공격력은 엄청나지만, 가장 강력한 공격조차도 몇 초 이상 지속되는 경우는 드물다는 점에 주목할 필요가 있습니다.
Aisuru가 대상으로 하는 장치는 기본 자격 증명, 알려진 취약점이 있는 오래된 펌웨어 등 위에 나열된 이유로 인해 취약해질 수 있습니다. 해당 봇넷 운영자는 인터넷에서 취약한 장치를 스캔하고 가능한 모든 장치에 자기네 맬웨어를 삽입합니다.
Aisuru는 라우터 펌웨어의 zero-day 취약점을 이용하여 빠르게 확산될 수도 있습니다. 제조업체에서 취약점을 식별하고 패치를 배포할 때까지는 이러한 취약점에 대한 방어 수단이 없습니다.
Kimwolf는 취약한 Android 디버그 브리지(ADB) 서비스를 악용합니다. 많은 저비용 TV 박스에는 프록시 SDK가 '사전 감염'되어 있습니다. 그런 다음 Kimwolf는 이러한 레지덴셜 프록시 네트워크를 스캔하고 전파되는 동안 몇 분 이내에 해당 장치를 악용합니다.
DDoS 공격의 경우, Aisuru는 DNS, TCP, UDP, GRE 프로토콜 공격을 사용하는 경향이 있습니다. UDP 융단 폭탄 공격이 가장 흔하며, Aisuru의 대규모 31.4 Tbps 공격 및 유사한 규모의 공격에서 이 공격이 사용되었습니다. UDP 융단 폭탄 공격에서, 공격 트래픽은 하나가 아닌 여러 IP 주소를 겨냥합니다. 개별 IP 주소를 향하는 트래픽은 공격으로 식별되는 임계값 아래로 떨어질 수 있지만, 트래픽이 결합되면 네트워크의 대역폭을 소진시킬 수 있습니다.
또한 Aisuru-Kimwolf는 주로 게임 업계를 겨냥하여 대규모 볼류메트릭 HTTP DDoS 공격을 감행해 왔습니다.
TCP 기반 공격의 작동 방식을 알아보려면 SYN 폭주 공격 및 ACK 폭주 공격을 참조하세요.
프록시는 네트워크에 연결된 컴퓨터와 나머지 네트워크 사이에 위치하여 컴퓨터를 대신하여 트래픽을 전달하는 서버입니다. 프록시는(보안 강화 등) 다양한 합법적인 목적으로 사용되지만, 사이버 범죄자의 경우 프록시를 사용하는 것은 악의적인 네트워크 트래픽의 진정한 출처를 숨기는 한 가지 방법입니다.
연구자들은 확인한 바로는 Aisuru가 대량의 프록시 악성 트래픽의 출처였습니다. Aisuru는 '레지덴셜 프록시' 서비스를 판매합니다. 미국에 있는 일반적인 가정 사용자가 트래픽을 발생한 것처럼 보이게 할 수 있습니다. 이러한 서비스는 주로 해당 웹 사이트의 의사에 반하여 웹 사이트에서 데이터를 수집하는 데이터 스크래핑 봇의 실제 출처를 숨기는 데 사용되었습니다.
Mirai 봇넷은 2010년대 후반에 특히 활동했던 크고 강력한 DDoS 봇넷입니다. Mirai의 코드는 2016년에 유출되었으며, 그 이후로 Aisuru를 비롯한 여러 주요 봇넷의 기반이 되었습니다. Aisuru-Kimwolf와 Mirai에는 모두 대량의 IoT 장치가 있습니다.
봇넷의 다른 예로는 Moobot 및 Meris가 있습니다.
Cloudflare에서는 DDoS 공격의 규모와 관계없이 완화합니다. 앞서 설명한 31.4Tbps Aisuru-Kimwolf 공격은 Cloudflare의 자율 DDoS 방어 기능에 의해 자동으로 감지되고 완화되었습니다. 모든 네트워크, 웹 사이트, 애플리케이션, API에서 Cloudflare를 이용하여 크고 작은 Aisuru 공격을 차단할 수 있습니다. 여기에서 Cloudflare 요금제를 참조하세요.
Aisuru 기반 공격을 나타내는 손상 지표(IoC)를 포함하여 Aisuru에 대해 자세히 알아보려면 위협 요약 'Aisuru 봇넷: 10월 초 공격이 기록적인 DDoS 활동으로 확대됨'을 참조하세요.