중국 국가컴퓨터비상대응팀(CNCERT)과 위협 인텔리전스 연구소 XLab이 공동으로 추적해 온 사물인터넷(IoT) 봇넷 디스포리아(Dysphoria)가 2026년 3월 자키스키드(JackSkid) 관련 인프라에 대한 법 집행 조치 이후, 운영 체제를 한 단계 더 고도화한 것으로 확인됐다. 새로 채택한 두 축은 블록체인 기반 네임 서비스와 감염 디바이스 릴레이이며, 테이크다운에 대한 저항성을 높이기 위한 의도적 설계 변화로 분석된다.
- 디스포리아 봇넷은 2026년 3월 자키스키드 관련 인프라에 대한 법 집행 조치 이후에도 활동을 지속하며 새로운 통신 백본으로 자체 복원한 것으로 분석된다.
- CNCERT와 XLab이 공동으로 추적한 결과, 블록체인 기반 네임 서비스와 감염 디바이스 릴레이가 새로 도입된 핵심 변화로 확인된다.
- 신설계는 단일 도메인이나 IP를 차단하던 전통적 테이크다운만으로는 통신 차단이 어렵게 만들 수 있다는 평가가 연구진 측에서 나온다.
전통적 C2 차단 방식이 한계에 부딪히면서, 국내 IoT 중심 제조·공공 환경을 대상으로 한 위협 인텔리전스 기반의 선제 대응 필요성이 다시 한번 제기되는 시점이다.
디스포리아 봇넷 개요와 자키스키드 작전의 배경
디스포리아의 초기 구조와 감염 대상
디스포리아는 IP 카메라, 가정용 라우터, DVR, 산업용 게이트웨이 등 외부 노출이 잦은 IoT 디바이스를 주요 감염 표적으로 삼아온 봇넷 계열이다. 초기 버전에서는 비교적 전통적인 명령 제어(Command and Control, C2) 아키텍처를 사용한 것으로 알려졌으며, C2 노드 차단을 통한 단속을 회피하기 위해 도메인 제너레이터 알고리즘(DGA) 등 일부 우회 기법을 혼합해 사용한 것으로 보고된다.
2026년 3월 자키스키드 인프라 단속 개요
2026년 3월, 디스포리아 운영과 연관된 것으로 평가되는 자키스키드 관련 인프라에 대한 법 집행 조치가 이뤄졌다. 단속 이후 단기간 봇넷 활동이 위축된 것이 관측됐으나, 운영 세력은 별도의 백업 체계를 통해 빠르게 통신 채널을 재구성한 것으로 분석된다. 이 사건은 봇넷이 단일 인프라에 의존하지 않는 한, 법 집행만으로 근본적 차단이 어렵다는 점을 다시 한번 드러낸 사례로 평가된다.
블록체인 기반 C2: 탈중앙화로의 전환
블록체인 네임 서비스 도입 방식
디스포리아는 단속 이후 블록체인 기반 네임 서비스를 활용해 C2 엔드포인트 주소를 조회하는 방식을 채택한 것으로 확인된다. 블록체인에 기록된 트랜잭션이나 스마트 컨트랙트 페이로드에서 다음 홉의 C2 주소를 읽어들이는 구조는, 특정 도메인이나 IP를 압수·차단하더라도 다음 주소를 자동으로 갱신할 수 있는 회복 탄력성을 제공한다. 즉, 단일 접점 차단으로는 통신이 끊어지지 않도록 설계된 것으로 해석된다.
C2 채널 식별과 차단이 어려운 이유
블록체인 네트워크 자체는 광범위하게 사용되는 합법적 인프라이기 때문에 트래픽 자체를 차단하면 정상 서비스에 대한 광범위한 영향이 발생할 수 있다. 또한 주소가 트랜잭션 단위로 변경될 수 있어, 전통적인 IP/도메인 기반 평판 데이터베이스로는 악성 C2 트래픽과 정상 트래픽을 구별하기가 더욱 어려워졌다. 이러한 이유로 보안 연구진은 디스포리아의 신설계가 봇넷 중단 작업을 더 어렵게 만들었다고 평가한다.
감염 디바이스 릴레이의 작동 원리
릴레이 노드 선별과 통신 흐름
감염 디바이스 릴레이는 C2와 봇 에이전트 사이의 중간 다리 역할을 하는 노드를 감염된 디바이스 자체에서 선별해 활용하는 방식이다. 운영자는 블록체인 C2로 릴레이 후보 디바이스의 식별자를 게시하고, 해당 디바이스는 일반적인 사용자 트래픽처럼 보이는 패킷 안에 명령을 캡슐화해 다른 봇으로 전달한다. 이 과정에서 C2는 단 몇 개의 릴레이에만 연결되기 때문에, C2 IP 노출이 최소화되는 효과가 발생한다.
트래픽 은닉 및 사이버 위장 기법
릴레이 구간은 일반 가정용 단말처럼 보이는 IP 대역을 거치므로, 보안 장비 입장에서는 악성 흐름과 정상 흐름을 구분하기가 쉽지 않다. 디스포리아는 사용자 트래픽이 많은 시간대에 릴레이 활동을 집중시키는 등의 변형 기법이 관측된 것으로 보고된다. 결과적으로 위협 헌터가 단서를 찾기 위해서는 엔드포인트 단의 행위 분석과 네트워크 메타데이터의 상관 분석이 함께 필요하다.
CNCERT와 XLab의 위협 인텔리전스 시사점
추적 및 귀속의 한계
CNCERT와 XLab이 공동으로 추적한 결과, 디스포리아는 3월 조치 이후 약 4개월 만인 7월 시점에서 새로운 C2 백본과 릴레이 체인이 운영되는 것으로 관측된 것으로 전해진다. 단, 운영 주체의 신원과 위치는 다중 릴레이와 블록체인 주소 변경 때문에 명확한 귀속이 어려운 상황으로 분석된다. 아래 표는 단속 전후 변화를 요약한 것이다.
| 구분 | 단속 이전 (2026.03 이전) | 단속 이후 (2026.07 기준) |
|---|---|---|
| C2 주소 해석 | 고정 도메인/DGA | 블록체인 네임 서비스 |
| C2 노출 노드 | 전용 호스팅 다수 | 감염 디바이스 릴레이 |
| 차단 난이도 | 도메인/IP 단위로 가능 | 트랜잭션 단위 갱신, 광범위 차단 필요 |
| 추적 기관 | CNCERT, XLab | CNCERT, XLab (협업 지속) |
한국어권 보안 전문가의 대응 과제
한국은 IoT 제조와 소비가 동시에 큰 국가이며, 특히 스마트홈, 산업용 센서, 공공 CCTV 등에서 동일 벤더군이 광범위하게 사용된다. 디스포리아 류의 봇넷이 감염 디바이스를 릴레이로 악용할 경우, 한국 IP 대역이 의도치 않게 글로벌 C2 트래픽의 중간 경로로 활용될 가능성이 있다. 이 때문에 위협 인텔리전스 측면에서도 한국어권 CERT와의 IoC(침해 지표) 공유가 더욱 중요해질 것으로 보인다.
한국 기업과 기관을 위한 대응 권고
IoT 자산 가시성 확보
가장 먼저 선행되어야 할 조치는 사물인터넷 자산의 가시성 확보다. 디바이스 모델, 펌웨어 버전, 노출 포트, 관리자 계정 사용 여부 등을 통합 자산 데이터베이스로 관리하고, 기본 자격증명을 사용하는 노후 IoT 기기에 대해서는 즉시 교체나 세그먼테이션을 적용해야 한다. 자산 목록이 갖춰지지 않으면 릴레이 노드 선별을 탐지하는 것도 사실상 불가능해진다.
이상 트래픽 모니터링과 협력 체계
- 내부 IoT 디바이스에서 외부로 향하는 비정상적 장기 연결(장시간 단일 세션 유지)을 탐지하는 규칙을 마련한다.
- 외부에서 내부 IoT 디바이스로 유입되는 P2P 형태의 트래픽 패턴을 별도 모니터링한다.
- 국내외 CERT, 위협 인텔리전스 플랫폼과 IoC를 실시간 공유해 릴레이 노드 식별 속도를 높인다.
- 주요 링크 참조: The Hacker News 원문 기사 및 Dark Reading 위협 인텔리전스 분석.
핵심 정리
- 디스포리아 봇넷은 자키스키드 단속 이후에도 자가 복원해 7월 시점에도 정상 운영되는 것으로 확인된다.
- 블록체인 기반 네임 서비스와 감염 디바이스 릴레이의 결합은 전통적 도메인·IP 차단 모델을 사실상 무력화한다.
- CNCERT와 XLab의 공동 추적 결과는 귀속의 한계를 보여주며, IoT 중심 경제를 가진 한국에 광범위한 시사점을 준다.
- 한국 기업과 기관은 IoT 자산 가시성 확보, 이상 트래픽 모니터링, 위협 인텔리전스 협력 강화가 핵심 대응축이 된다.