SubdoMailing이 이메일 신원 인증(SPF/DKIM)을 악용해 인증된 메일을 보내는 것이 ‘신원(Identity)’ 문제라면, DNS Attribution Laundering은 CNAME 레코드를 활용해 외부 SMTP 서버의 역DNS나 Received 헤더에 신뢰할 수 있는 기관 호스트명을 노출시킵니다. 이는 인프라 귀속 정보(Infrastructure Attribution)만을 교란시키는 기법입니다.
SubdoMailing: 이메일 인증 체계를 이용한 신원 도용
SubdoMailing은 관리가 끊긴 DNS 레코드, 이른바 ‘Dangling DNS’를 노려 피싱 이메일을 보내는 공격 수법입니다. 공격자는 도메인 탈취나 방치된 DNS 허점을 이용해 특정 도메인 및 서브도메인을 장악하며, 이렇게 보내는 악성 메일은 대부분 인증된 상태로 봅니다.
작동 메커니즘과 위험성
SubdoMailing의 핵심은 ‘누가 보냈는가’를 따지는 신원 인증 체계를 무력화하는 데 있습니다. 공격자는 다음 경로로 인증된 메일을 발송합니다.
- 방치된 CNAME 및 SPF include 탈취: 관리되지 않는 CNAME 레코드나 SPF include 설정을 탈취해 해당 서브도메인에서 인증된 메일을 보낼 권한을 가져옵니다.
- 인증 체계의 악용: SPF(Sender Policy Framework) 레코드를 조작해 자신이 관리하지 않는 도메인에서 메일을 보내며, 피싱 공격과 악성코드 유포로 이어집니다.
- 인프라 확장: 단순히 메일 발송에 그치지 않고 MX 레코드를 추가해 트래픽을 수신하는 단계까지 확장하기도 합니다.
보안 게이트웨이가 신뢰하는 SPF/DMARC 인증을 통과하기 때문입니다. SOC 분석가가 인증 여부만 놓고 판단하면 탐지하기가 참 어렵습니다.
DNS Attribution Laundering: 인프라 귀속 정보의 왜곡
DNS Attribution Laundering은 SubdoMailing과 달리 이메일 인증 체계를 우회하는 것이 목적이 아닙니다. 대신 방치되거나 외부로 위임된 DNS 관계를 활용해, 외부 SMTP 인프라가 신뢰할 수 있는 제3자 호스트명 아래에 위치한 것처럼 보이게 만듭니다.
핵심 차이점과 관측 패턴
이 기법은 ‘어디서 보냈는가’라는 인프라 귀속 정보를 교란하는 데 초점을 맞춥니다. 공격자는 CNAME 레코드 하나만으로 신뢰할 수 있는 기관의 호스트명을 외부 SMTP 서버의 역DNS(rDNS)나 Received 헤더에 노출시킵니다.
관측 사례 분석 (Example Only)
- 유타주립대학교 사례: ‘therate.hec.utah.edu’가 CNAME으로 ‘cse-online.net’을 가리켰으며, 해당 도메인은 57개 IP를 반환하는 패턴이 관측됐습니다.
- 스탠퍼드대학교 사례: ‘wholecellviz.stanford.edu’가 CNAME으로 ‘wholecellviz.org’를 가리키며 약 50개 IP를 반환했고, 이 중 ‘50.6.197.216’이 피싱 SMTP 소스로 확인됐습니다.
- 연구 결과: 2026년 2월과 7월에 위 두 기관의 호스트명이 외부 SMTP 서버의 Received 헤더에 나타났다는 결과가 공개됐습니다. 다만 Zenodo 공개 데이터셋(DOI 10.5281/zenodo.21400689)에 따르면, 인프라 운영자가 기관 귀속을 의도적으로 노렸다는 증거는 아직 확립되지 않았습니다.
SubdoMailing vs DNS Attribution Laundering 비교 분석
두 기법 모두 방치된 DNS 위임을 악용하지만, 공격 목표와 영향 지점은 완전히 다릅니다.
| 비교 항목 | SubdoMailing | DNS Attribution Laundering |
|---|---|---|
| 핵심 타겟 | 이메일 신원 인증 (Identity) | 인프라 귀속 정보 (Attribution) |
| 주요 악용 요소 | SPF, DKIM, DMARC, MX 레코드 | CNAME 레코드, rDNS, Received 헤더 |
| 공격 결과 | 인증된 피싱 메일 발송 | 신뢰 기관 호스트명으로 인프라 위장 |
| 인증 우회 여부 | 인증 체계를 직접 악용/우회함 | 인증 체계를 우회하지 않음 |
네트워크 및 보안 관리자를 위한 대응 전략
두 가지 위협은 모두 DNS 하이재킹과 방치된 레코드에서 비롯되므로 전사적인 DNS 거버넌스가 필수입니다. 특히 SubdoMailing에 대해서는 다음 실무적 대응이 필요합니다.
-
DNS 위생 관리 (DNS Cleaning)
- 더 이상 사용하지 않는 리소스 레코드는 즉시 삭제해야 합니다.
- 불필요해진 제3자 의존성(Third-party dependencies)을 DNS에서 제거해 Dangling DNS 발생 가능성을 원천 봉쇄합니다.
-
지속적인 모니터링 및 가시성 확보
- 관리 대상 호스트명 리스트를 작성하고 방치된 리소스 레코드가 있는지 지속적으로 모니터링해야 합니다.
- 소유 도메인 및 서브도메인에서 메일이 발송되고 있는지 소스를 감시해, 도메인 탈취 시 빠르게 인지할 수 있는 체계를 구축합니다.
-
심층 분석 체계 도입
- SPF/DMARC 인증 로그를 상시 감시하고 SPF 트리를 시각화해 비정상적인 include 구조를 탐지합니다.
- 역DNS(rDNS)와 CNAME, A, MX 레코드의 연쇄 관계를 관측해 인프라 귀속 정보의 왜곡 여부를 분석합니다.
네트워크와 DNS 관리자는 인증 성공 여부만 보면 안 됩니다. 해당 인증이 유효한 인프라에서 발생했는지, CNAME 위임 관계가 현재 비즈니스 요구사항과 맞는지 엄격하게 검토해야 합니다.