최근 중국 연계 해킹 그룹은 보안이 취약한 개인과 소규모 사무실의 SOHO(Small Office Home Office) 네트워크 장비를 장악한 뒤, 이를 명령 및 제어(C2) 통신의 중간 거점으로 쓰고 있습니다. 핵심 인프라 공격의 추적을 회피하고 탐지를 어렵게 만들기 위해서입니다.
Volt Typhoon의 공격 전략: LotL과 SOHO 라우터의 결합
중국 연계 해킹 그룹 가운데서도 Volt Typhoon은 미국 핵심 인프라 부문을 주요 표적으로 삼아 정교한 공격 활동을 벌여 왔습니다. 공격 방식은 악성코드를 단순히 배포하는 수준을 넘어서, 탐지 가능성을 최소화하는 두 가지 핵심 전략을 병행합니다.
Living-off-the-Land (LotL) 기법의 활용
공격자는 시스템에 침투한 뒤 외부에서 유입된 전용 악성코드를 쓰는 대신, 대상 시스템에 이미 설치된 정상적인 도구를 활용하는 ‘Living-off-the-land’ 방식을 택합니다. 보안 솔루션의 시그니처 기반 탐지를 우회하는 데다, 인프라 관리자가 공격자의 활동을 정상적인 시스템 관리 행위로 오인하게 만드는 위험한 전략입니다.
SOHO 장비를 거점 삼는 C2 인프라 은닉
공격자는 침해된 SOHO 네트워크 장비를 명령·제어(C2) 통신의 중간 거점(redirector)으로 악용합니다. 이 수법으로 흘러나가는 C2 트래픽은 공격자의 실제 위치가 아닌, 피해 조직과 인접한 지역의 인터넷 서비스 제공사업자(ISP)에서 나온 것처럼 위장됩니다. 보안 관제 시스템이 지리적 위치 기반으로 이상 징후를 잡아내는 통로를 막아버리는 셈입니다.
취약한 SOHO 장비의 노출 위험 및 제조사 사례
SOHO 장비가 공격 거점으로 쓰이는 근본 이유는 관리 인터페이스가 부주의하게 노출되어 있기 때문입니다. 실제로 다수의 네트워크 장비 제조사 제품이 관리용 HTTP 또는 SSH 인터페이스를 인터넷에 노출하는 설정을 허용하고 있는 것으로 확인됐습니다.
관리 인터페이스 노출 위험이 확인된 주요 제조사는 다음과 같습니다.
| 구분 | 해당 제조사 | 노출 위험 인터페이스 | 위험 영향 |
|---|---|---|---|
| SOHO 네트워크 장비 | ASUS, Cisco, D-Link, NETGEAR, Zyxel | HTTP, SSH 관리 인터페이스 | 공격 표면 확대 및 장비 장악을 통한 C2 거점화 |
이런 설정 노출로 장비가 장악되면 해당 SOHO 라우터는 Volt, Flax, Salt Typhoon 같은 사이버 공격 그룹이 미국의 핵심 인프라를 공격할 때 쓰는 전초 기지가 됩니다.
국가 안보 차원의 대응 및 규제 움직임
SOHO 장비가 핵심 인프라 공격에 동원되는 사태가 심각해지자, 미국 정부는 이를 단순한 보안 사고가 아닌 국가 안보 위협으로 규정하고 강력한 대응 조치를 시행하고 있습니다.
- 관리 인터페이스 노출 차단 권고: CISA, NSA, FBI, Microsoft는 네트워크 관리 인터페이스를 인터넷에 직접 노출하지 않도록 설정하라고 강력히 권고하고 있습니다.
- 해외산 라우터 수입 금지: 미국 연방통신위원회(FCC)는 해외에서 제조된 모든 신규 와이파이 라우터 모델이 해커와 사이버 스파이에게 악용되어 국가 안보에 위협이 된다고 판단했습니다. 이에 따라 2026년 3월 23일부터 해당 장비의 수입을 전면 금지하는 조치를 발표했습니다.
기업 보안 담당자 및 인프라 관리자를 위한 실무 가이드
SOHO 장비가 공격 거점으로 쓰이는 사례는 소규모 사업자만의 문제가 아닙니다. 재택근무 환경이나 지사 네트워크를 운영하는 기업 보안 담당자에게도 중요한 시사점을 줍니다. 핵심 인프라 보호를 위한 점검 사항을 정리했습니다.
1. 외부 노출 인터페이스 전수 조사
- 조직에서 사용 중인 모든 SOHO 라우터와 네트워크 장비의 외부 인터페이스 노출 여부를 전수 점검합니다.
- 특히 HTTP, SSH 같은 관리용 포트가 공인 IP로 접근 가능한지 확인하고, 필요하지 않은 포트는 즉시 차단합니다.
2. 장비 설정 점검
- 제조사(ASUS, Cisco, D-Link, NETGEAR, Zyxel 등)의 기본 설정 가운데 인터넷 노출 허용 옵션이 활성화되어 있는지 확인하고, 관리 인터페이스는 인터넷에 노출되지 않도록 설정을 바꿔둡니다.
3. 트래픽 분석 및 LotL 탐지 체계 구축
- 정상적인 도구가 비정상적인 경로(예: SOHO 장비 IP 대역)로 시스템에 명령을 내리는 LotL 패턴을 잡아내는 모니터링 체계를 강화합니다.
- 피해 조직 인근의 ISP에서 발생하는 트래픽이라 해도, 통신 패턴이 C2 통신 특성을 보이는지 세밀하게 들여다봐야 합니다.