봇넷
포스팅 뷰43
봇넷(Botnet)이란 무엇일까요?
- 정의 — 악성코드에 감염돼 공격자의 C&C(명령제어) 서버 통제를 받는 PC·IoT 기기들의 네트워크로, 감염된 기기 주인은 대부분 이 사실을 알아채지 못합니다.
- 핵심 — 봇넷은 그 자체로 목적이 아니라 DDoS·스팸·크립토재킹·정보탈취 등 다양한 공격에 쓰이는 "무기 대여" 인프라이며, 접근권 자체가 사이버범죄 서비스로 거래됩니다.
- 현실 — 2025년 11월 한 봇넷이 31.4Tbps 트래픽으로 역대 최고 DDoS 기록을 세웠고, 국제 당국이 300만 대 규모 봇넷을 단속한 지 반년도 안 돼 29.7Tbps의 또 다른 최고 기록이 나왔습니다.
봇넷(Botnet)이란 악성코드에 감염돼 공격자(봇마스터)의 명령제어(C&C) 서버 통제 아래 놓인 다수의 좀비 PC·IoT 기기로 이뤄진 네트워크를 말합니다.
봇넷이란?
봇넷은 로봇(Robot)과 네트워크(Network)를 합친 말로, 악성코드에 감염돼 원격으로 조종당하는 기기들의 집합을 뜻합니다. 감염된 PC·스마트폰·IP카메라·공유기 등은 흔히 좀비 PC(Zombie PC)라 불리며, 사용자가 평소처럼 기기를 쓰는 동안에도 뒤에서는 공격자가 보낸 명령을 기다리며 대기합니다.
봇넷을 실제로 움직이는 것은 C&C(Command and Control) 서버입니다. 봇마스터는 이 서버를 통해 수천~수백만 대의 감염 기기에 한꺼번에 명령을 내리고, 감염 기기들은 이 명령에 따라 특정 서버에 트래픽을 쏟아붓거나, 스팸을 발송하거나, 정보를 빼돌립니다. 감염 기기 소유자 입장에서는 자신의 기기가 공격 도구의 일부가 됐다는 사실조차 모르는 경우가 대부분입니다.
봇넷은 이렇게 동작합니다
하나의 기기가 봇넷에 편입돼 공격에 쓰이기까지는 대체로 다음 다섯 단계를 거칩니다.
- 감염 — 피싱 메일, 소프트웨어 취약점, IoT 기기의 기본 비밀번호 등을 악용해 악성코드를 심습니다.
- C&C 접속 — 감염된 기기가 봇마스터의 C&C 서버에 접속해 자신을 등록합니다.
- 대기·잠복 — 별다른 명령이 없으면 평소처럼 동작하며 명령을 기다립니다.
- 명령 수신·공격 실행 — C&C 서버의 명령에 따라 DDoS·스팸 발송 등 공격을 일제히 시작합니다.
- 피해 확산 — 전 세계 표적을 향한 공격이 이어지고, 감염 기기 접근권 자체가 다른 범죄자에게 판매되기도 합니다.
중앙집중형 C&C vs P2P(분산형) C&C
봇넷이 명령을 내리는 방식은 크게 두 가지로 나뉩니다. 어느 쪽이냐에 따라 단속의 난이도가 크게 달라집니다.
| 구분 | 중앙집중형(Centralized) | P2P(분산형) |
|---|---|---|
| 한 줄 정의 | 하나 또는 소수의 C&C 서버가 모든 봇을 직접 지휘 | 단일 서버 없이 봇들끼리 명령을 서로 전달 |
| 구조 | 별(Star)형 — 모든 봇이 C&C 서버에 직접 접속 | 봇마다 이웃 봇과 연결된 분산 네트워크 |
| 공격자 입장 장점 | 관리·명령 하달이 간단하고 실시간 통제가 쉬움 | 서버 하나를 없애도 전체가 살아남는 강한 생존력 |
| 방어·단속 관점 약점 | C&C 서버만 찾아 차단하면 봇넷 전체가 무력화됨 | 봇을 하나하나 찾아야 해 완전한 소탕이 어려움 |
| 대표 사례 | 초기 IRC 기반 봇넷 | Mirai 계열 변종 등 최근 대형 IoT 봇넷 다수 |
대표 사례 — 300만 대 IoT 봇넷 단속, 그리고 반년 뒤 또 다른 최고 기록
2026년 3월, 미국 법무부(DoJ)는 캐나다·독일 당국 및 Akamai·AWS·Cloudflare·Google 등 민간 기업과 공동으로 AISURU, Kimwolf, JackSkid, Mossad 등 4개 Mirai 계열 봇넷을 단속했습니다. 이 봇넷들은 합쳐서 300만 대 이상의 기기를 감염시켰고, 그중 Kimwolf는 Android Debug Bridge(ADB)가 노출된 스마트TV·셋톱박스 등 200만 대 이상의 안드로이드 기기를 장악했습니다. 감염 기기에 대한 접근권 자체를 판매하는 "사이버범죄 서비스" 모델로 운영됐으며, 단속으로 약 1,000개의 C&C 서버가 무효화됐습니다.
그런데 이 단속의 배경에는 2025년 11월 AISURU 계열이 기록한 31.4Tbps, 35초 지속의 역대 최고 DDoS 공격이 있었습니다. 대규모 단속에도 불구하고 봇넷의 위협은 사라지지 않았습니다. 반년도 지나지 않은 2026년 3분기, Aisuru 봇넷은 초당 평균 1만 5,000개의 대상 포트를 무작위로 두드리는 UDP 융단폭격 방식으로 29.7Tbps라는 또 다른 역대 최고 기록을 세웠습니다. 한 봇넷이 와해돼도 남은 감염 기기와 새로운 변종이 곧바로 그 자리를 채우는, 봇넷 특유의 "단속과 재등장" 사이클을 보여준 사례입니다.
| 지표 | 수치 |
|---|---|
| 2025년 11월 AISURU 계열 단일 공격 트래픽 | 31.4Tbps(35초 지속) |
| 2026년 3월 국제 단속 — 무효화된 C&C 서버 | 약 1,000개 |
| 2026년 3월 단속 — 4개 봇넷 합산 감염 기기 | 300만 대 이상 |
| Kimwolf 감염 안드로이드 기기 | 200만 대 이상 |
| 2026년 3분기 Aisuru 신규 기록 공격 | 29.7Tbps(역대 최고) |
| 2026년 상반기 국내 DDoS 신고 건수 | 373건(전년 동기 대비 56.7%↑) |
| 국내 전체 침해사고 중 DDoS 비중 | 30.2%(2025년 상반기 23.0%에서 상향) |
국내에서도 국제 핵티비스트 그룹이 공공기관·민간기업을 겨냥하면서 DDoS 신고가 가파르게 늘고 있으며, 목적도 정보 탈취보다 서비스 가용성 저하와 사회적 혼란 유발에 맞춰지는 추세입니다.데일리시큐The Hacker News보안뉴스
실무 체크포인트 — 봇넷 감염·확산 막기
봇넷은 한 대만 뚫려도 끝나는 게 아니라, 방치할수록 조용히 다른 기기로 번지고 다른 조직을 공격하는 도구로도 악용됩니다. 다음을 점검하세요.
봇넷에 감염된 내부 PC는 DDoS 공격 도구일 뿐 아니라, 공격자에게 있어 훌륭한 정보 탈취·반출 통로가 되기도 합니다. 오피스키퍼는 문서 반출과 사용 이력을 통제해, 감염 기기를 통해 2차 정보 유출로 번지는 상황까지 함께 막는 최후의 방어선을 제공합니다.
자주 묻는 질문
Q. 봇넷과 좀비 PC는 같은 말인가요?
A. 좀비 PC는 봇넷을 구성하는 개별 감염 기기를 가리키고, 봇넷은 그런 좀비 PC(또는 IoT 기기)들이 C&C 서버 통제 아래 하나로 묶인 네트워크 전체를 가리킵니다.
Q. 내 컴퓨터가 봇넷에 감염됐는지 어떻게 알 수 있나요?
A. 평소보다 느려진 속도, 알 수 없는 프로세스의 지속적인 네트워크 사용, 팬 소음 증가 등이 신호가 될 수 있습니다. 다만 최신 봇넷 악성코드는 흔적을 최소화하도록 설계돼 있어, 네트워크 트래픽을 모니터링하는 보안 도구 없이는 알아채기 어려운 경우가 많습니다.
Q. IoT 기기가 봇넷에 자주 이용되는 이유는 무엇인가요?
A. 공유기·IP카메라 같은 IoT 기기는 기본 비밀번호를 그대로 쓰거나 펌웨어 업데이트가 방치되는 경우가 많고, 24시간 켜져 있어 공격자 입장에서 안정적으로 활용하기 좋은 표적입니다. 실제로 2026년 적발된 대형 봇넷들도 대부분 이런 IoT 기기를 주요 감염 경로로 삼았습니다.
Q. 봇넷 공격을 막으려면 개인은 무엇을 해야 하나요?
A. 공유기·IP카메라 등의 기본 비밀번호를 바꾸고 펌웨어를 최신 상태로 유지하는 것이 가장 기본적인 예방책입니다. 출처가 불분명한 프로그램 설치를 피하고 백신·보안 소프트웨어를 최신 상태로 유지하는 것도 중요합니다.
Q. 봇넷을 단속해도 왜 계속 새로 등장하나요?
A. 봇넷 운영은 감염 기기에 대한 접근권을 판매하는 '사이버범죄 서비스' 형태로 수익화되고 있어, 하나의 봇넷이 와해돼도 남은 감염 기기나 새로운 취약점을 이용해 곧 다른 변종이 등장합니다. 2026년 3월 대규모 국제 단속 이후 같은 해 3분기에 또 다른 역대 최고 기록 공격이 나온 것이 대표적입니다.
감염된 내부 PC가 만드는 정보 유출 경로, 오피스키퍼가 막아 드립니다.
제품소개서 신청하기