백악관 네트워크가 주거용 프록시 출구로 쓰였다, 6개 IP 236회

미국의 보안 연구 회사가 전 세계 주거용 프록시 출구를 볼 수 있는 관측 도구를 공개했습니다. 그 화면에서 백악관 네트워크로 트래픽이 빠져나간 기록 236건이 잡혔습니다. 기간은 10월 5일부터 11월 3일까지, 주소는 6개입니다.

주거용 프록시는 남의 컴퓨터나 공유기를 경유지로 쓰는 서비스입니다. 가입하고 몇 달러를 내면 전 세계 기기를 거쳐 요청을 보낼 수 있습니다. 그 경유지 목록에 백악관 네트워크 안의 기기가 들어 있었다는 것이 이번 관측의 내용입니다.

원문은 해킹 사고로 단정하지 않습니다. 보이는 것은 출구 활동뿐이고 그 기기와 사용자는 특정되지 않습니다. 그래도 정부 청사 네트워크가 프록시 경유지로 쓰인다는 사실은 그냥 넘기기 어렵습니다. 확인된 것과 확인되지 않은 것을 나눠 볼 만합니다.

이번 관측은 Layer3 Intel이 만든 Residential Proxy Observatory에서 시작됐습니다. 연구자들이 전 세계 주거용 프록시와 익명화된 인터넷 활동을 한 화면에서 보는 도구입니다. 팀이 그 화면을 훑다가 AS2650이라는 네트워크에서 출구 활동을 발견했습니다. AS2650은 대통령 행정실, 즉 백악관 네트워크를 운영하는 연방 기관에 등록된 번호입니다.

출구만 보이고 기기는 보이지 않는다

관측 기간 30일 가운데 26일에 걸쳐 출구 활동이 기록됐습니다. 서로 다른 28개 주거용 프록시 서비스가 이 네트워크를 경유지로 쓸 수 있었다는 뜻입니다. 한 서비스의 버그가 아니라 시장 전체의 구조 문제라는 쪽에 가깝습니다.

주거용 프록시 사업은 기기 사용자에게 사용료를 주고 대역폭을 사들이는 구조입니다. 무료 앱이나 게임 도구에 붙는 SDK가 그 중개를 맡습니다. 그래서 프록시 목록에는 회사 서버뿐 아니라 개인 노트북과 공유기, 셋톱박스가 섞입니다.

프록시 가입자는 원하는 지역의 회선을 골라 쓸 수 있습니다. 미국 동부 주거용 회선이 필요한 사람에게 정부 청사 회선은 값이 매겨진 상품의 일부입니다.

연구팀은 이 주소들을 다른 프록시 탐지 서비스인 Spur와 Synthient의 공개 페이지와 대조했습니다. 두 곳 모두 같은 주소를 주거용 프록시 출구로 표시했습니다. 한 회사의 오탐이 아니라는 교차 확인입니다.

중요한 전제가 하나 있습니다. 이 접속은 공개된 서비스로 가능합니다. 누구나 가입해서 몇 달러를 결제하고 요청을 보내면 그 네트워크를 거쳐 나갈 수 있습니다. 연구팀도 특정 네트워크를 겨냥하지 않고 전 세계 순환 접속을 요청하다 우연히 발견했다고 밝혔습니다.

오후 5시부터 자정, 사람이 의심되는 이유

활동의 약 절반이 미국 동부시간 오후 5시부터 자정 사이에 몰려 있습니다. 이른 아침에는 거의 없습니다. 관측한 사람은 이 시간대를 근거로 공용 게스트 와이파이가 아니라 늦은 저녁까지 그 네트워크에 붙어 있는 기기를 의심합니다.

즉 출입 인원이 많은 낮 시간대의 공용 접속이 아니라, 특정 기기가 꾸준히 프록시 SDK에 감염된 채로 동작하는 그림입니다. 다만 이것도 추정입니다. 데이터가 보여 주는 것은 출구의 시간대이고, 그 뒤의 기기와 사람이 아닙니다.

같은 시간대에 반복 접속이 잡힌다는 것은 그 기기가 저녁 늦게까지 켜져 있었다는 뜻입니다. 낮에만 잠깐 쓰이는 공용 회선이라면 이런 분포가 나오기 어렵습니다.

프록시 SDK가 열어 둘 수 있는 것

과거 연구에서는 보안이 허술한 프록시 SDK가 내부 네트워크 접근과 측면 이동을 허용한 사례가 있었습니다. 봇넷이 이렇게 퍼졌습니다. Synthient가 정리한 사례에서는 Kimwolf 봇넷이 최소 200만 대 기기에 주거용 프록시 네트워크를 통해 도달했습니다. 대부분 ADB 서비스가 노출된 Android 기기였습니다.

프록시 SDK는 설치형 앱에 조용히 포함되는 경우가 많습니다. 사용자는 대역폭을 나눠 주는 조건을 약관으로 동의하고 넘어갑니다. 문제는 그 SDK가 기기 안에서 어디까지 접근할 수 있느냐입니다. SDK가 하는 일은 그 기기의 네트워크를 외부 요청에 열어 주는 것입니다.

원문은 이 네트워크의 SDK에 같은 결함이 있는지 확인되지 않았다고 못 박습니다. 조건문으로 남겨 둡니다. 그런 결함이 있다면 프록시 접속을 산 사람이 내부 시스템까지 닿을 수 있다는 것입니다.

내 기기가 프록시 경유지가 되면 대가는 대역폭과 전기입니다. 남의 트래픽을 대신 흘려보내는 동안 회선이 소모되고, 그 트래픽이 무엇을 하는지 사용자는 알 수 없습니다.

남대서양 외딴섬과 남극까지

같은 도구가 더 놀라운 곳에서도 활동을 잡았습니다. 세인트헬레나·어센션·트리스탄다쿠냐 영토에서는 413개 주소, 3만 2천 건 넘는 관측이 나왔습니다. 회선은 Starlink와 현지 통신사 Sure Saint Helena로 나뉩니다.

남극에서는 3건이 잡혔고 모두 McMurdo 기지를 가리키는 Cloudflare WARP 주소였습니다. 그 밖에 핏케언 1건, 노퍽섬 4건, 스발바르 3건, 포클랜드 388개 주소, 채고스 제도 43개, 토켈라우 21개, 사우스조지아 7개가 기록됐습니다.

Starlink가 퍼지면서 프록시 네트워크는 외딴섬까지 들어갔습니다. 연구팀이 그 목록을 따로 정리한 이유는 프록시가 지구 끝까지 침투했다는 점, 그리고 그곳에서도 관측이 된다는 점을 함께 보여 주기 위해서입니다.

연구팀은 원본 로그를 백업해 두고 관련 기관이 요청하면 공유하겠다고 밝혔습니다. 관측 도구는 공개됐지만, 실제 조사는 로그를 가진 쪽의 몫으로 남겨 둔 셈입니다.

원문 반응

GeekNews 댓글에서는 감염된 기기가 이용자에게 대역폭 비용을 떠넘기는 정도로 끝난다고 보는 시각에 반론이 나왔습니다. 더 위험한 작업을 지시하거나 공격자가 장악할 수 있는 기능이 없다고 가정하는 건 순진하다는 지적입니다. 정치인이 기밀정보 취급 시설에 휴대전화를 반입했다는 보도도 같은 맥락에서 봐야 한다고 덧붙였습니다.

집에서 어떻게 확인하고 막을지에 대한 질문도 있었습니다. 무료 케이블 TV라고 팔린 셋톱박스가 사실은 집 네트워크를 프록시로 쓰는 기기였다는 경험담도 나왔습니다. 기기 목록에 모르는 것이 붙어 있는지, 업데이트가 끊긴 기기가 있는지부터 보라는 조언으로 이어집니다.

집에서 할 수 있는 일은 세 가지입니다. 공유기 관리 화면에서 연결된 기기 목록을 확인하고, 쓰지 않는 원격 디버깅 기능을 끄고, 펌웨어와 앱 업데이트를 미루지 않는 것입니다. 프록시 SDK는 무료 앱과 게임 도구에 끼어 들어오는 경우가 많아 설치 목록도 함께 봐야 합니다.

정리하면 확인된 것은 6개 주소의 출구 활동과 시간대, 28개 서비스의 접근 가능성입니다. 확인되지 않은 것은 기기의 소유자와 의도, 내부 침해 여부입니다. 두 목록을 섞으면 과장이 되고, 뒤쪽을 통째로 생략하면 사건이 사라집니다.

원문 보기