요약
백악관 네트워크에서 한 달 동안 주거용 프록시 트래픽이 236번 빠져나간 것이 관측됐습니다.
레이어3 인텔이 이번 주 공개한 Residential Proxy Observatory(주거용 프록시 관측 서비스)의 데이터로 쓴 글입니다. 주거용 프록시는 일반 가정의 기기를 빌려 고객의 트래픽을 내보내는 서비스라서, 그 트래픽이 해당 기기의 네트워크에서 나온 것처럼 보입니다.
왜 중요한가
- 백악관 망 안의 누군가가 쓰는 기기에 프록시 SDK(앱에 끼워 넣는 개발 도구)가 깔려 있을 가능성을 보여 줍니다.
- 허술한 SDK는 내부망으로 들어가는 통로가 되므로, 프록시를 산 누구나 내부 시스템에 닿을 위험이 있습니다.
- 글은 그런 사례로 주거용 프록시망을 타고 최소 200만 대의 기기를 장악한 Kimwolf 봇넷을 들었습니다.
핵심 내용
- 10월 5일부터 11월 3일까지 대통령 행정실에 등록된 AS2650(한 기관이 운영하는 네트워크 단위)에서 출구가 236번 잡혔습니다.
- 28개 프록시 서비스가 이 망으로 트래픽을 내보냈고, 출구 주소는 6개, 활동한 날은 30일 중 26일이었습니다.
- 활동의 절반가량이 미국 동부 시간 오후 5시에서 자정 사이에 몰렸고, 이른 아침에는 거의 없었습니다.
- 레이어3는 이를 저녁마다 이 망을 쓰는 사람의 기기에서 프록시가 도는 것으로 해석했습니다.
- 이 망을 노린 것이 아니라 전 세계 프록시를 요청하다 우연히 발견했으며, 원본 기록을 관계 기관에 넘기겠다고 했습니다.
HN 반응
- 지금은 트래픽 중계에 그쳐도 언제든 더 위험한 명령을 받을 수 있다는 우려와, 손님용 망이라 핵심 시스템과는 분리됐을 것이라는 반론이 맞섰습니다.
- Hola VPN처럼 약관에 따라 IP를 내주는 앱이니 '감염'은 과하다는 의견에, 운영자 모르게 남이 망을 쓰면 침해가 맞다는 반박이 이어졌습니다.
물론 위험한 건, 이렇게 감염된 기기들이 지금은 비교적 무해한 방식(사용자가 떠안는 대역폭 비용은 빼고요. 이건 분명 무시 못 할 수준일 수 있습니다)으로 돈벌이에 쓰이고 있을 뿐이라는 점입니다. 덜 무해한 작업을 지시할 수 있는 명령·제어 기능이 없다고 생각하는 것, 혹은 그런 기능이 뚫려서 악용될 수 없다고 생각하는 것은 순진한 판단입니다.
정치인들이 휴대전화를 SCIF(기밀 정보 취급 시설)에 들고 들어갔다는 문제적인 보도들도 이런 맥락에서 다시 보게 됩니다.
하루에 HTTP 요청이 1천 건도 안 되던 서버가 있는데, 이런 봇넷에서 초당 100건이 넘는 대량 스크래핑을 당한 적이 여러 번 있습니다. 사이트 운영자들이 봇 차단 장치를 계속 쌓아 올려야 해서 웹은 점점 쓰기 불편해지고 있고요.
웹의 모든 사이트를 DDoS하는 게 어떻게 무해합니다?
상대적으로 무해하다는 거죠.
백악관 네트워크 안에 감염된 기기가 있다면 아무 웹사이트나 상대로 한 DDoS에 가담하는 것보다 훨씬 나쁜 짓을 할 수도 있잖아요.
게다가 기사 둘째 줄에 바로 나옵니다.
미국을 상대로 한 사이버 공격으로 악명 높은 러시아 회사가 백악관 네트워크에 직접 접근할 수 있다면, 아무 웹사이트나 DDoS하는 것보다 훨씬 심각한 일입니다. 최고위급 스파이 활동이죠. (또다시요.)
프록시 운영자가 불량한 것도 문제지만, 진짜 X같은 건 그게 네트워크 전체의 나머지를 엿볼 수 있는 열린 문이라는 거죠.
'백악관 네트워크'일 뿐이잖아요. 그 건물에서 이뤄지는 모든 일이 와이파이 공유기 하나로 돌아가는 것도 아니고요. 개인 용도로 쓰는 보호 안 된 네트워크일 가능성이 높고, 중요한 어떤 것과도 연결돼 있지 않을 겁니다.
지난 몇 년간 보안이 어떻게 흘러왔는지 보면 분명한 게 하나 있습니다. "우리한테는 벽이 더 있으니까" 하면서 야만인들이 벽 몇 개를 허물게 내버려 두는 건 이기는 방어 전략이 아니라는 겁니다. 야만인들은 아주 창의적이라서, 한 치를 내주면 예상 못 한 방식으로 그걸 파고들곤 합니다.
좋습니다, 격리된 네트워크가 있다고 치죠.
그 네트워크가 중요한 컴퓨터로 이어지는 경로가 있는 기기에 한 번도 닿지 않을 확률은 얼마나 될까요? (예를 들어 어딘가에 있는 코어 라우터나 스위치 한 대처럼요.) Cisco나 Juniper 같은 곳의 취약점이 단 한 번도 없었다니 정말 다행이네요.
중요한 기기가 이 격리된 네트워크에 단 한 번도 연결되지 않을 확률은요? 중요한 사람이 보안 네트워크의 필터링이 짜증 나서 공용 네트워크로 갈아타는 일이 없을까요? 보안 네트워크에 문제가 생겨서 그 사람 휴대전화가 게스트 네트워크에 붙어 버리는 일은요?
지하 벙커의 군 지휘통제망까지 뚫릴까요? 아마 아닐 겁니다.
하지만 고위 참모의 휴대전화를 장악해서 백악관 중간급 회의 여러 개를 도청하는 장치로 쓴다면, 현실적으로는 그쪽이 더 큰 피해일 겁니다.
고위직들이 노골적으로 부패와 불법에 연루돼 있다는 걸 잊지 마세요.
그러니 국가 안보 정보만이 아니라 염소랑 찍은 셀카 같은 개인 정보, 몰타와 아제르바이잔 은행 송금 화면 같은 것까지 손에 넣을 수 있다는 얘기입니다. 불순한 세력이 대통령 앞에서의 입지를 주무르고 사람들을 협박하기 딱 좋죠. 이런 사람들 상당수에게 유일한 탈출구는 사면뿐입니다.
맞는 말씀입니다. 저는 얼마 전에 제 로컬 머신에 텔레그램으로 대화하는 봇을 하나 만들었습니다. Playwright(수정판)로 URL의 내용을 가져오는 기능을 줬고요. Readability 뷰를 가져오거나 링크가 포함된 마크다운으로 사이트를 가져오는 정도의 기본적인 기능입니다.
사실상 OpenAI 같은 곳에서 제공하는, 웹 검색을 해서 원하는 답을 가져다주는 기능을 흉내 낸 겁니다. 그 기능에 돈을 내고 싶지 않았을 뿐이고요.
자율적으로 돌아가는 것도 아닙니다. 제가 시킬 때만 움직입니다. 실제 검색은 Kagi API로 하고, URL 내용만 Playwright로 가져옵니다. 한 번에 많은 요청을 보내지 못하게도 해 뒀습니다. 요청 사이에 1~5초의 (무작위) 대기가 필수로 들어갑니다.
그런데 일주일도 안 돼서 찍혔습니다. 이제 (사람으로서) 구글 검색을 할 때도 사람임을 증명해야 합니다. 많은 사이트가 아예 저를 막아 버렸고요. 여러 업체[1]에서 물건을 살 수 없고, 뉴스 사이트 몇 곳은 접속조차 안 됩니다.
문제는, 제가 봇으로 접근한 사이트가 사실 그리 많지 않다는 겁니다! 많아 봐야 웹에 약간 중독된 사람 정도의 양이에요. 그런데도 금방 걸렸습니다.
당연히 봇의 사이트 내용 가져오기 기능은 껐습니다. 제 IP가 블랙리스트에 얼마나 오래 남아 있을지 궁금하네요.
그 결과와 제가 한 일에 "잘됐다" 하실 분도 있겠죠. 제가 한 일이 비도덕적이었는지 진지하게 제대로 토론해 보고 싶습니다. 하지만 어떻게 생각하시든, 한 가지는 곱씹어 보셨으면 합니다. 이 시스템이 우리 같은 평범한 사람들은 이런 "기능"을 쓰기 어렵게 만들어 놨는데, 거대 기술 기업에 월 구독료를 내면 쓸 수 있게 해 준다는 점요.
[1] 다행히 아마존은 저를 막지 않았습니다. 예전에는 아마존을 피했는데, 이제는 나한테서 물건 사기 어렵게 만드는 사이트에서는 사고 싶지 않다는 딜레마에 빠졌네요.
구글, 클라우드플레어, 아카마이 같은 주요 관문 업체들이 TLS 핑거프린팅이나 평판 번짐(smearing) 같은 걸 하고 있다고 생각합니다.
저는 평소에 VPN으로 인터넷에 접속합니다. 평범한 소비자용 VPN이고, 해외판 넷플릭스를 보거나 여행 예약할 때 지역 기반 프로파일링으로 더 비싼 가격을 내지 않으려는 정도의 무해한 용도로 씁니다. 이 VPN 자체는 온갖 못된 짓에 쓰이고 있을 게 분명합니다. whatismyip에서 조회하면 VPN, "abuse detected", "residential proxy detected"라고 나오거든요. 가끔 차단당할 거라고 예상하고 있고, 그럴 땐 VPN을 잠시 끕니다.
그런데 놀라웠던 건 VPN을 꺼도 캡차가 항상 사라지지는 않는다는 점입니다. 다음 요청에서도 실패할 때가 있어요. 한동안은 제 네트워크에 레지덴셜 프록시가 깔려 있나 의심하기도 했습니다. lsof와 대역폭 모니터링, 공유기를 거치는 모든 열린 연결 목록까지 뒤져 봤지만 깨끗해 보였습니다. 그런데도 VPN을 끈 상태에서 구글과 클라우드플레어의 캡차를 받습니다.
제 추측은 이렇습니다. 브라우저/TLS 핑거프린팅을 하고, 그 결과를 나쁜 IP들에 걸쳐 번지게 하는 것 같습니다. 알려진 불량 IP로 접속하면 캡차를 띄울 뿐 아니라 수집할 수 있는 데이터로 핑거프린트를 기록해 두는 거죠. 그러고 나서 같은 핑거프린트로 다시 접속하면 IP와 상관없이 그것도 막아 버리는 겁니다.
아이러니하게도 진짜 악의가 있는 사람은 이걸 꽤 쉽게 피해 갑니다. 핑거프린트가 남는 브라우저를 쓰지 않거나 핑거프린트를 계속 바꿔야 한다는 걸 아니까요. 남의 IP 하나에 완전히 별개의 신원을 만들어 쓰다가 막히면, 다른 IP에서 또 완전히 별개의 신원을 만드는 식이죠. 하지만 자기 IP를 감추고 싶을 뿐인 평범한 소비자에게는 너무 번거로운 일입니다. 그래서 중간이 없는 상황이 됩니다. 합리적인 전략은 웹사이트가 기대하는 대로만 하거나(수상한 짓 없이, 무해한 것이라도요), 어떻게든 그들의 정책을 피하겠다는 마음으로 끝까지 가해자가 되거나 둘 중 하나뿐입니다. 그렇게 할 거라면 들인 노력을 뽑아내려고 얻을 수 있는 건 전부 빼먹는 쪽이 낫기도 하고요.
네, 요점이 흐려질까 봐 세부 사항을 너무 많이 적지 않았습니다. 사실 저는 사람처럼 행동하도록 설계된 수정판 Playwright를 썼습니다. 일반 Playwright보다 캡차를 덜 받았으니 효과는 있었지만, 충분하지는 않았던 모양입니다.
그 수정판 Playwright가 Firefox 기반이었고, 평소 브라우징에도 Firefox를 씁니다. 그게 문제였죠.
사실 Chrome을 띄우면 이런 문제가 없습니다. 하지만 그럴 생각은 없습니다. 오히려 신기한 건 새 Firefox 프로필을 만들면 캡차가 안 나온다는 겁니다. 수정판 Playwright를 봇으로 쓴 것이 어떻게 제 Firefox 프로필에까지 꼬리표가 붙게 했는지는 모르겠습니다. 봇을 만들기 전부터 제 FF 프로필이 "의심스러운" 존재로 분류돼 있었고(프라이버시/쿠키 차단 확장 프로그램을 여러 개 쓰거든요), 봇이 그 점수를 넘겨 버린 게 아닌가 싶습니다.
아마 프로필을 만져 보기 시작할 겁니다. 정상으로 돌아올 때까지 확장 프로그램을 하나씩 끄면서요. 다행히 집에서 다른 사람은 영향을 받지 않았습니다.
당장은 Kagi extract API에 돈을 내고 쓰는 것으로 해결했습니다. 제 수정판 Playwright만큼 좋지는 않지만요. VPN도 생각해 봤는데, 오래 못 갈 것 같고(레지덴셜 프록시가 아니라서요) 매달 나가는 구독료도 싫습니다. Kagi는 쓴 만큼 내는 방식이라 마음에 듭니다.
하지만 말씀드렸듯이 갑자기 아마존이 "더 나은" 사이트이자 판매자로 나서는 이상한 세상입니다. 웃기게도 예전에는 월마트를 꽤 싫어했는데, 몇 년 전부터는 여러 이유(동네 가게보다 상품 구색이 낫고, 온라인 주문에서 가품을 걱정하지 않아도 되는 것 등)로 아마존이나 동네 가게들보다 월마트를 더 선호하게 됐습니다.
LLM이 나오기 훨씬 전부터 웹의 상태가 마음에 들지 않았는데, 이번에는 결정타를 맞은 기분이라 "웹은 죽었다"는 걸 받아들이게 됩니다. 근본적으로 다른 프로토콜이 필요합니다. "누구나 접속할 수 있는 서버를 세우고, 콘텐츠를 올려 두고, 서버가 두들겨 맞지 않도록 정교한 기술을 잔뜩 얹는" 모델은 지속할 수 없습니다. 부하 관리는 프로토콜 자체가 해야 합니다.
저희 집 네트워크는 몇 년째 구글 블랙리스트에 올라 있는데, 영영 안 풀릴 것 같아요. 이 글타래의 다른 분들처럼 저도 구글 reCAPTCHA가 뜨는 사이트는 거래를 끊습니다. 그 캡차는 무한 루프라서 그냥 나가야 하거든요.
계속 차단당할 거라고 보셔야 해요. 방어는 원래 그렇게 돌아갑니다. 여러분이 쓰는 서비스 중 상당수는 봇이나 알려진 프록시 출구 노드 플래그가 켜져 있고, 같은 방어 서비스를 쓰는 웹사이트도 많거든요. 요청 속도는 하나의 요소일 뿐이에요. 봇이 사람처럼 무작위로 스크롤하고 흔들림(지터)을 주지 않으면, 비유하자면 이미 죽은 프로필이 걸어 다니는 셈이죠.
프록시가 곧 스크레이퍼는 아닙니다. 레지덴셜 프록시를 쓰지 않는 스크레이퍼도 얼마든지 있어요.
이분은 분명히 사용자와 네트워크 관리자의 관점에서 말하는 겁니다. 레지덴셜 프록시 바이러스는 사실 그 둘에게는 꽤 무해해요.
어쨌든 DoS는 보안 측면에서 우선순위가 꽤 낮습니다. 게다가 이건 제대로 된 DDoS도 아니에요. 진짜 DDoS는 당해 보면 압니다.
그건 제대로 처벌받지 않고 있기 때문일 뿐입니다.
너무 앞서 나가지 맙시다... 누가 당신 차 밑에 폭탄을 설치했는데, 당신이 출근했고 점심 먹으러 나간 사이에 터졌다면 당신이 처벌받아야 합니까?
시스템 보안을 소홀히 해서 사람들이 피해를 본 경우에 책임을 묻는 건 저도 대찬성입니다. 하지만 프록시 라이브러리가 들어 있는 모바일 게임을 설치한 사람들까지요? 좀 진정하세요.
"감염"이라는 표현은 좀 과하다는 점만 짚어 두겠습니다. 이런 서비스는 사용자가 다른 지역의 제한된 스포츠 중계를 볼 수 있게 해 주는 VPN 플러그인(예: Hola VPN)에서 나오는 경우가 많습니다. 이용약관에 거래 조건이 들어 있죠. 내가 남의 IP 주소를 받는 대신 남이 내 IP를 받는 겁니다.
말씀하시는 상황이야말로 "감염"이라는 표현이 딱 들어맞습니다. 운영자가 모르는 무임승차자가 네트워크에 있다면 그 기기는 감염된 겁니다.
제가 이런 서비스 중 하나를 쓰면서 게스트 와이파이에 접속해 있다고 해 볼게요. 인트라넷 접속 불가 같은 통상적인 게스트용 설정이 돼 있고요. 그러면 그 게스트 와이파이 네트워크는 감염된 건가요? 위협 모델이 뭔가요?
그렇다고 봅니다. 아무나 그 연결을 무단으로 쓰게 허용한 셈이니까요. 그게 내 연결이든 아니든 상관없습니다. 예를 들어 그 프록시가 DDoS 공격에 쓰인다면, 당신 기기가 그 네트워크를 감염시킨 겁니다.
그럼 Tor는 뭐가 다른가요? 감시 쪽으로 좀 기운 분 같네요. 컴퓨터나 네트워크가 감염됐다는 건 누가 무단으로 접근했을 때지, 공유했을 때가 아닙니다.
맞습니다. 그리고 실제로 누군가 무단으로 접근했죠. 당신에게는 제3자에게 권한을 위임할 자격이 없습니다.
제3자가 게스트 와이파이에 직접 접속했습니까, 아니면 당신 컴퓨터에 접속했고 당신이 그들에게 게스트 와이파이 접근을 허용한 겁니까?
그들이 그 와이파이를 쓰려면 동의해야 하는 이용약관에 동의했습니까?
그 와이파이 네트워크가 신호가 닿는 범위를 일부러 제한해서 그 지역 안의 사람들만 접속하게 하려는 게 아니라고 확신합니까?
순수하게 100% 개방된 와이파이가 있고, 기술적 제약 때문에 지리적으로만 제한될 뿐 기술이 허락한다면 전 세계 누구든 접속하게 할 의사가 있다면, 제 생각에는 와이파이 범위라는 기술적 제약을 당신 기기로 해결하는 것은 네트워크를 감염시키는 일이 아닙니다. 다시 말하지만 네트워크 운영자가 그렇게 공표했을 때의 이야기이고, 운영자의 의도를 당신이 멋대로 짐작한 경우는 해당하지 않습니다.
무슨 말 돌리기 곡예입니까. 그럼 기기(예를 들어 TV)를 와이파이에 연결했는데 넷플릭스 앱이 백그라운드로 영화를 내려받고 있으면, 넷플릭스가 그 네트워크에 무단으로 접근한 겁니까? 어쨌든 집 공유기에 '직접' 연결된 게 아니니까요(넷플릭스 서버에서 집 공유기까지 이어진 기다란 케이블 같은 게 있는 것도 아니고요)? 넷플릭스가 와이파이 제공자의 이용약관에 동의했습니까? 정말 멍청한 소리네요... 이 커뮤니티에는 더 기대했습니다.
크게 두 가지가 다릅니다. 넷플릭스는 당신을 대신해서 일합니다. 넷플릭스가 시작한 연결은 당신의 웹 브라우저나 이메일 클라이언트가 시작한 연결과 다르지 않습니다. 당신이 당신을 위해 인터넷을 쓰는 것은 허가된 사용입니다. 프록시는 누가 접속해서 그 연결로 무엇을 하는지 전혀 알 수 없습니다. 그 네트워크 활동은 당신을 이용하는 것이지, 당신이 한 것도 당신을 위한 것도 아닙니다.
그리고 넷플릭스는 그 연결로 해킹하거나, 공격하거나, 스팸을 보내거나, 차단이나 IP 블랙리스트를 우회하려 들 가능성이 낮습니다. 그런데 수상한 레지덴셜 프록시가 쓰이는 용도가 정확히 그런 것들입니다. 그런 앱을 쓰면 사실상 자기 컴퓨터에 백도어를 심고 봇으로 만드는 셈이고, 그 컴퓨터를 통한 인터넷 접근권이 VPN이나 다른 합법적인 제공자를 쓰면 빠져나갈 수 없는 짓을 하려는 사람들에게 팔려 나가는 겁니다.
와이파이 네트워크의 정교함에 따라서는, 그 연결에서 일어나는 모든 일에 대해 당신이 책임과 의무를 질 수도 있습니다. 당신의 프록시 접근권을 산 사람들이 저지르는 더러운 짓까지 포함해서요.
와이파이 시스템이 누가 언제 쓰는지 꼼꼼하게 추적하도록 만들어져 있지 않다면(카페 같은 곳에서는 흔한 일이죠), 책임은 와이파이를 제공하는 주체에게 돌아가고, 그 연결이 법을 위반하거나 이용 중인 ISP의 이용 정책(AUP)에 어긋나는 활동에 반복해서 쓰이면 그 주체가 결과를 감당합니다. 인터넷 연결이 일시 정지될 수도 있습니다. 특정 포트와 서비스를 막거나 특정 웹사이트 접속을 차단해야 할 수도 있고요. 누가 연결을 쓰는지 기록하고 감시하고, 네트워크 남용 신고와 법적 요청에 대응하는 데 필요한 돈을 쓸 의지와 여력이 없다면, 손님에게 와이파이를 제공하는 것 자체를 아예 접어야 할 수도 있습니다.
그런 걱정 없이 손님에게 무료 와이파이를 제공하고 싶은 카페 같은 곳이 그럴 수 있는 건 소수의 동네 사람들만 연결을 쓰기 때문입니다. 그 장소에서 인터넷을 쓸 수 있는 걸 고마워하고 남용으로 이득을 보려 하지 않을 현지인들이죠. 게다가 직원과 다른 손님이 다 보는 앞에서 CCTV에도 찍히는 사람들이고요.
그런 아주 흔한 구성은 본질적으로 안전하지 않고, 그 서비스를 제공하는 업체들은 스스로 위험을 떠안고 있는 겁니다. 그래도 대체로 굴러가는 건 접근이 시간과 장소로 제한되고, 동네 사람 대부분이 범죄자가 아니기 때문입니다. 전 세계의 범죄자들이 당신 기기를 통해 그런 연결에 접근하도록 허용하는 것은 무단 접근을 허용하는 일이고, 다들 수영하고 싶어 하는 수영장에 똥을 싸는 짓이니 무례한 행동이기도 합니다. 와이파이가 차단되거나, 더 빡빡하게 잠기거나, IP 주소가 블랙리스트에 올라 당신을 포함한 모든 이용자에게 쓸모가 줄어들 위험이 크게 높아지거든요.
Tor는 영문도 모르는 참여자를 출구 노드로 쓰지 않습니다. 그건 직접 켜야 하는 기능이에요.
그 게스트 와이파이가 백악관 안에서 돌아가고 있다면요? 네, 그건 감염된 거라고 봅니다. 그 네트워크의 게스트가 외교관이나 직원일 수 있다는 게 위협 모델이고요.
Hola는 그렇게 동작하지 않습니다. 다른 Hola 사용자와 IP를 공유하는 게 아니에요. 좋은 일이든 나쁜 일이든 온갖 일에 쓰이는 봇들과 공유하는 겁니다.
그게 기술적으로 "감염"이 아닌 부분이 어디죠? 현재 무기화되고 있다는 증거는 없다고 주장할 수는 있겠지만, 어떤 놈이 백악관 안에서 무료 VPN을 돌리고 있다는 건 어느 쪽이든 보기 좋은 모양새는 아니라고 봅니다.
확실히 하려면 "감염"의 현학적인 정의가 필요하겠네요.
적대 세력이 명령·제어 트래픽을 숨기는 데 이걸 쓰지 않을 이유가 있나요?