새로 봉인 해제된 법원 기록을 인용해, 중국 국가와 연계된 해킹조직이 미국 방위산업체와 금융기관, 대학 등 300여개 기관에서 민감 정보를 탈취하고 에너지부 산하 국립연구소 3곳과 미 국립보건원(NIH), 보건복지부 산하 기관까지 침투했다고 폭스뉴스가 27일(목) 보도했다. FBI는 이번주 이 조직이 운영하던 해킹 플랫폼을 오프라인으로 차단했다.
보도에 따르면 'QTFY'로 알려진 이 조직은 중국에 본사를 둔 업체를 통해 활동해왔으며, FBI는 이 업체가 중국 국가안전부(MSS)와 인민해방군(PLA)을 고객으로 두고 해킹 서비스를 판매했다고 밝혔다. FBI 진술서에 따르면 이 업체에는 전직 PLA 소속 인원들이 근무했으며, 이들은 군 인맥을 활용해 공격적 사이버 작전 관련 계약과 하도급 계약을 따냈다고 한다.
QTFY는 대규모 인터넷 스캐닝 기법과 함께 해킹된 라우터, 카메라 등 사물인터넷 기기로 구성된 네트워크를 동시에 활용해 공격의 발원지를 은폐했다. 연방 당국자들은 피해자 네트워크 인근 기기를 통해 악성 트래픽을 우회시킴으로써 공격을 정상적인 지역 트래픽처럼 위장해 추적을 어렵게 만들었다고 설명했다.
법무부와 FBI는 지난 27일 QTFY의 양대 플랫폼인 'QScan'과 'QTRouter'를 구동하던 도메인 3개를 압수했다. QScan은 취약한 시스템을 찾아내는 스캐닝 도구, QTRouter는 해킹된 기기를 경유해 해커의 신원을 감추는 라우팅 도구다. 연방 당국은 핵심 통신 및 인증에 쓰이던 도메인을 차단함으로써 두 플랫폼 모두를 무력화했다고 밝혔다.
FBI 진술서에 따르면 QScan은 2024년 하루 만에 200만건이 넘는 스캐닝 및 침투 테스트 작업을 처리했을 정도로 규모가 방대했다. 이 플랫폼에는 200개가 넘는 개념증명(PoC) 익스플로잇이 담겨 있었고, 취약한 소프트웨어와 노출된 서비스 등 인터넷상의 침투 지점을 탐색하는 데 쓰였다.
사이버 위협 정보업체 플래시포인트(Flashpoint)의 애런 슈래버그(Aaron Shraberg) 선임 인텔리전스팀장은 폭스뉴스 디지털에 "QTFY는 중국의 사이버 생태계가 상업적 사이버보안과 국가 지원 작전 사이의 경계를 어떻게 흐려놓았는지 보여주는 또 다른 사례"라고 말했다. 그는 이러한 생태계의 상업화가 과거 맞춤형 기법에 의존하던 해킹 역량을 대규모로 개발·재사용·배포 가능한 도구와 서비스로 바꿔놓았다고 지적했다.
연방 당국에 따르면 QTFY는 미 항공우주국(NASA), 법무부, 연방준비제도, 상원 시스템은 물론 전력회사, 병원, 통신사업자, 방위산업체, 선거 인프라까지 표적으로 삼았다. 폭스뉴스 디지털은 이와 관련해 주미 중국대사관에 논평을 요청한 상태다.
모든 공격이 성공한 것은 아니었다. 진술서에 따르면 QTFY는 2019년 NASA의 가상사설망(VPN) 취약점을 이용해 침투를 시도했지만, NASA가 이미 해당 결함을 패치해둔 상태여서 실패로 끝났다. FBI와 국가안보국(NSA), 사이버국가임무군(Cyber National Mission Force)이 공동으로 발표한 별도 권고문에 따르면 이 조직은 지난 3월 상원 및 병원 시스템 네트워크를, 6월에는 미국 선거 시스템을 스캔했으나 접근에는 실패했다.
반면 성공한 공격도 있었다. 권고문에 따르면 QTFY는 2024년 5월 체크포인트(Check Point) 소프트웨어에서 최근 공개된 취약점을 악용해 미국 전력·통신 업체들을 스캔하는 동시에, 미국과 해외 300여개 기관에서 데이터를 탈취했다. 정부는 피해 기관의 명칭이나 유출된 정보의 구체적 내용은 공개하지 않았지만, 피해자 중에는 미국 방위산업체, 금융기관, 대학이 포함됐다고 밝혔다.
4개월 뒤에는 해커들이 아이반티(Ivanti) 클라우드 서비스 어플라이언스 소프트웨어의 제로데이 결함을 악용해 에너지부 산하 국립연구소 3곳, NIH, 보건자원서비스국(HRSA), 그리고 미국의 한 보안장비 제조업체 네트워크에 접근했다고 권고문은 밝혔다. 다만 어떤 정보에 접근했는지, 해커들이 얼마나 오래 네트워크 내부에 머물렀는지, 또는 이번 침입으로 업무에 차질이 빚어졌는지는 공개되지 않았다.
토드 블랜치(Todd Blanche) 법무장관은 이번 압수 조치를 발표하며 "미국의 핵심 인프라를 노리는 국가 지원 악성 해커들은 반드시 저지되고 기소될 것"이라고 밝혔다.
이번 조치는 중국 정부와 연계된 해킹조직의 인프라를 해체하려는 FBI의 일련의 작전에 새롭게 추가됐다. FBI는 2023년 미국과 해외 핵심 인프라에 대한 접근을 은폐한 혐의를 받는 중국 연계 조직 '볼트 타이푼(Volt Typhoon)'의 봇넷을 무력화한 바 있다. 이듬해에는 '플랙스 타이푼(Flax Typhoon)'이 중국 정부 고객들에게 공급한 것으로 알려진, 수십만대의 감염된 사물인터넷 기기로 구성된 봇넷을 무력화했다. 지난해에는 또 다른 중국 연계 해킹조직 '머스탱 팬더(Mustang Panda)'가 감염시킨 미국 내 컴퓨터 4000여대에서 감시 멀웨어 '플러그엑스(PlugX)'를 제거했다고 FBI는 밝혔다.
