FBI, 대만 대학·에너지망 겨냥한 중국 해킹 도구 관련 도메인 7개 압수

도메인 7개 압수…대만 대학 약 20곳 피해 확인

미 연방수사국(FBI)과 법무부는 2026년 10월 8일, 중국 사이버보안 기업인 인테그리티 테크놀로지 그룹이 운영한 해킹 도구를 지원하는 인터넷 도메인 7개를 압수했다고 발표했다. 이 회사는 중국 정부와 계약을 맺고 있다. 도구 중 하나인 마이크로스캔은 대만 에너지 기업, 일본과 폴란드의 공항, 사우스캐롤라이나의 전력회사 네트워크에서 취약점을 검색했다. 또 다른 도구인 피시허브는 대만 대학 약 20곳에서 확인된 침입과 연관됐다.

이번 조치는 플랙스 타이푼(Flax Typhoon)으로 알려진 해킹 작전의 기반 시설을 겨냥했다. 법무부의 10월 8일 발표에 따르면, 펜실베이니아 서부지방법원에서 공개된 법원 문서에는 인테그리티 테크놀로지 그룹이 고객사들이 취약한 네트워크를 찾아내고, 무단으로 접근해 파일을 탈취하는 데 사용한 도구를 개발·운영했다는 혐의가 담겼다.

FBI는 이번 작전으로 해당 도구들을 사용할 수 없게 됐다고 밝혔다. 그렇다고 침해된 모든 네트워크가 이제 안전하다는 뜻은 아니다. 도메인 압수는 공격자들의 기반 시설을 차단하지만, 피해자 시스템 안에 이미 설치된 악성코드나 탈취한 인증정보, 원격접속 소프트웨어까지 자동으로 제거하지는 않는다.

증거는 또한 검색된 네트워크와 실제 침해된 네트워크를 구분한다. 당국은 대만의 천연가스·전력 기업, 사우스캐롤라이나의 전력회사, 일본과 폴란드의 공항, 다국적 비정부기구를 마이크로스캔의 표적이라고 밝혔다. 이들 기관 각각이 실제 침해됐는지는 공개하지 않았다.

대학과 관련해서는 보다 구체적인 증거가 있다. FBI 진술서에는 2022년 8월과 2023년 3월 대만의 대학 두 곳이 마이크로스캔 검색을 받은 뒤 실제 침해됐다고 적혀 있다. 별도로 법무부는 피시허브 활동의 피해가 확인된 대만 대학이 약 20곳이라고 밝혔다. 해당 대학들의 이름은 공개되지 않았으며, 두 집단이 얼마나 겹치는지 밝혀지지 않았으므로 단순히 두 숫자를 더할 수는 없다.

법원 조치로 실제 차단된 것

연방 치안판사는 공개 발표 이틀 전인 10월 6일 도메인 압수를 승인했다. 영장은 도메인 등록기관에 해당 도메인을 잠그고, FBI가 관리하는 서버로 연결을 돌린 뒤 압수 안내문을 표시하라고 지시했다. 이에 따라 검색, 악성코드 전달, 침해된 네트워크에 대한 지속적 접근을 지원하던 주소들을 운영자가 사용할 수 없게 됐다.

펜실베이니아 서부지방검찰청의 압수 발표에는 도메인 7개가 명시돼 있다. c0cc[.]cc는 마이크로스캔 접속에 사용됐다. 98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net 등 5개 도메인은 피시허브 악성코드 전달을 지원했다. 나머지 98aiblog[.]com은 원격접속 유지에 사용된 소프트웨어인 소프트이더(SoftEther)와 연관됐다.

압수를 뒷받침하는 진술서는 컴퓨터에 대한 무단 접근을 다루는 미국 법률인 컴퓨터 사기 및 남용 방지법 위반 혐의를 제기한다. 도메인 구매 또는 갱신에 미국 외부에서 유래한 자금이 사용됐다는 내용도 담겼다. 압수와 함께 체포나 형사 기소가 발표되지는 않았다. 법원 문서에 담긴 혐의는 유죄 판결이 아니다.

마이크로스캔, 감염 기기를 정찰 네트워크로 활용

마이크로스캔은 널리 사용되는 프로그래밍 언어인 파이썬으로 작성된 웹 애플리케이션으로, 보안 취약점을 점검하는 스크립트 1,300여 개가 들어 있었다. 이런 스크립트는 승인을 받은 보안 평가에 합법적으로 사용될 수 있다. 그러나 수사관들은 인테그리티 테크의 고객사들이 악용할 수 있는 취약점을 찾기 위해 다른 기관의 시스템을 조사하는 데 이 스크립트들이 쓰였다고 주장한다.

이 소프트웨어는 오픈SSL, 오라클 웹로직 서버, 워드프레스, 젠킨스, 아파치 스트럿츠 등을 사용하는 웹사이트와 서비스를 검색했다. 수사관들은 마이크로스캔이 2026년 9월 9일까지 c0cc[.]cc를 통해 접속 가능했고, 이르면 2017년부터 사용됐을 수 있다고 밝혔다.

일부 검색은 미라이 악성코드 변종에 감염된 소비자 기기를 거쳐 이뤄졌다. 이런 기기들이 모여 운영자가 통제하는 감염 기기 집합체인 봇넷을 구성했다. 다른 사람의 기기를 통해 트래픽을 우회하면 검색의 출처를 숨기고 여러 지역에 분산된 기반 시설을 이용할 수 있다.

함께 공개된 사이버보안 권고문에는 2014년부터 2023년까지 식별된, 자주 표적이 된 취약점 8개가 명시돼 있다. 여기에는 GNU 배시, 아파치 스트럿츠, 펄스 시큐어 VPN, 깃랩의 취약점이 포함된다. 일부 취약점은 공격자가 허가 없이 파일을 읽거나 취약한 시스템에서 명령을 실행하도록 허용한다. 이 사례는 작전이 새롭게 발견된 결함에만 의존하지 않았으며, 패치되지 않은 오래된 소프트웨어도 공격 기회가 됐음을 보여준다.

최초 침입 후 접근과 정보 탈취를 지원한 피시허브

피시허브는 마이크로스캔과 다른 역할을 했다. 당국은 피시허브가 특정 수신자를 겨냥한 기만성 메시지인 스피어 피싱을 지원하고, 네트워크 침해 초기에 추가 악성코드를 내려받는 데 사용됐다고 주장한다. 이 악성코드는 인테그리티 테크의 고객사에 원격접속 권한을 제공하거나 특정 파일을 검색해 회사가 통제하는 서버로 전송할 수 있었다.

혐의 내용에 따르면 파일 탈취 과정에는 문서 목록 작성, 특정 자료 검색, 파일 압축, 피해자 네트워크 밖으로 전송하는 단계가 포함됐다. 따라서 피시허브는 단순한 악성코드 전달 수단을 넘어, 공격자가 침입한 뒤 정보를 수집하고 빼내는 데도 쓰였다.

FBI 진술서는 피시허브와 연관된 서버에서 대만 대학 6곳을 포함해 20곳이 넘는 기관의 데이터와 파일을 확인했다고 밝혔다. 이는 법무부가 집계한 대만 대학 피해자 약 20곳보다 범위가 좁다. 대학 6곳은 한 서버에서 발견된 증거에 해당하고, 더 큰 숫자는 확인된 피시허브 활동을 가리킨다. 어느 쪽도 전 세계에서 피해를 입은 기관의 전체 수를 확정하지는 않는다.

대학 네트워크에는 연구 자료, 행정 기록, 서신 등이 담길 수 있지만, 대만 대학에서 어떤 종류의 정보가 탈취됐는지는 당국이 공개하지 않았다. 공개된 설명에는 탈취된 데이터의 양이나 영향을 받았을 수 있는 개인의 신원도 명시되지 않았다.

정상 소프트웨어를 악용해 네트워크에 계속 접근

FBI, 사이버보안·인프라보안국(CISA), 국가안보국(NSA), 국제 파트너들이 공동으로 발표한 권고문은 공격자들이 인증정보를 얻고 접근을 유지한 여러 방법을 설명한다. 여기에는 취약한 웹사이트를 악용해 사용자의 정보를 빼낼 수 있는 교차 사이트 스크립팅과 마이크로소프트 익스체인지 시스템을 겨냥한 비밀번호 스프레이 공격이 포함된다. 비밀번호 스프레이는 한 계정의 비밀번호를 반복해서 추측하는 대신, 여러 계정에 흔히 쓰이는 소수의 비밀번호를 대입하는 방식이다.

수사관들은 침해된 시스템에 소프트이더 VPN 소프트웨어를 설치해 접근을 유지한 사례도 설명했다. 때로는 정상적인 윈도 파일처럼 위장했다. VPN은 일반적인 원격 근무에도 쓰이는 네트워크 연결을 제공한다. 허가 없이 설치되면 공격자가 기관의 시스템에 계속 접근할 수 있는 통로가 될 수 있다.

다른 도구들은 액티브 디렉터리 인증정보를 수집하고 익스체인지 및 마이크로소프트 365 계정에서 이메일을 추출하는 데 사용됐다. 액티브 디렉터리는 많은 기관에서 사용자 신원과 접근 권한을 관리하므로, 탈취된 인증정보는 최초 침해 컴퓨터를 넘어 다른 시스템에 대한 접근도 가능하게 할 수 있다. 수사관들은 제3자가 피해 계정에 직접 접속하지 않고도 탈취된 이메일을 살펴볼 수 있게 해주는 맞춤형 웹 애플리케이션도 발견했다.

국립대만대 컴퓨터과학과 천윈눙 교수는 기존 소프트웨어를 이용한 악성 행위를 식별하기 어려운 이유를 다음과 같이 설명했다:

악성 프로그램은 기존 관리 소프트웨어 안에 숨어 정상 소프트웨어를 악의적인 목적으로 이용합니다. 예를 들어 데이터를 내려받아 내보낼 수 있습니다. 추가 프로그램이 실행되는 것이 아니라 원래 있던 프로그램만 보이기 때문에 탐지하기가 더 어려워집니다.

이런 차이는 정리 과정에서 중요하다. 낯선 프로그램만 찾으면 관리자가 평소 신뢰하는 소프트웨어의 무단 사용을 놓칠 수 있다.

개별 해커를 넘어 작전 배후에 있는 기업

미국 당국은 인테그리티 테크놀로지 그룹을 중국 정부 연계 사이버 작전을 지원하는 기업으로 설명한다. 회사는 베이징에 본사를 두고 있으며 중국 정부와 계약을 맺고 있다. FBI는 민간 부문에서 플랙스 타이푼으로 알려진 활동의 배후에 이 회사가 있다고 본다.

FBI 사이버국의 브렛 레더먼 부국장은 법무부 발표에서 회사의 역할을 다음과 같이 설명했다:

중국(PRC) 정부는 악의적인 사이버 활동의 범위와 규모를 확대하기 위해 계약업체와 지원 기업에 의존합니다. 이런 지원 세력을 드러내고 차단하면 중국 정부가 미국의 네트워크와 기반 시설을 표적으로 삼기가 더 어려워집니다.

권고문은 플랙스 타이푼, 이더리얼 판다(Ethereal Panda), 레드 줄리엣(Red Juliett)으로 추적된 작전과 활동이 일부 겹친다고 설명한다. 다만 겹치는 활동이 모두 인테그리티 테크의 소행이라고 단정할 수는 없다고 경고한다. 따라서 이런 작전명만으로 관련된 모든 침입이 같은 회사의 소행이라고 입증되는 것은 아니다.

FBI 사이버국의 제이슨 빌노스키 부국장은 법 집행 전략을 다음과 같이 밝혔다:

우리는 위협 행위자들의 역량을 없애는 것을 목표로 합니다. 그들의 기반 시설과 자금, 도구를 겨냥합니다.

빌노스키는 해킹 작전을 “무차별적이고 무모하다”고 표현했다. 관계 기관의 광범위한 권고문에는 정부, 제조업, 의료, 정보기술, 법 집행기관, 교육기관, 종교단체 등을 겨냥한 활동이 기술돼 있으며, 동남아시아와 아프리카, 북미에 걸쳐 이뤄졌다.

이번 압수에 앞선 조치

이번 10월 작전은 인테그리티 테크의 해킹 기반 시설을 대상으로 법무부가 공개한 두 번째 기술적 차단 조치다. 첫 번째 조치는 2024년 9월에 이뤄졌으며, 카메라와 영상 녹화기, 가정·사무실용 라우터 등 전 세계 소비자 기기 20만 대 이상으로 구성된 미라이 봇넷을 겨냥했다.

수사 기록에는 2024년 6월 5일 기준으로 더 상세한 상황이 담겨 있다. 데이터베이스에는 감염 기기 기록 120만 건 이상이 있었고, 그중 미국 내 피해 기기는 고유 기기 기준 38만 5,000대가 넘었다. 해당 날짜에 실제 감염 상태였던 기기는 26만 대 이상으로, 미국 내 기기는 약 12만 6,000대였다. 데이터베이스 기록과 실제 감염 기기는 서로 다른 지표이므로, 120만 대라는 수치를 운영자들이 동시에 통제한 기기의 수로 해석해서는 안 된다.

주요 날짜를 보면 작전과 대응이 여러 해에 걸쳐 이어졌음을 알 수 있다:

• 2022년 8월 및 2023년 3월: FBI 진술서에 따르면 마이크로스캔 검색 이후 대만 대학 두 곳이 실제 침해됐다.
• 2024년 9월: 미국 당국이 소비자 기기 20만 대 이상으로 구성된 인테그리티 테크의 미라이 봇넷을 차단했다.
• 2025년 1월: 미 재무부가 미국 기반 시설을 겨냥한 사이버 침입에 관여한 혐의로 인테그리티 테크놀로지 그룹을 제재했다.
• 2025년 및 2026년: 영국과 유럽연합(EU)도 사이버 공격 활동을 이유로 각각 이 회사를 제재했다.
• 2026년 9월 9일: 수사관들은 c0cc[.]cc를 통해 마이크로스캔에 계속 접속할 수 있음을 확인했다.
• 2026년 10월 6일: 연방 치안판사가 도메인 압수를 승인했다.
• 2026년 10월 8일: 법무부와 FBI가 작전 및 공동 사이버보안 권고문을 발표했다.

이번 조치는 대규모 소비자 기기 봇넷을 추가로 제거했다고 발표한 것이 아니라, 검색과 악성코드 전달, 원격접속 기반 시설을 겨냥했다. 각 조치는 혐의를 받는 작전의 서로 다른 부분을 공격했다.

핵심 기반 시설 경고가 정전이나 운영 중단을 입증하는 것은 아니다

전력회사와 천연가스 기업, 공항이 표적에 포함되면서 이번 작전은 정보 탈취를 넘어선 우려를 낳고 있다. CISA의 크리스 부테라 사이버보안 담당 수석부국장 대행은 핵심 시스템에 대한 접근이 가질 수 있는 목적을 경고했다:

중국 정부 연계 행위자들은 향후 자신들이 원하는 시점에 핵심 기능을 방해할 목적으로 운영기술(OT) 시스템을 포함한 핵심 기반 시설 네트워크에 계속 자리를 잡고 있습니다.

운영기술은 산업 장비처럼 물리적 공정을 감시하거나 제어하는 시스템을 가리킨다. 이런 시스템에 대한 접근은 일반 사무용 이메일에 대한 접근과는 다른 위험을 초래할 수 있다.

부테라의 경고는 위협 가능성을 설명한 것이지, 이번 작전으로 정전이나 공항 운영 차질, 대만의 가스 공급 중단이 발생했다는 판단은 아니다. 당국은 이름이 거론된 모든 기반 시설 표적에서 침입이 성공했는지 공개하지 않았으며, 발표 내용만으로 해당 기관의 운영 시스템이 침해됐다고 볼 수도 없다.

공개된 증거가 가장 분명하게 뒷받침하는 것은 네트워크 검색, 무단 접근, 정보 탈취다. 이 사실들을 향후 발생할 수 있는 교란 가능성과 구분하면 수사관들이 입증한 내용을 과장하지 않을 수 있다.

압수 이후 방어 담당자가 확인할 사항

공동 권고문에는 조직이 침입 가능성을 조사하는 데 도움이 되도록 도메인, IP 주소, 악성코드 해시값, 도구 설명이 포함됐다. 미국과 영국, 호주, 캐나다, 일본, 뉴질랜드, 스페인의 기관들이 권고문 작성에 참여했다.

권고된 조치에는 인터넷에 노출된 시스템 패치, 웹메일과 VPN 접속 시 다중인증 적용, 사용하지 않는 서비스 비활성화, 검색이나 악용 시도를 확인하기 위한 웹 애플리케이션 로그 검토 등이 포함된다. 관리자들은 무단 원격접속 소프트웨어와 예상치 못한 액티브 디렉터리 복제도 살펴야 한다. 이는 신원 데이터를 복사하려는 시도일 수 있다.

일부 지표는 2016년부터 확인됐다. 현재 침해의 증거로 자동 간주하기보다는 맥락에 따라 조사해야 한다. 과거의 연관 기록은 침입 경로를 재구성하는 데 도움이 될 수 있지만, 오래된 지표만으로 현재 시스템이 공격자에게 장악됐다고 판단할 수는 없다.

밍촨대 형사사법학과 왕보치 부교수는 제재와 기술적 차단만으로 운영자의 재등장을 막지 못할 수 있다고 경고했다:

이 회사가 제재를 받더라도 같은 활동을 시작하기 위해 다른 조직을 세울 수 있습니다. 회사가 한곳에 있더라도 공격을 시작하는 서버는 다른 곳에 있을 수 있어, 회사는 두려울 것이 거의 없다고 느낄 수 있습니다.

FBI 샌디에이고 지부의 브렛 랠리 감독 특수요원은 FBI가 회사의 기반 시설 재구축 여부를 감시할 것이라고 밝혔다. 샌디에이고·볼티모어 지부와 FBI 사이버국이 수사를 진행하고 있으며, 일본 경찰청도 지원했다. 브렌던 매케나 검사와 자크 싱어-에머리 검사가 사건을 맡고 있다. 다음 심리 날짜나 기한은 발표되지 않았다.

핵심 내용

• FBI는 인테그리티 테크놀로지 그룹과 연관된 마이크로스캔, 피시허브, 무단 원격접속을 지원한 도메인 7개를 압수했다.
• 피시허브 활동의 피해가 확인된 대만 대학은 약 20곳이다.
• 마이크로스캔은 대만 에너지 기업, 사우스캐롤라이나 전력회사, 일본과 폴란드의 공항, 대학, 다국적 비정부기구를 표적으로 삼았다.
• 당국은 이름이 거론된 기반 시설 표적이 모두 실제 침해됐는지 공개하지 않았다.
• 이번 압수에 앞서 2024년 9월 봇넷 차단 조치가 있었으며, 미국과 영국, 유럽연합은 인테그리티 테크를 제재했다.
• 도메인 압수는 공격자 기반 시설을 차단하지만 피해자 네트워크 안에 이미 들어간 악성코드나 탈취된 인증정보를 제거하지는 않는다.
• 작전과 함께 체포나 형사 기소, 다음 심리 날짜는 발표되지 않았다.