threat-intelligence

2025년 4분기 DDoS 위협 보고서: 기록적인 31.4 Tbps 공격이 대규모 DDoS 공격의 한 해를 마무리하다 (새 탭에서 열림)

2025년 DDoS 공격은 전년 대비 121% 급증하며 총 4,710만 건에 달했고, 연말에는 31.4 Tbps라는 역대 최대 규모의 공격이 발생하며 위협의 정점을 찍었습니다. 특히 안드로이드 TV를 감염시킨 'Aisuru-Kimwolf' 봇넷의 출현으로 초당 수억 개의 요청을 보내는 하이퍼 볼류메트릭(Hyper-volumetric) 공격이 일상화되었으며, 통신 및 IT 인프라를 겨냥한 공격의 강도가 그 어느 때보다 강력해졌습니다. 클라우드플레어는 이러한 거대 공격들을 자율 방어 시스템을 통해 성공적으로 차단하며 진화하는 봇넷 위협에 대응하고 있습니다. ### 2025년 DDoS 공격의 급격한 양적 팽창 * 2025년 한 해 동안 발생한 DDoS 공격은 총 4,710만 건으로, 이는 2023년 대비 236%나 증가한 수치입니다. * 클라우드플레어는 매시간 평균 5,376건의 공격을 자동으로 완화했으며, 이 중 네트워크 계층 공격은 시간당 3,925건에 달했습니다. * 특히 네트워크 계층(Network-layer) 공격은 전년 대비 3배 이상 폭증하며 4분기 전체 공격의 78%를 차지하는 주된 위협으로 자리 잡았습니다. ### 'Aisuru-Kimwolf' 봇넷과 크리스마스 캠페인 * 2025년 12월 19일부터 시작된 "The Night Before Christmas" 캠페인은 클라우드플레어 인프라와 고객을 대상으로 초당 2억 건(200 Mrps)이 넘는 HTTP DDoS 공격을 퍼부었습니다. * 이 공격의 주체인 Aisuru-Kimwolf 봇넷은 전 세계적으로 100만~400만 대에 달하는 감염된 안드로이드 TV 기기들로 구성되어 있습니다. * 캠페인 기간 중 최대 9 Bpps(초당 패킷 수), 24 Tbps, 205 Mrps의 기록적인 수치가 관측되었으며, 이는 국가 전체의 통신 연결을 방해할 수 있는 파괴적인 수준입니다. ### 하이퍼 볼류메트릭 공격의 기록적 갱신 * 2025년 4분기 하이퍼 볼류메트릭 공격은 전 분기 대비 40% 증가했으며, 공격의 절대적인 규모는 2024년 말과 비교해 700% 이상 커졌습니다. * 특히 31.4 Tbps 규모의 역대 최대 공격이 발생했으나, 클라우드플레어의 자율 DDoS 방어 시스템이 단 35초 만에 이를 감지하고 자동으로 차단했습니다. * 이러한 거대 공격은 주로 통신사, ISP(인터넷 서비스 제공업체), 게이밍 산업 및 생성형 AI 서비스 기업들을 집중적으로 겨냥했습니다. ### 공격 대상 산업 및 지역의 변화 * **산업별:** 통신 서비스 산업이 정보 기술(IT) 서비스를 제치고 가장 많이 공격받은 산업 1위에 올랐으며, 도박 및 카지노, 게이밍 산업이 그 뒤를 이었습니다. * **지역별:** 중국이 여전히 가장 많은 공격을 받는 가운데, 홍콩이 12계단 상승해 2위를 기록했고 영국은 한 분기 만에 36계단이나 급등하며 6위로 부상했습니다. * 공격자들은 즉각적인 경제적 타격이 크거나 사회적 기반 시설 역할을 하는 지점을 전략적으로 선택하여 공격의 효과를 극대화하고 있습니다. 기업과 기관은 이제 단순한 트래픽 차단을 넘어, 수백만 대의 IoT 기기를 동원하는 초거대 규모의 하이퍼 볼류메트릭 공격에 대비해야 합니다. 특히 통신, 게이밍, AI 서비스와 같이 레이턴시에 민감한 산업군은 실시간 자동 완화 기능을 갖춘 클라우드 기반 보안 체계를 구축하여 예고 없이 찾아오는 대규모 공격에 상시 대응할 수 있는 능력을 갖추는 것이 필수적입니다.

GitLab 위협 인텔리 (새 탭에서 열림)

GitLab 위협 인텔리전스 팀은 북한 연계 위협 그룹이 수행하는 '전염성 인터뷰(Contagious Interview)'와 가짜 IT 개발자 취업 캠페인의 세부 수법을 공개하고, 이들이 GitLab 플랫폼을 어떻게 악용했는지 분석했습니다. 북한 해커들은 채용 담당자로 위장해 개발자들에게 악성 코드가 포함된 기술 과제를 실행하도록 유도하며, 이를 통해 자금 탈취와 자격 증명 절취를 시도하고 있습니다. GitLab은 2025년 한 해 동안 130개 이상의 관련 계정을 차단했으며, 이들의 인프라 분석을 통해 확보한 지표를 공유하여 보안 커뮤니티의 대응 역량 강화를 촉구했습니다. **전염성 인터뷰(Contagious Interview)의 실체** * **공격 방식:** 해커들이 구인 구직 플랫폼에서 채용 담당자로 위장해 개발자에게 접근한 뒤, 기술 면접을 빙자하여 악성 코드가 포함된 프로젝트를 내려받아 실행하도록 유도합니다. * **주요 악성코드:** 주로 BeaverTail과 Ottercookie로 알려진 JavaScript 기반의 악성코드 패밀리가 사용됩니다. * **피해 결과:** 개발자의 장비에 대한 원격 제어 권한을 획득하고, 암호화폐 지갑 정보나 로그인 자격 증명을 탈취하여 금융 자산 절도 및 내부 네트워크 침투의 발판으로 삼습니다. **2025년 캠페인 추세 및 주요 특징** * **공격 규모:** 2025년 한 해 동안 총 131개의 북한 연계 위협 계정이 차단되었으며, 특히 9월에 공격 활동이 정점에 달했습니다. * **인프라 활용:** 공격자의 90%가 Gmail 계정을 사용해 GitLab에 가입했으며, 탐지를 피하고자 소비자용 VPN이나 전용 VPS 인프라를 통해 접속했습니다. * **타겟 산업:** 주로 암호화폐, 금융, 부동산 분야의 개발자를 타겟팅했으나, 최근에는 AI 및 게임 산업으로도 범위를 넓히고 있습니다. * **외부 서비스 악용:** 악성 페이로드를 GitLab에 직접 저장하지 않고, Vercel과 같은 합법적인 호스팅 서비스나 커스텀 도메인을 활용해 외부에서 불러오는 방식을 취했습니다. **악성 코드 삽입 및 은닉 기술** * **환경 변수 위장:** `.env` 파일 내에 악성 페이로드 URL과 헤더 값을 Base64로 인코딩하여 일반적인 설정값처럼 보이게 위장합니다. * **동적 코드 실행:** `Function.constructor`를 사용하여 문자열 형태의 원격 콘텐츠를 실행 가능한 코드로 로드하는 커스텀 에러 핸들러 기법을 사용합니다. * **최신 변종 기법:** VS Code 작업을 통한 악성 쉘 명령 실행, 가짜 폰트 파일 내에 숨겨진 바이너리 데이터 디코딩, 프로젝트 실행 직전에 생성된 악성 NPM 종속성 활용 등의 수법이 관찰되었습니다. **가짜 IT 노동자 운영 사례** * **신분 위조 파이프라인:** 최소 135개의 가짜 페르소나를 생성하는 자동화된 파이프라인을 구축하여 전문적인 인맥을 형성하고 구인 제안을 수집했습니다. * **신분증 조작:** 도용된 미국 시민권자의 신분증에 자신의 사진을 합성하여 21개의 고유한 가짜 신분을 관리하는 사례가 발견되었습니다. * **글로벌 거점:** 러시아 모스크바 등 해외 거점에서 활동하며 미국 내 조력자를 모집하고, 제재를 피하면서 미국 기업으로부터 수익을 창출하고 있습니다. 개발자들은 신뢰할 수 없는 출처에서 제공된 기술 면접용 코드 프로젝트를 실행할 때 각별히 주의해야 합니다. 특히 `.env` 파일에 인코딩된 의심스러운 문자열이 있거나, 프로젝트 실행 시 외부 URL에서 콘텐츠를 불러오는 로더가 포함되어 있는지 철저히 검증하는 보안 습관이 필요합니다.