악의적인 주거용 프록시 네트워크에 대한 Google의 지속적인 방해

*이 콘텐츠는 AI 번역 도구를 사용하여 번역되었습니다. 정확성을 기하기 위해 노력하고 있으나, 자동 번역에는 오류나 누락이 포함될 수 있습니다. 정확한 정보는 영문 원본을 참고해 주시기 바랍니다.

배경

오늘 Google은 FBI, Lumen 등과 협력하여 Popa라고도 알려진 NetNut 주거용 프록시 네트워크에 대해 조치를 취했습니다. 이 조치는 2026년 1월에 이루어진 IPIDEA 프록시 네트워크의 방해를 기반으로 하며, 악의적인 주거용 프록시 네트워크를 해체하려는 Google의 목표를 이어가는 것입니다.

취한 조치

이러한 중단에 따라 다음 조치를 취했습니다.

1. NetNut에서 멀웨어 명령 및 제어 (C2)에 사용한 Google 계정 및 관련 Google 서비스를 사용 중지했습니다. 이는 Google 서비스 약관 및 서비스이용 정책을 직접적으로 위반하는 행위입니다. 

2. 플랫폼 제공업체, 법 집행 기관, 연구 기업과 NetNut 소프트웨어 개발 키트 (SDK) 및 백엔드 C2 인프라에 대한 기술 인텔리전스를 공유하여 생태계 전반의 인식과 시행을 촉진합니다.

3. Google은 Android의 기본 제공 보안 보호 기능인 Google Play 프로텍트가 NetNut SDK를 통합한 것으로 알려진 애플리케이션에 대해 사용자에게 자동으로 경고하고 해당 애플리케이션을 사용 중지하도록 했습니다. 또한 시스템은 앞으로도 사용자를 설치 시도로부터 계속 보호할 것입니다. 더 넓은 디지털 생태계를 안전하게 유지하기 위한 이러한 노력은 인증된 기기에서 Android 사용자를 보호하기 위한 Google의 보호 조치를 보완합니다.

Google은 이러한 조율된 조치로 인해 NetNut의 프록시 네트워크와 비즈니스 운영이 크게 저하되었으며, 프록시 운영자가 사용할 수 있는 기기 풀이 수백만 개 감소했다고 믿습니다. NetNut은 NetNut 브랜드로 네트워크 액세스를 판매하는 것 외에도 네트워크의 화이트 라벨링을 허용하는 강력한 리셀러 프로그램을 보유하고 있습니다. Google은 많은 인기 주거용 프록시 브랜드가 실제로 NetNut 봇넷을 화이트라벨링하고 있다고 확신합니다. 이번 중단으로 인해 주거용 프록시 생태계 전반에 더 큰 파급 효과가 있을 것으로 예상되지만, IPIDEA 중단 이후의 관찰 결과 개별 네트워크는 복원력이 있는 것으로 나타났습니다. 관찰한 바에 따르면 프록시 운영자는 자체 봇넷이 저하되면 경쟁업체로부터 용량을 구매하기 시작하여 사실상 리셀러가 됩니다. 이러한 유동적인 생태계에서 지속적인 중단을 일으키려면 여러 상호 연결된 제공업체의 인프라를 표적으로 삼아 노력을 확장해야 합니다. Google은 NetNut 네트워크의 구성을 계속 관찰하고 동종업체들이 이 조치에 어떻게 적응하는지 파악할 것입니다.

중요한 이유

NetNut은 가장 크고 인기 있는 주거용 프록시 네트워크 중 하나입니다. 주거용 프록시 네트워크의 규모를 추정하는 것은 매우 어렵지만 Google Threat Intelligence Group (GTIG)은 NetNut 네트워크의 규모가 전 세계에 분산된 200만 대 이상의 기기라고 추정합니다. Google에서 확인한 바에 따르면 KrebsOnSecurity 등의 공개 보고서에서 NetNut은 스마트 TV, 스트리밍 박스 등 가정에서 흔히 볼 수 있는 기기용 SDK를 배포하여 봇넷을 채우는 것으로 나타났습니다. GTIG는 Badbox 2.0과 같은 대규모 봇넷의 NetNut 봇넷 플러그인 구성요소도 식별했습니다.

주거용 프록시 네트워크는 인터넷 서비스 제공업체 (ISP)가 소유한 IP 주소를 통해 트래픽을 라우팅하는 기능을 판매하므로 공격자는 이러한 IP 주소를 도용하여 악의적인 활동을 마스킹할 수 있습니다. 강력한 주거용 프록시 네트워크를 위해서는 수백만 개의 주거용 IP 주소를 제어하여 고객에게 판매할 수 있어야 합니다. 이를 위해서는 운영자가 홈 기기에서 코드를 실행하여 출구 노드로 악성 네트워크에 등록해야 합니다. 홈 기기는 구매 전에 멀웨어가 사전 설치되어 있거나 사용자가 숨겨진 프록시 코드가 포함된 애플리케이션을 무심코 다운로드하기 때문에 프록시 네트워크의 일부가 됩니다. 공격자가 홈 IP 주소를 해킹 및 기타 무단 활동의 발판으로 사용할 수 있으므로, 아무것도 모르는 기기 소유자에게 심각한 위험을 초래합니다. 결과적으로 사용자의 합법적인 트래픽이 의심스러운 것으로 플래그 지정되거나 서비스 제공업체에 의해 차단될 수 있습니다.

2026년 6월 한 주 동안 GTIG는 사이버 범죄자 및 스파이 그룹을 포함하여 의심되는 NetNut 출구 노드를 사용하는 316개의 서로 다른 위협 클러스터를 관찰했습니다. 이러한 악의적인 행위자는 NetNut를 사용하여 피해자 환경에 액세스하고, 자체 인프라에 액세스하고, 비밀번호 스프레이 공격을 수행할 때 출처 IP 주소를 마스킹할 수 있습니다. 또한 소비자 기기가 출구 노드가 되면 승인되지 않은 네트워크 트래픽이 이를 통과합니다. 즉, 악의적인 행위자가 동일한 홈 네트워크에 있는 다른 비공개 기기에 액세스하여 인터넷 위협에 노출시킬 수 있습니다. Synthient, Spur, Nokia Deepfield 등의 공개 보고서에 따르면 NetNut는 기기를 Mirai DDoS 봇넷의 변종으로 감염시키는 데 사용되었습니다.

소비자 역량 강화 및 보호

'사용하지 않는 대역폭' 또는 '인터넷 공유'의 대가로 결제를 제공하는 애플리케이션은 매우 주의해야 합니다. 이러한 애플리케이션은 악의적인 프록시 네트워크가 성장하는 주요 방법이며, 기기의 홈 네트워크에서 보안 취약점을 열 수 있습니다. 사용자는 공식 앱 스토어를 이용하고, 서드 파티 VPN 및 프록시의 권한을 검토하고, Google Play 프로텍트와 같은 기본 제공 보안 보호 기능이 활성화되어 있는지 확인해야 합니다.

소비자는 셋톱박스 등의 연결된 기기를 구매할 때 평판이 좋은 제조업체의 제품인지 확인해야 합니다. 예를 들어 기기가 공식 Android TV OS로 빌드되었는지, Play 프로텍트 인증을 받았는지 확인하는 데 도움이 되도록 Android TV 웹사이트에서 최신 파트너 목록을 제공합니다. 이 단계에 따라 Android 기기가 Play 프로텍트 인증을 받았는지 확인할 수도 있습니다.

향후 작업

올해 초에 언급했듯이 주거용 프록시 산업은 빠르게 확장되고 있는 것으로 보이며, 이번에 조율된 방해는 악의적인 주거용 프록시 네트워크와 싸우는 Google의 작업이 끝이 아님을 의미합니다. 이 업계는 깊이 연결되어 있으며 운영자는 끊임없이 재판매되는 중복된 봇넷 네트워크에 의존합니다. 특정 시점의 중단은 사용자를 보호하는 데 중요한 도구이지만, 장기적으로 악의적인 프록시 네트워크를 줄이려면 지속적이고 조율된 노력이 필요합니다. 모바일 플랫폼, ISP, 기타 기술 플랫폼은 인텔리전스를 계속 공유하고 악의적인 C2 인프라를 차단하기 위한 직접적인 조치를 취해야 합니다.