새로운 봇넷 멀웨어, 저그에카(Zergeca)

새 봇넷 멀웨어가 등장했다. 저그에카(Zergeca)라는 멀웨어로, Go 언어로 작성되었으며, DDoS 공격을 위해 만들어진 것으로 의심되고 있다. 이 멀웨어의 C&C 서버에는 ootheca라는 문자열이 있는 것으로 밝혀졌는데, ootheca는 곤충의 알주머니를 뜻한다. 사실 나도 저그에카라는 단어를 보자마자 스타크래프트..? 하고 해당 게임을 떠올렸는데, 실제 거기에서 이름을 따왔다고 한다. Zerg + ootheca = Zergeca인 것이다.

 

이 저그에카는 단순 DDoS 봇넷이라고 치부할 수 없다. 기존 봇넷 멀웨어들이 지니고 있지 않은 기능들을 포함하고 있기 때문이다. ① 6가지 유형의 DDoS 공격(http 플러드, 신플러드, 액플러드, 푸시플러드, 레스트플러드, 푸시OVH플러드) ② 프록시 ③ 스캔 ④ 자가 업그레이드 ⑤ 공격 지송 ⑥ 파일 전송 ⑦ 리버스 셸 ⑧ 민감 정보 수집의 기능을 탑재하고 있으며, 다양한 DNS 레졸루션 방법을 지원하고 있다. 또한, 저그예카의 인프라에는 2가지 버전의 미라이 봇넷도 호스팅되어 있었던 것으로 나타났다. 따라서 의심되는 것이, 미라이 봇넷을 통해 데이터를 쌓고 저그예카를 만든 것이 아니냐는 점이다.

 

저그예카는 적어도 23년 9월부터는 활동을 시작한 것으로 보이며, 주로 텔넷의 약한 비밀번호를 대입하여 뚫어내는 식으로 전파됐다. 당연히 잘 알려진 취약점을 활용하여 공격하는 것은 덤이고 말이다. 그리고 이것은 아직 저그예카에 대한 부분적인 정보에 불과하다. 더군다나 저그예카는 발전하고 있고, 새로운 전략을 실험 중이다. 6가지나 되는 DDoS 공격이 가능하다는 것도 가장 효과적인 공격을 하기 위한 과정의 일부인 것으로 보인다. 따라서 점차 1~2가지로 최종 후보군을 좁아 더욱 강력한 공격을 할 것으로 예상된다.

 

 

 

출처: https://www.boannews.com/media/view.asp?idx=131174&direct=mobile