미국 연방수사국(FBI)은 법무부가 중국과 연계된 사이버 첩보 작전에 정찰, 프록시 관리, 통신 라우팅 서비스를 제공한 기술 조직과 관련된 것으로 밝힌 인프라를 차단했다. 공개된 표적에는 미국 정부 기관의 네트워크와 민감한 인프라가 포함됐으며, NASA, 연방준비제도, 에너지부와 법무부, 보건복지부, 국립보건원, 미국 상원 등이 그 대상이었다.
이 조직은 QTFY, QT 또는 QTCYBER로 알려져 있으며, 사건 기록에 따르면 QScan과 QTRouter라는 두 플랫폼을 구축하고 운영했다. 문서에서는 QScan을 스캔 및 익스플로잇 플랫폼으로, QTRouter를 통신 경로를 은폐하는 네트워크로 설명했다. 당국은 qtproxy[.]xyz, qt-proxy[.]org, qt-team[.]com 도메인을 압수했으며, 현재 해당 도메인에는 법 집행기관 명의의 배너가 표시된다.
단일 도구가 아닌 서비스 플랫폼
Lumen Technologies의 보안 연구 부문인 Black Lotus Labs의 조사에 따르면, 이 인프라는 서로 연계된 여러 서비스를 제공했다. QScan은 개방 포트, 애플리케이션 배너, 운영체제 지문, 구성 데이터 등 고가치 표적에 대한 정보를 수집했다. Fast Labyrinth는 표적 기관과의 통신을 은폐하기 위한 암호화 릴레이 네트워크였다.
QTRouter는 프록시 인프라와 노드 관리 시스템에 접근할 수 있도록 사전 구성된 물리적 장치를 제공했으며, QTProxy는 Fast Labyrinth를 통해 릴레이를 선택하고 맞춤형 경로를 생성할 수 있게 했다. 조사 결과에 따르면 이러한 요소들은 단일 침투 도구에 의존하기보다 정찰을 수행하고 트래픽의 출처를 은폐하는 데 필요한 운영 부담을 줄이도록 설계됐다.
Lumen은 이 인프라가 군사 및 방위 기관, 정부 네트워크, 대학과 연구센터, 항공사와 중요 정보 기업, 의료 부문, 금융기관, 에너지 기업과 핵심 인프라, 기업용 소프트웨어 제공업체를 겨냥하는 데 사용됐다고 밝혔다.
차단 작전이 드러내는 것은 무엇인가?
Black Lotus Labs는 1년 동안 QTFY 인프라를 모니터링했으며, 미국 정부 기관과 위협 정보를 공유했다고 밝혔다. 또한 알려진 지점으로 향하는 트래픽을 비효율적인 경로로 전환해 해당 지점을 무력화했다. Lumen은 QScan이 스캔한 표적과 이후 Fast Labyrinth 네트워크가 통신한 기관 사이의 중복이 정찰에서 후속 작전으로 활동이 전환됐음을 보여주는 가장 강력한 지표라고 판단한다.
회사는 관찰된 양방향 통신이 익스플로잇 시도, 측면 이동, 접근 권한 유지 또는 데이터 수집을 반영할 수 있다고 추정한다. 한편 법원 문서에는 이 그룹에 중국 인민해방군 산하 군사 조직의 전직 구성원들이 포함됐으며, Nanjing Xinjiuwei Network Technology Company가 중국 국가안전부로부터 대금을 받았다고 적혀 있다. 법무부는 이를 중국 정부를 대신해 악성 활동을 수행했다는 지표로 보고 있다.
이 소식이 방어 담당자에게 중요한 이유
이번 작전의 중요성은 단일 서버가 아니라 운영 인프라를 제공하는 사업 모델을 겨냥했다는 데 있다. Fast Labyrinth는 상용 프록시 서비스 fastlink.ws에서 비용을 지불한 노드를 활용했고, 첩보 트래픽을 정상 사용자 트래픽과 섞었으며, 통신이 발신되는 인프라를 순환시켰다. 또한 QTFY는 다른 조직에 QScan과 QTRouter에 대한 접근 권한을 판매해 취약한 사물인터넷 장치를 스캔하고 이를 트래픽 출처를 은폐하는 릴레이 네트워크에 편입할 수 있도록 했다.
그러나 Lumen은 트래픽이 끊임없이 변하는 상용 프록시 서비스를 통해 이동하기 때문에 고정 차단만으로는 충분하지 않을 것이라고 경고한다. 실무적으로는 중국과 연계된 위협에 관한 CISA와 NCSC의 지침을 따르고, 라우터, 방화벽, 사물인터넷 장치를 업데이트하며 구성을 안전하게 설정해야 한다. 압수 작전만으로 위협이 끝났다고 입증할 수는 없다. 프록시 순환이 초래하는 제약과 다른 서비스를 통해 인프라가 재구축될 가능성은 방어팀 앞에 여전히 미해결 과제로 남아 있다.