FBI·NSA·CNMF가 8월 26일 공개한 중국 연계 해킹그룹 QTFY 합동 사이버보안 권고문. [사진=NSA]

 중국의 국가 주도형 해킹이 하나의 산업으로 진화했다. 

민간업체가 공격 도구를 제조하고 프리랜서 해커 시장에서는 악성코드와 취약점, 이미 뚫린 피해자 네트워크의 접근권한까지 거래됐다. 감염된 사물인터넷(IoT) 기기와 상업용 프록시망은 중국발 공격의 출처를 숨기는 유통망으로 쓰였다.

그 뒤에는 중국 국가안전부(MSS)와 인민해방군(PLA)이 있었다.

구조만 보면 마약 제조·유통망과 크게 다르지 않다. 차이가 있다면 거래되는 물건이 마약이 아니라 악성코드이고, 공격 대상이 개인의 신체가 아니라 다른 국가의 군사·정부·금융·전력·통신·선거시스템이라는 점이다.

미국 연방수사국(FBI)과 국가안보국(NSA), 사이버국가임무부대(CNMF)는 26일(현지 시간) 이 같은 중국 사이버 산업의 실체를 담은 36쪽 분량의 합동 사이버보안 권고문을 공개했다. 

제목은 ‘중국 연계 해킹그룹 QTFY, 악성 분산 시스템으로 군사 및 핵심 기반시설 공격’이다.

세 기관이 확인한 것은 단순한 해커 집단이 아니었다. 공격 도구 개발과 판매, 취약점 탐색, IoT 기기 감염, 봇넷 운영, 공격 경로 은폐가 하나의 체계로 결합돼 있었다.

민간기업 간판 뒤 국가안전부와 인민해방군

미국 당국이 지목한 조직은 ‘QTFY’다. 이들은 자신과 자신들이 만든 도구를 QT 또는 QTCYBER라고도 불렀다.

QTFY는 2018년 설립된 중국 난징신지우웨이네트워크테크놀로지(XJW)에 소속된 것으로 조사됐다.

FBI·NSA·CNMF는 XJW를 중국 정부와 연계된 사이버 작전을 지원하는 업체로 규정했다.

합동 권고문에 따르면 XJW는 중국 국가안전부 산하 조직 및 핵심 기반시설 보안기술을 보유한 중국 민간업체들과 사업 관계를 맺었다. QTFY에는 전직 인민해방군 인력도 포함됐고 이들은 기존 인맥을 활용해 핵심 기반시설을 겨냥한 계약과 하도급을 확보했다.

QTFY 관계자들은 중국의 프리랜서 해커 중개망에서 악성코드와 취약점뿐 아니라 이미 침투된 피해자 네트워크의 접근권한까지 사고팔았다. 미 법무부는 QTFY가 중국 국가안전부와 인민해방군을 포함한 유료 고객에게 해킹 서비스를 제공했다고 밝혔다.

중국 국가기관이 모든 공격을 직접 수행한 것이 아니다. 민간기업과 프리랜서 해커 시장이 공격 수단을 생산하고 국가기관이 이를 구매하거나 계약을 통해 활용하는 분업 구조다. 국가와 민간의 경계가 흐려지면서 중국 정부가 개별 공격에 대한 책임을 부인하기도 쉬워졌다.

Lumen Black Lotus Labs 기술분석

QScan이 표적 찾고 QTRouter가 공격 경로 숨겼다

QTFY의 공격 체계는 크게 세 단계로 작동했다.

먼저 ‘QScan’이 인터넷을 대규모로 훑어 공격 가능한 시스템을 찾았다. QScan에는 파이썬으로 작성된 200개 이상의 개념증명용 공격 코드가 들어 있었다. 2024년 하루 동안 200만건이 넘는 취약점 스캔과 모의 침투 작업을 처리한 사례도 확인됐다.

표적을 찾은 뒤에는 이미 공개된 취약점과 제로데이 취약점을 이용해 네트워크 진입을 시도했다. 침투에 성공하면 원격접근트로이목마(RAT)와 웹셸, 탈취한 정상 계정을 이용해 피해자 네트워크에 장기간 머물렀다.

공격 출처를 숨기는 역할은 ‘QTRouter’가 맡았다. QTRouter는 감염된 라우터와 IoT 기기, 상업용 프록시 서비스, 임대 가상서버를 연결해 공격 통신을 우회시켰다. 중국에서 시작된 공격도 피해 기관과 가까운 지역의 일반 이용자 기기에서 들어오는 것처럼 위장할 수 있었다.

마약 조직이 국경과 운반책을 여러 차례 바꿔 추적을 피하듯 QTFY는 감염된 민간 기기와 정상 프록시 통신 사이에 악성 트래픽을 섞었다. 피해 기관 입장에서는 공격자가 중국에 있는지, 자국 내 감염 장비를 거쳐 접근하는지 즉시 구별하기 어려웠다.

여기에 감염된 IoT 기기를 관리하는 ‘Proxy Platform Management’, ‘Proxy Pool Management System’, ‘QTBotnet’ 등 최소 3개의 봇넷 플랫폼이 결합됐다. 일부 제어시스템에는 명령 실행과 분산서비스거부(DDoS) 공격 기능도 탑재됐다.

美 선거시스템 2019년·2026년 반복 정찰

공식 권고문에서 가장 주목되는 대목은 미국 선거시스템에 대한 반복적인 정찰이다.

QTFY는 2019년 7월 미국 선거시스템을 대상으로 취약점 스캔을 실시하고 네트워크 진입을 시도했다. 이어 2026년 6월에는 QScan을 이용해 미국 선거시스템을 다시 스캔했다.

다만 두 사례 모두 실제 네트워크 침투에는 실패했다. 이를 근거로 미국 선거시스템이 해킹됐다거나 선거 결과가 조작됐다고 단정할 수는 없다. 공식 문서가 확인한 것은 중국 연계 조직이 미국 선거시스템을 공격 대상으로 삼아 반복적으로 취약점을 정찰했다는 사실이다.

실패했다고 위험성이 사라지는 것은 아니다. QTFY는 약 10년간 인터넷 스캔을 통해 축적한 데이터베이스를 보유하고 있었다. 새로운 취약점이 공개되면 과거에 수집한 정보를 토대로 공격 가능한 기관을 즉시 찾아낼 수 있는 구조였다.

선거시스템 정찰도 단독 사건이 아니었다. QTFY는 미국 에너지부, 법무부, 연방준비제도, 항공우주국(NASA), 상원, 주정부, 전력·통신기업, 병원과 대학 등을 잇달아 겨냥했다.

2024년 5월에는 미국 전력·통신기업을 스캔하면서 Check Point Quantum Gateway 취약점을 악용했다. 이 과정에서 미국 방산업체와 금융기관, 대학을 포함해 미국과 전 세계 300개 이상의 기관에서 데이터가 유출된 것으로 조사됐다.

트럼프 “전례 없는 선거 보안의 악몽”

이번 조치는 트럼프 행정부가 추진해온 대중국 선거·사이버안보 공세와 맞물린다.

도널드 트럼프 대통령은 지난 7월 16일 대국민 연설에서 중국이 2020년 선거 주기부터 미국 유권자 최대 2억2000만명의 정보를 불법 취득했다며 “전례 없는 선거 보안의 악몽”이라고 규정했다.

트럼프는 중국이 확보한 정보에 유권자의 이름과 주소, 전화번호, 정당 선호도 등이 포함됐으며 이를 분석하기 위한 별도 조직까지 운용했다고 주장했다.

백악관은 이후 공개한 팩트시트에서 정보기관 문서를 근거로 “중국과 그 대리세력이 최대 2억2000만명의 미국 유권자 등록정보를 구매하거나 훔치고 해킹했다”고 밝혔다. 정보기관이 사용하는 ‘선거 개입’의 정의에는 유권자 등록 인프라와 데이터에 대한 외국 세력의 공격도 포함된다고 설명했다.

트럼프가 언급한 유권자 정보 탈취와 QTFY의 선거시스템 정찰이 동일한 작전이었다는 증거는 현재까지 확인되지 않았다. 두 사건을 하나로 단정해서는 안 된다.

그러나 중국이 미국의 유권자 정보와 선거 인프라를 지속적으로 수집·정찰해왔다는 트럼프 행정부의 문제의식과 이번 합동 권고문의 내용은 맞닿아 있다. 트럼프의 경고가 나온 지 한 달여 만에 중국 연계 조직이 미국 선거시스템을 두 차례 정찰한 사실과 구체적인 공격 수단이 공개된 것이다.

FBI, 핵심 도메인 압수해 플랫폼 무력화

미 법무부와 FBI는 같은 날 법원 허가를 받아 QScan과 QTRouter 운영에 사용된 도메인을 압수했다고 발표했다.

핵심 도메인이 프로그램에 고정돼 있어 압수 조치로 두 플랫폼의 통신과 인증 기능이 작동하지 않게 됐다는 설명이다. 단순히 중국을 배후로 지목하거나 경고하는 데 그치지 않고 실제 공격 기반시설을 끊어낸 조치다.

캐시 파텔 FBI 국장은 “중국 정부 지원 해커들이 미국의 핵심 기반시설을 공격하는 데 사용한 글로벌 봇넷과 해킹 플랫폼을 차단했다”며 “중국발 공격의 출처를 숨기는 도구들을 폐쇄했다”고 밝혔다.

그는 이번 조치가 “트럼프 대통령의 ‘미국을 위한 사이버전략’을 지원하는 것”이라며 FBI가 적대세력의 행동을 변화시키고 미국 본토를 방어하기 위한 작전을 강화하고 있다고 강조했다.

그러나 QTFY의 플랫폼을 무력화했다고 중국의 해킹 산업 전체가 사라진 것은 아니다. 국가기관의 수요와 민간업체, 전직 인민해방군 인력, 프리랜서 해커, 취약점 거래시장이 남아 있는 한 제2의 QScan과 QTRouter는 다시 등장할 수 있다.

이번 사건의 본질은 중국 해킹조직이 미국 선거시스템을 두 차례 들여다봤다는 데만 있지 않다. 취약점을 제조하고 침투권한을 거래하며 감염된 민간 기기로 공격 출처를 세탁하는 ‘사이버 범죄공장’이 국가기관의 수요를 기반으로 가동되고 있었다는 데 있다.

FBI는 그 공장의 핵심 플랫폼을 멈춰 세웠다. 하지만 공장을 움직이는 시장과 인력, 국가 수요까지 해체한 것은 아니다.