2016 다인(Dyn) DNS 대규모 디도스, 미라이 봇넷이 트위터·넷플릭스를 마비시킨 사태

2016년 9월 20일 보안 전문 기자 브라이언 크렙스의 블로그 KrebsOnSecurity가 약 620~665Gbps 규모의 디도스 공격을 받았다. 이는 이전까지 아카마이가 관측한 최대 규모인 363Gbps의 거의 두 배에 가까웠다. 공격은 증폭 방식이 아니라 감염된 기기에서 직접 쏟아지는 SYN 플러드와 GET/POST 플러드, 이례적으로 많은 GRE 트래픽으로 이루어졌다. 트래픽은 해킹된 라우터·IP카메라·DVR 등 수십만 대 규모의 사물인터넷 기기에서 나온 것으로 분석됐다. 크렙스가 직전 디도스 대행 서비스 vDOS 운영자 체포를 보도한 직후였기 때문에 보복성 공격이라는 해석이 나왔고, 이 사건은 곧 이어질 더 큰 IoT 봇넷 공격의 예고편이 됐다.

2016년 9월 30일 'Anna-Senpai'라는 이름의 이용자가 해킹 포럼 Hackforums에 미라이(Mirai) 악성코드의 소스코드를 공개했다. 미라이는 기본 아이디·비밀번호를 바꾸지 않은 IoT 기기에 텔넷으로 무차별 대입을 시도해 감염시키고 이를 원격 조종하는 프로그램이다. 작성자는 수사기관의 추적을 피하려는 목적으로 코드를 풀었다는 해석이 지배적이었다. 공개 이후 누구나 변형본을 만들어 봇넷을 운영할 수 있게 되면서 공격 주체를 특정하기가 크게 어려워졌다. 코드 공개 3주 뒤 다인 공격이 발생했다는 점에서, 이 공개가 대규모 IoT 디도스 확산의 분기점으로 평가된다.

2016년 10월 21일 DNS 서비스 업체 다인이 UTC 기준 11시 10분13시 20분, 15시 50분17시, 20시22시 10분 세 차례의 디도스 공격을 받았다. 다인의 DNS가 마비되자 이용자가 도메인 이름을 IP 주소로 바꾸지 못해 트위터, 레딧, 깃허브, 넷플릭스, 스포티파이, 페이팔, 아마존, 에어비앤비 등 수십수백 개 서비스가 미 동부와 유럽을 중심으로 접속 불능에 빠졌다. 다인은 공격 트래픽이 수천만 개의 서로 다른 IP 주소에서 쏟아졌다고 밝혔다. 서비스 자체가 해킹된 것이 아니라 인터넷의 전화번호부 격인 DNS 한 곳이 무너지면 연쇄 장애가 일어날 수 있음을 보여준 사건이었다. 미국 국토안보부와 FBI가 즉시 조사에 착수했다.

보안업체 플래시포인트는 공격에 쓰인 봇넷이 주로 중국 샤오슝마이(XiongMai Technologies)가 만든 DVR과 IP카메라로 구성돼 있다고 분석했다. 이 제품들에는 사용자가 비활성화할 수 없는 하드코딩된 SSH·텔넷 계정 정보가 들어 있어 웹 인터페이스 비밀번호를 바꿔도 감염을 막기 어려웠다. 취약한 것으로 확인된 기기는 약 51만 5천 대에 달했다. 플래시포인트 연구원은 한 회사의 제품 라인 전체가 사실상 봇넷이 돼버렸다고 평가했다. 이후 IoT 기기 제조사의 기본 비밀번호와 보안 책임을 규제해야 한다는 논의가 각국에서 본격화됐다.

공격 직후 아노니머스와 뉴 월드 해커스, 스페인스쿼드 등 여러 해커 집단이 자신들의 소행이라고 주장했다. 일부는 에콰도르가 위키리크스 설립자 줄리언 어산지의 인터넷 접속을 차단한 데 대한 항의라고 밝혔지만 이를 뒷받침할 증거는 거의 없었다. 2016년 10월 25일 버락 오바마 당시 미국 대통령은 수사당국이 아직 누구의 소행인지 알지 못한다고 말했다. 미라이 소스코드가 이미 공개된 상태라 누구든 변형 봇넷을 운영했을 수 있다는 점이 수사를 어렵게 했다. 다인은 이후 오라클에 인수됐고, 이 사건은 중요한 인터넷 인프라가 단일 업체에 집중됐을 때의 위험을 상징하는 사례로 거론됐다.

2017년 1월 브라이언 크렙스는 장문의 추적 기사에서 'Anna-Senpai'라는 별칭의 미라이 작성자가 뉴저지주 팬우드 출신 20세 파라스 자(Paras Jha)일 가능성이 높다고 보도했다. 자는 디도스 방어 업체 프로트래프 솔루션즈(ProTraf Solutions)의 대표였고, 크렙스는 그의 프로그래밍 언어 이력과 여러 온라인 별칭이 해킹 포럼 게시물과 겹친다고 근거를 제시했다. 별칭 중 하나는 자신이 다니던 러트거스대학에 대한 디도스 공격을 자랑하던 계정과도 연결됐다. 자는 이를 부인하며 자신은 별 볼 일 없는 사람이었다고 반박했다. 이 보도는 이후 FBI의 수사와 법적 처분으로 이어지는 단서가 됐다.

2017년 12월 13일 미 법무부는 파라스 자, 조사이아 화이트, 달턴 노먼 등 20대 초반 3명이 미라이 봇넷과 클릭사기 봇넷 운영 혐의로 알래스카주 연방법원에서 유죄를 인정했다고 발표했다. 자는 같은 달 8일 컴퓨터 사기·악용방지법 위반 공모 혐의를 인정했다. 이들은 미라이와 별도로 감염된 컴퓨터를 이용해 가짜 광고 클릭을 만들어 수익을 올리는 봇넷도 운영한 것으로 알려졌다. 알래스카 연방검찰이 사건을 맡은 것은 클릭사기 봇넷의 감염 기기 일부가 그 지역에 있었기 때문이다. 이 발표는 미라이 봇넷 운영 혐의에 대한 첫 공식 사법 처리였다.

2018년 9월 18일 알래스카 연방법원의 티머시 버제스 수석판사는 파라스 자, 조사이아 화이트, 달턴 노먼에게 각각 보호관찰 5년과 사회봉사 2,500시간, 12만 7천 달러의 배상금을 선고했다. 징역형이 아니라 가벼운 처분이 내려진 이유는 이들이 FBI에 광범위하게 협조해 다른 복잡한 사이버범죄 수사와 방어 활동에 큰 도움이 됐다고 검찰이 평가했기 때문이다. 이 사건의 처벌 수위는 범죄 규모에 비해 관대하다는 지적과 수사 협조를 인정한 합리적 판단이라는 평가로 갈렸다. 선고는 미라이가 만든 대규모 IoT 디도스 위협에 대한 사법 대응이 일단락됐음을 의미했다. 다인 공격을 누가 실행했는지는 이 사건 재판에서 별도로 확정되지 않았다.

2018년 10월 뉴저지 연방법원은 파라스 자가 러트거스대학교의 학내 시스템에 디도스 공격을 반복한 혐의로 사회봉사 2,500시간과 6개월 가택연금, 약 860만 달러의 배상을 선고했다고 미 법무부가 밝혔다. 러트거스대는 자신의 학내 네트워크가 반복적인 공격으로 마비되는 피해를 입었다. 크렙스는 앞선 보도에서 자가 대학 공격을 하는 동안 디도스 방어 업체도 운영했다고 지적한 바 있다. 이 선고로 미라이 관련 사건과는 별개로 자가 부담하는 금전적 책임이 확정됐다. 이 선고는 미라이 사건의 알래스카 판결과 별개로 이뤄진 처분이다.