🏦 Zeus / Zbot (2007–2014) — '브라우저 안에서' 수취 계좌를 바꾼 뱅킹 트로이목마

1. 배경/역사 — 악성코드가 '상품'이 된 순간

Zeus(일명 Zbot)는 2007년 7월에 처음 관찰된 윈도우용 트로이목마 계열이다. Reuters는 2007년 7월 17일 보도에서 이 계열 악성코드가 미국 정부·기업 PC에서 데이터를 빼내고 있다고 전했다. 그런데 Zeus가 보안사의 기억에 남는 이유는 기술의 난이도가 아니라 유통 방식이다 — Zeus는 애초에 '완성된 악성코드'가 아니라 키트(kit)로 팔렸다. 구매자는 관리 콘솔에서 설정을 넣고, 웹인젝트(변조 규칙)를 넣고, 표적 은행 목록을 지정해 자기만의 봇넷을 만들 수 있었다. Malware-as-a-Service(악성코드 구독형 서비스)의 원형이며, 이후 Emotet·Qakbot·LockBit 계열이 반복한 비즈니스 모델이 여기서 시작됐다.

Zeus의 진짜 무기는 사용자를 속이는 방식이었다. 사용자가 정상 HTTPS 사이트에 접속한 상태에서, 악성코드가 브라우저 내부에서 데이터를 읽고 화면을 바꾼다. 암호화된 통신 구간은 아무 문제가 없다. 공격 지점은 암호가 풀린 뒤의 메모리다. 이 기법을 MitB(Man-in-the-Browser, 브라우저 내부자 공격) 라고 부른다.

• 2009년 6월 — Prevx 조사: Zeus가 74,000개 이상의 FTP 계정 자격증명을 탈취했다. 피해 사이트 목록에 Bank of America, NASA, Monster.com, Oracle, Cisco, Amazon, ABC, Play.com, BusinessWeek 등이 포함돼 있었다. 취약점을 뚫은 게 아니라, 직원 PC에서 관리자 자격증명을 긁어모은 것이었다.
• 2009년 — Damballa 추정: 미국에서만 약 360만 대가 감염됐고, 당시 인터넷 최대 규모의 봇넷으로 평가됐다.
• 2010년 10월 — FBI 'Operation Trident Breach': 동유럽 기반 조직이 세계의 PC를 감염시켜 은행 계좌를 탈취한 사건으로 FBI가 대대적 검거를 발표했다. 수법은 전형적이었다 — 스팸 메일 → 기업·지자체 직원 감염 → 계좌 비밀번호 캡처 → 뮬(money mule) 계좌 네트워크로 분산 이체.
• 2011년 — 소스코드 유출: 제작자가 '은퇴'를 선언하며 소스코드와 판매 권리를 경쟁 제품 SpyEye 제작자에게 넘겼다고 알려졌다(전문가들은 미끼라고 경고했다). 소스가 풀리자 Citadel·Ice IX 등 수십 개 변종이 쏟아졌다. 소스 유출은 악성코드 생태계를 '영구화'한다.
• 2011년 — GameOver ZeuS(GOZ): Evgeniy Bogachev가 만든 후속작. 내부 이름은 Mapp 13. 중앙 C2를 없앤 P2P 봇넷으로 진화했고, 2012–13년 전성기에는 50만~100만 대가 감염됐다.
• 2014년 6월 — Operation Tovar: 미국 법무부·FBI·영국 NCA 등 13개국이 GOZ 인프라를 동시 압수·싱크홀했다. Bogachev는 기소되고 현상금 300만 달러(당시 사이버범죄자 최고액)가 걸렸지만 러시아에 거주하며 체포되지 않았다. 그리고 두 달도 안 돼 코드의 90%를 공유하는 newGOZ가 등장했다.

2. 감염·전파 경로 — '사람'을 낚는 정통 피싱 + 봇넷 자가 유포

Zeus는 웜이 아니다. 스스로 네트워크를 돌아다니지 않는다. 대신 사람을 클릭시키는 데 모든 자원을 쓴다. 그래서 20년이 지난 지금도 똑같은 경로가 통한다.

• ① 스팸·피싱 메일: 온라인 쇼핑몰·금융기관·통신사를 사칭한 메일이 본문 링크를 클릭하게 만든다. 링크는 이미 침해된 정상 웹사이트로 연결된다(정상 도메인이므로 URL 필터링을 통과한다). GOZ는 이 방식으로 다운로드됐다.
• ② 익스플로잇 킷: 구형 브라우저·플러그인(Java·PDF·Flash) 취약점을 자동으로 골라 실행하는 킷(Blackhole 등)이 악용됐다. 사용자가 클릭만 해도 감염되므로, 이 시기 봇넷 확산 속도가 폭발적이었다.
• ③ 사회공학 보조 수단: '바이러스 감염' 경고 팝업으로 가짜 백신 설치를 유도하거나, 기술지원 사기를 붙여 사용자가 스스로 원격 제어를 허용하게 만들기도 했다. 악성코드의 절반은 기술이 아니라 상황극이다.
• ④ 드롭퍼 → 로더 2단계: 감염은 한 번에 끝나지 않는다. 1차 실행 파일은 최소 기능만(설치·생존) 담당하고, 이후 url_loader에서 받아온 2차 페이로드가 본체(웹인젝트·후킹 모듈)를 메모리에 적재한다. 즉 디스크에는 아무것도 안 남기는 '파일리스' 구성이 이미 10년 전에 표준이었다.
• ⑤ 봇넷이 봇넷을 유포 (GOZ): GOZ는 감염 PC를 스팸 발송 인프라로 재활용해 자기 자신을 복제 유포했다. 게다가 중앙 서버 없이 P2P로 봇끼리 통신해 한 대를 지워도 봇넷 전체가 유지됐다.
• ⑥ 조용함이 설계 목표: 감염 후 즉시 돈을 훔치지 않는다. 주간 단위로 잠복하며 계좌 잔고·거래 패턴을 학습하고, 적당한 금액만 뮬 계좌로 분산 이체한다. 순간이체 차단·한도 룰을 피하려는 목적이다.

3. 동작 원리 상세 — 암호화 구간은 멀쩡한데 계좌가 바뀌는 이유

Zeus 본체는 대략 다섯 개의 부품으로 나뉜다. 설정 수신 → 후킹 설치 → 탈취·변조 → 업로드 → 명령 폴링. 순서대로 보면 왜 '네트워크 보안'만으로는 막을 수 없는지가 분명해진다.

(1) 설정 수신 — config.bin. 본체의 첫 행동은 url_config에서 설정 파일을 내려받아 RC4로 복호화하는 것이다. 설정에는 최소 네 개의 URL이 들어 있다.

url_config   : 설정 재배포 주소 (주기적 재요청 = 봇 생존신호)
url_loader   : 2차 페이로드(로더/랜섬웨어) 배포 주소
url_server   : 탈취 데이터 업로드 + 명령 폴링 (게이트)
url_compip   : 내부 봇 추적/통계용 주소
filewebinject: 화면 변조 규칙 목록 (아래 웹인젝트)

설정을 서버에서 내려받게 만든 것이 결정적이었다. 공격자는 봇을 다시 감염시키지 않고도 표적 은행을 바꾸고, 웹인젝트 규칙을 갱신하고, 페이로드를 교체할 수 있다. 봇넷은 '살아 있는 서비스'가 된다.

(2) 후킹 설치 — 평문을 훔치는 순간. Zeus는 브라우저가 시스템 라이브러리를 호출하는 지점(주로 IAT/함수 포인터)을 자기 함수로 갈아끼운다. 이후 브라우저는 원래 코드를 그대로 실행하지만, 그 데이터는 이미 공격자의 함수를 한 번 통과한다. 문서화된 대표 후킹 대상은 다음과 같다.

모듈	후킹 대상(예)	얻는 것
wininet.dll	HttpSendRequestW/A, InternetReadFile, InternetWriteFile	전송 직전의 HTTP 본문·응답 HTML (평문)
ws2_32.dll	send / recv / WSASend / WSARecv / closesocket	소켓 레벨 평문, 비-HTTP 트래픽
crypt32.dll	CryptUnprotectData, PFXImportCertStore	브라우저에 저장된 비밀번호 복호화
user32.dll	윈도우·키보드 관련 API	입력 캡처, 창 단위 폼 그래빙
nspr4/NSS(nss3)	PR_Read / PR_Write	파이어폭스 트래픽 평문

핵심: 키로깅은 "무엇을 입력했는지"를 훔친다. 폼 그래빙은 "HTTPS가 만든 평문 필드"를 통째로 훔친다. 사용자가 화면에서 본 값과 서버로 간 값이 다를 수 있다는 뜻이며, 이는 전송 구간 암호화(TLS)로 막을 수 없다.

(3) 웹인젝트 — 화면만 바꾼다. 서버 응답 HTML이 브라우저에 전달되기 직전에 규칙에 따라 문자열을 치환한다. 규칙 문법은 단순하다.

<webinject>
  <url>*/online/*/transfer.php</url>          <!-- 표적 URL 마스크 -->
  <data_before>accountid" value="</data_before>
  <data_after>"</data_after>
  <data_inject>999000111</data_inject>      <!-- 끼워 넣을 값(뮬 계좌) -->
  <data_end>__END__</data_end>
</webinject>

사용자는 자기 계좌 11122233344455가 화면에 찍힌 것을 확인하고 이체 버튼을 누른다고 믿는다. 실제로 브라우저가 보낸 값은 공격자 계좌 999000111 이다. 인증서도 정상, URL도 정상, 경고도 없다.

웹인젝트는 여기서 끝나지 않는다. 잔고를 크게 보이게 하고(사후 인지 지연), 추가 인증 입력창을 끼워 넣고(OTP 탈취), 거래내역 목록에서 공격자 이체를 지우는 것까지 같은 문법으로 처리한다. 사용자에게 보이는 '사실' 자체가 공격자의 출력물이 된다.

(4) C2 통신과 은닉. 탈취 데이터는 정상 웹 트래픽에 섞인 HTTP POST 게이트로 나간다. 통신 보호를 위해 DGA(도메인 생성 알고리즘)·fast flux로 주소를 회전시켰고, GOZ는 여기에 P2P + 암호화를 얹어 "테이크다운 불가능에 가까운" 구조를 만들었다. 호스트에서는 정상 프로세스(svchost.exe 등)에 코드를 주입하고, 루트킷·방화벽 예외 등록으로 흔적을 감췄다.

(5) 조직 분업 — 범죄의 공급망. Zeus 생태계는 역할이 쪼개져 있었다. 키트 판매자 → 봇넷 운영자 → 웹인젝트 판매자 → 뮬(현금화) 조직 → (GOZ) 랜섬웨어 운영자. 한 단계가 적발돼도 전체가 멈추지 않는다. 2013년 GOZ가 CryptoLocker 랜섬웨어를 유포한 것이 이 구조의 완성형이다 — 뱅킹 봇넷이 랜섬웨어 유통망으로 전환됐고, 이후 랜섬웨어 생태계의 표준 경로가 됐다.

4. 피해 규모/영향 — 숫자로 보는 2007–2014

• 2009 · 미국 360만 대 감염 추정(Damballa) — "인터넷 최대 봇넷" 평가. 이후 어떤 봇넷과 비교해도 최상위 규모다.
• 2009 · FTP 자격증명 74,000건 탈취(Prevx) — Bank of America, NASA, Monster.com, Oracle, Cisco, Amazon, ABC, Play.com, BusinessWeek 등이 피해 목록에 올랐다.
• 2010 · FBI 'Operation Trident Breach' — 동유럽 조직의 은행 사기 사건으로 미국·유럽에서 대규모 검거가 발표됐다. 이때 공개된 수법이 '뮬 계좌로 분산 이체'다.
• 2012–13 · GameOver ZeuS 전성기 50만~100만 대 감염. 은행 사기 피해 규모는 약 1억 달러로 집계됐다.
• 2013 · CryptoLocker — GOZ를 통해 유포된 랜섬웨어로 20만~25만 대가 표적이 됐다. 수익 추정은 2013년 10~12월만 최대 2,700만 달러(Josephine Wolff)와 전 기간 약 300만 달러(Michael Sandee)로 크게 엇갈린다 — 랜섬웨어 수익 통계는 이렇게 부정확하다는 사실 자체가 이 캠페인의 특징이다.
• 2014-06-02 · Operation Tovar — 13개국 참여. GOZ 인프라를 압수·싱크홀하고 CryptoLocker 키를 배포했다. 다만 P2P 구조 때문에 완전한 소멸은 아니었고, 당시 연구자들도 "테이크다운은 2주짜리 기회 창(window)"이라고 표현했다 — 봇넷을 멈추는 것과 없애는 것은 다르다.
• 2014 · Bogachev 기소 + 현상금 300만 달러 — 당시 사이버범죄자 최고액. 그는 러시아에 공개적으로 거주하며 체포되지 않았다.
• 2014 · newGOZ 재등장 — 코드 90% 공유, P2P는 제거하고 fast flux로 대체. 테이크다운 두 달 만이었다.
• 추가 정황 · 스파이 행위 — 감염 PC에서 조지아·터키·우크라이나·미국 관련 민감 정보 검색 흔적이 발견돼 러시아 정부 연계 가능성이 제기됐다. 범죄 봇넷과 국가 행위자의 경계가 흐릿해진 대표 사례다.

5. PoC — 교육용 모의 코드 4종 (로컬 실습 전제)

Zeus의 4대 구성 요소 — ① 암호화된 설정 파일, ② 웹인젝트 화면 변조, ③ API 후킹(폼 그래빙), ④ 로그 상관분석 탐지 — 를 각각 최소 형태로 재현했다. 아래 실행 결과는 이 글을 쓰며 실제로 실행한 출력이다 (랩 VM, Python 3 / gcc, 모든 대상 127.0.0.1).

PoC ① config.bin 구조 재현 — RC4 복호화 + 설정/웹인젝트 파싱

# zeus_poc.py (발췌) — 실제 악성코드 아님. 설정 파일 '구조'만 재현한다.
def rc4(key: bytes, data: bytes) -> bytes:
    S = list(range(256)); j = 0
    for i in range(256):
        j = (j + S[i] + key[i % len(key)]) & 0xFF
        S[i], S[j] = S[j], S[i]
    out = bytearray(); i = j = 0
    for ch in data:
        i = (i + 1) & 0xFF; j = (j + S[i]) & 0xFF
        S[i], S[j] = S[j], S[i]
        out.append(ch ^ S[(S[i] + S[j]) & 0xFF])
    return bytes(out)

MOCK_CONFIG = b"""<config>
  <url_config>https://127.0.0.1:8443/cfg/gen1.bin</url_config>
  <url_loader>https://drop.bank-lab.local/pay/calc.png</url_loader>
  <url_server>https://c2.lab.local:8443/gate.php</url_server>
  <filewebinject>
    <webinject>
      <url>*/online/*/login.php</url>
      <data_before>accountid" value="</data_before>
      <data_after>"</data_after>
      <data_inject>999000111</data_inject>
    </webinject>
  </filewebinject>
</config>"""

key_val = b"lab-only-rc4-key-0001"
config_bin = base64.b64encode(rc4(key_val, MOCK_CONFIG))   # 디스크에 남는 '암호문'
plain = rc4(key_val, base64.b64decode(config_bin))         # 실행 시 메모리에서만 복호화
urls = dict(re.findall(r"<(url_\w+)>([^<]+)</", plain.decode()))

실행 결과(이번 실행 실제 출력):

[①] config.bin(모의) 크기: 724 바이트  (평문 541 바이트)
[①] 복호화 성공 — 설정 항목 4개
      url_config   -> https://127.0.0.1:8443/cfg/gen1.bin
      url_loader   -> https://drop.bank-lab.local/pay/calc.png
      url_server   -> https://c2.lab.local:8443/gate.php
      url_compip   -> https://127.0.0.1:8443/comp.php
[①] 웹인젝트 규칙: url=*/online/*/login.php   data_before='accountid" value="' data_inject=999000111
      ※ url_config = 설정 재배포, url_loader = 2차 페이로드, url_server = 탈취 데이터 업로드/명령 폴링

교훈: 설정이 서버에서 내려온다는 점이 Zeus를 '지속 가능한 서비스'로 만들었다. 그래서 탐지도 파일이 아니라 행동(설정 파일의 정기적 재요청, 특정 경로의 반복 POST)을 봐야 한다.

PoC ② Man-in-the-Browser — 응답 HTML을 브라우저에 넘기기 전에 치환

LOCAL_BANK_PAGE = """<form action="https://bank-lab.local/online/transfer.php" method="POST">
<input name="accountid" value="11122233344455">   <!-- 정상 수취 계좌(본인) -->
<input name="amount" value="10000000"></form>"""

def webinject(page, url, rule):
    """웹인젝트: URL 마스크 매칭 → 서버 응답을 '표시되기 전'에 치환한다."""
    if not re.search(rule["url"].replace("*", ".*"), url):
        return page                       # 표적이 아니면 아무것도 하지 않는다 (= 은닉)
    pat = re.escape(rule["data_before"]) + r"(.*?)" + re.escape(rule["data_after"])
    return re.sub(pat, rule["data_before"] + rule["data_inject"] + rule["data_after"], page)

tampered = webinject(LOCAL_BANK_PAGE, "https://bank-lab.local/online/transfer.php", rule)

실행 결과(이번 실행 실제 출력):

[②] 사용자가 보는 화면의 수취 계좌 필드:
      변조 전: 11122233344455 (본인 계좌)
      변조 후: 999000111 (뮬/공격자 계좌)  ← 사용자는 11122233344455 를 봤다고 믿음
      ※ 핵심: 계좌번호는 '사용자의 눈'에서만 바뀐다. 서버·네트워크 흐름은 정상 HTTPS.

이 3줄이 Zeus의 전부라고 해도 과언이 아니다. TLS 인증서·자물쇠 표시·URL 표시는 모두 '정상'이다. 사용자에게 남은 유일한 검증 수단은 브라우저와 다른 채널(모바일 앱 알림, 문자, 통화, 아예 다른 기기)로 최종 이체 내역을 확인하는 것이다.

PoC ③ API 후킹 원리 — 폼 그래빙이 성립하는 이유 (C)

후킹 대상은 이 파일 안에서 직접 만든 모의 API뿐이다. 실제 Win32 API나 실제 브라우저는 건드리지 않는다. '브라우저 → IAT 슬롯 → 네트워크' 구조만 흉내 낸다.

/* zeus_hook.c — 교육용 모의 코드 */
typedef int (*http_send_t)(const char *host, const char *body);
int mock_HttpSendRequest(const char *host, const char *body) { /* 실제 전송 지점 */ return 200; }

typedef struct { const char *name; http_send_t fn; } api_slot_t;
api_slot_t g_iat[] = { {"HttpSendRequest", mock_HttpSendRequest} };  /* 로더가 채우는 IAT 흉내 */

static http_send_t g_orig = NULL;
static int hooked_HttpSendRequest(const char *host, const char *body) {
    if (strstr(body, "accountid=") || strstr(body, "password="))
        printf("   [GRAB] 평문 폼 필드 탈취: host=%s  %s\n", host, body);
    return g_orig(host, body);      /* 원본을 그대로 호출 → 브라우저는 정상 동작 */
}

/* 악성 행위는 딱 한 줄: 슬롯 1개 덮어쓰기 (원본 주소는 백업) */
g_orig = g_iat[0].fn;  g_iat[0].fn = hooked_HttpSendRequest;

실행 결과(이번 실행 실제 출력, gcc -O0 -o zeus_hook zeus_hook.c):

[③] 후킹 전 — 브라우저가 직접 전송
   [NET] POST https://bank-lab.local/online/transfer.php  body=accountid=11122233344455&amount=10000000

[③] 악성 모듈이 IAT 슬롯을 교체 (원본 주소는 백업)
[③] 후킹 후 — 같은 브라우저 코드가 그대로 실행됨
   [GRAB] 평문 폼 필드 탈취: host=bank-lab.local/online/transfer.php  accountid=11122233344455&amount=10000000   <-- 사용자는 HTTPS라고 믿는다
   [NET] POST https://bank-lab.local/online/transfer.php  body=accountid=11122233344455&amount=10000000

[③] 무결성 점검: 슬롯이 원본 주소인가? 변조됨 → 즉시 경보 대상

주목할 점은 마지막 줄이다. 후킹은 '동작을 바꾸지 않는다' — 브라우저도 사용자도 아무 이상을 못 느낀다. 그래서 탐지의 유일한 단서는 "프로세스 메모리의 함수 포인터/코드가 원본과 달라졌다"는 무결성 검사와 "브라우저가 아닌 프로세스가 금융 폼 필드를 전송했다"는 행동 이상이다(PoC ④).

PoC ④ 탐지 — 로그 상관분석으로 '폼 탈취' 잡아내기

BROWSERS   = {"chrome.exe", "msedge.exe", "firefox.exe"}
FORM_KEYS  = ("accountid", "amount", "acc", "amt", "card", "ssn", "password")

def correlate(logs):
    """축 1: 브라우저가 아닌 프로세스가 금융 폼 필드를 전송
       축 2: 같은 프로세스가 설정 파일을 규칙적인 주기로 재요청(= 봇 생존신호)"""
    for e in logs:
        blob = (e.get("body","") + "&" + e.get("query","")).lower()
        if any(k + "=" in blob for k in FORM_KEYS) and e["proc"] not in BROWSERS:
            alerts.append("[form_grab] %s 가 %s 로 금융 폼 필드 전송" % (e["proc"], e["path"]))
        if "cfg" in e.get("path",""):
            cfg_beat[e["proc"]].append(e["ts"])
    # 설정파일 재요청 간격이 일정하면 사람이 아니라 '봇'이다

실행 결과(이번 실행 실제 출력, 모의 원격측정 7건):

[④] 로그 7건 상관분석 결과:
      ⚠️ [form_grab] 비브라우저 프로세스 svch0st.exe 가 금융 폼 필드(acc,amt)를 전송 — /gate.php 10:01:09
      ⚠️ [config_beat] svch0st.exe 가 설정파일을 규칙적으로 재요청 ['10:02:12', '10:06:40', '10:11:29'] (주기 ≈ 278s) — 봇 생존신호
      ※ 정상 브라우저(chrome.exe)의 폼 전송은 제외하고, '프로세스 이름 ≠ 브라우저인데
        금융 폼 키가 나가는' 조합과 '설정파일 정기 재요청' 두 축을 묶어 판정한다.

네 조각을 합친 결론은 이렇다 — Zeus는 ① 서버에서 설정을 받아 ② 브라우저 내부를 후킹해 평문을 훔치고 ③ 사용자 화면을 조작하며 ④ 정상 HTTPS로 조용히 나간다. 각 부품은 '정상 기능'과 구분되지 않는다. 그래서 방어도 부품마다, 그리고 채널마다 필요하다.

6. 방어 방법/교훈

• MitB는 네트워크 보안으로 막히지 않는다: TLS는 전송 구간을 보호할 뿐, 브라우저 메모리 안의 평문은 보호하지 않는다. 따라서 방어선은 ① 엔드포인트 무결성(브라우저·시스템 라이브러리 후킹 변조 탐지, EDR의 API 후킹 무결성 검사) ② 브라우저 샌드박스·격리 실행 ③ 서드파티 확장·플러그인 최소화로 옮겨야 한다.
• 최종 거래는 '다른 채널'로 검증한다: 이체 직전/직후 모바일 앱 푸시·문자·통화로 수취인 이름과 계좌를 대조한다. 화면에 보이는 금액·계좌는 신뢰 대상이 아니라는 전제가 출발점이다(PoC ②). 은행권이 도입한 '수취 계좌 변경 시 재확인', '신규 수취인 + 고액 이체 지연' 룰이 같은 맥락이다.
• 자격증명 탈취를 '가정'하고 설계한다: 비밀번호는 복제되지만 하드웨어 보안 키(FIDO2/패스키)는 폼 그래빙·키로깅으로 복제할 수 없다. 도메인 바인딩이 있으므로 웹인젝트로 위조 화면을 만들어도 인증이 통과되지 않는다. Zeus 시대의 교훈이 오늘날 피싱 내성 인증으로 이어진다.
• 행동 탐지 규칙을 자산에 심는다: PoC ④의 두 축 — (비브라우저 프로세스) × (금융 폼 필드) 조합, 설정/리소스 파일의 규칙적 재요청(일정한 주기) — 은 지금도 통하는 저비용 고효율 룰이다. 주기가 사람이 낼 수 없는 규칙성이라는 점이 핵심이다.
• 프로세스 이름을 믿지 않는다: svchost.exe나 svch0st.exe 같은 흉내는 15년째 유효하다. 서명·부모 프로세스·실행 경로·네트워크 목적지를 묶어 판단하고, 정상 시스템 프로세스가 외부로 나가는 연결을 최우선 감시한다.
• 주입과 은닉의 흔적을 본다: 정상 프로세스에 비정상 스레드가 생기거나, 실행 이미지가 없는 메모리 영역(파일리스 2차 페이로드)이 PAGE_EXECUTE_READWRITE로 잡히는 것은 대표 신호다. Zeus가 '드롭퍼 → 로더' 2단계 구조를 쓴 이유가 바로 이것을 피하기 위해서였다.
• 사용자 교육은 필요하지만 충분하지 않다: Zeus는 최신 백신으로도 잘 잡히지 않았고, 위조 화면은 숙련자도 속는다. 교육은 '의심하라'가 아니라 '다른 채널로 확인하라'는 절차로 설계해야 효과가 있다. 사람의 판단에 의존하는 통제는 최후의 방어선이지 첫 번째가 아니다.
• 테이크다운은 '종료'가 아니라 '지연'이다: 2014년 13개국이 P2P 봇넷을 무력화했지만 2개월 만에 newGOZ가 나왔고, 2011년 소스 유출은 Citadel 등 파생 제품군을 영구히 남겼다. 공격 도구의 확산은 되돌릴 수 없다는 전제로 장기 대응 체계(탐지 룰·인증 강화·자금 추적)를 준비해야 한다.
• 봇넷의 진화 방향을 읽는다: 중앙 C2(2007) → P2P(2011) → fast flux(newGOZ) → 그리고 오늘날의 랜섬웨어 구독형 생태계. Zeus는 범죄 조직이 '제품'을 만들고 '고객'에게 파는 모델을 확립했고, 현재 위협 대부분이 그 위에 세워져 있다.

7. 출처

• Wikipedia — Zeus (malware): 2007년 7월 등장, Prevx 74,000 FTP 자격증명(2009-06), Damballa 미국 360만 대(2009), FBI 크랙다운(2010-10), 제작자 은퇴·소스 이관 — en.wikipedia.org/wiki/Zeus_(malware)
• Wikipedia — Gameover ZeuS: Bogachev(Mapp 13), P2P 구조, 50만~100만 대(2012–13), 약 1억 달러 피해, CryptoLocker 유포, 20만~25만 대 표적·수익 추정 논쟁, $3M 현상금, newGOZ — en.wikipedia.org/wiki/Gameover_ZeuS
• Wikipedia — Operation Tovar: 13개국 참여, DOJ/FBI/UK NCA, 2014-06 인프라 압수·싱크홀 — en.wikipedia.org/wiki/Operation_Tovar
• Krebs on Security — 'Operation Tovar' Targets 'Gameover' ZeuS Botnet, CryptoLocker Scourge (2014-06-02) — krebsonsecurity.com/…/operation-tovar-targets-gameover-zeus-botnet-cryptolocker-scourge
• Binsalleeh et al. — On the Analysis of the Zeus Botnet Crimeware Toolkit (PST 2010) — config.bin 암호화·웹인젝트 문법 구조 분석 — doi.org/10.1109/PST.2010.5593240
• Wikipedia — CryptoLocker (GameOver ZeuS 유포 경로, 2013–2014 랜섬 캠페인) — en.wikipedia.org/wiki/CryptoLocker
• US DOJ — U.S. Leads Multi-National Action Against 'Gameover Zeus' Botnet and 'Cryptolocker' Ransomware (2014-06-02) — justice.gov/opa/pr/us-leads-multi-national-action-against-gameover-zeus-botnet-and-cryptolocker-ransomware

※ 본문의 PoC 코드는 구조 이해 목적의 교육용 모의 코드이며, 실제 Zeus 바이너리·실제 config.bin·실제 웹인젝트 문자열·실제 C2/유포 도메인/IOC·실제 탈취 데이터는 포함하지 않습니다. 모든 실습은 인터넷과 분리된 격리 랩 VM을 전제로 하며, 실제 금융 사이트·타인 시스템에 대한 실행은 불법입니다.

함께 읽기: 💥 Emotet (2014–2021) — 봇넷이 '랜섬웨어 유통 플랫폼'이 되는 길 · 🏦 Bangladesh Bank SWIFT Heist (2016) — 정상 자격증명·정상 거래로 위장한 은행 탈취 · 🪱 Conficker (2008) — P2P·DGA로 테이크다운을 무력화한 웜 · 🦅 SolarWinds SUNBURST (2020) — 신뢰 채널의 붕괴 · ☠️ NotPetya (2017) — 감염 대신 파괴를 택한 진화