시큐리티스코어카드, 냉장 설비 제어기 악용한 스팸 봇넷 정황 발견

시큐리티스코어카드(한국 대표 우청하)는 슈퍼마켓과 냉장·냉동 창고에서 사용하는 냉장 설비 제어기가 스팸 메일 발송과 외부 네트워크 통신 중계에 악용되는 정황을 발견했다고 11일 밝혔다.

시큐리티스코어카드의 위협 인텔리전스 조직 ‘스트라이크(STRIKE)’는 인터넷 자산 검색 데이터와 네트워크 통신 기록을 분석해 딕셀(Dixell)·코플랜드(Copeland)의 ‘XWEB PRO’ 제어기와 관련된 비정상 통신을 조사했다. XWEB PRO는 냉장·냉동 설비의 온도를 감시하고 설정값을 조정하는 산업용 제어기다. 관리자는 웹 화면을 통해 장비에 원격으로 접근할 수 있다.

연구팀은 지난 2일 인터넷에 노출된 장비의 통신 기록에서 9개 인터넷 프로토콜(IP) 주소가 외부 메일 서버로 연결을 시도하는 활동을 확인했다. 이들 IP는 이메일 전송에 사용하는 25번·465번·587번 포트로 통신했다. 외부로 메일을 발송하는 형태의 활동은 관찰됐지만 메일을 수신하는 통신은 확인되지 않았다.

연구팀은 이를 정상적인 메일 서버보다 스팸 발송에 특화된 통신 패턴으로 분석했다. 특히 9개 IP의 메일 발송 대상이 상당 부분 겹쳤다. 전체 1041개 대상 가운데 508개는 두 개 이상의 IP에서 연결을 받았다. 활동량이 많은 상위 3개 IP는 295개의 동일한 대상을 공유했다.

연구팀은 이러한 중복이 여러 장비를 하나의 봇넷으로 운영했을 가능성을 뒷받침한다고 설명했다. 다만 장비를 제어하는 명령제어(C2) 서버나 실제 운영자는 특정하지 못했다.

9개 IP 가운데 3개는 인증서와 웹 화면을 통해 실제 XWEB 계열 제어기임을 확인했다. 나머지는 장비 종류를 확정하지 못했다. 냉장 설비 제어기 2대에서 외부 통신을 중계하는 활동도 발견했다. 나미비아에서 확인한 장비는 남아프리카공화국의 특정 서버와 약 124만건의 통신 세션을 형성했다. 연구팀은 해당 장비가 가상사설망(VPN) 터널 게이트웨이처럼 외부 트래픽을 중계하는 데 악용됐다고 분석했다.

트리니다드토바고에서 발견한 다른 장비는 17시간 동안 1만643개의 서로 다른 통신 대상에 연결됐다. 연구팀은 해당 장비가 외부 통신을 대신 전달하는 프록시 서버로 활용됐을 가능성을 제시했다.

보안 취약점도 확인됐다. 연구팀은 인터넷에 노출된 XWEB 제어기 6대가 인증 우회 취약점 ‘CVE-2026-25085’가 존재하는 펌웨어를 사용하고 있다고 밝혔다.

해당 취약점은 로그인 확인 과정에서 발생하는 오류를 이용해 공격자가 정상적인 인증 없이 장비에 접근할 수 있는 문제다. 공통취약점평가시스템(CVSS) 점수는 8.6점이다. 다만 연구팀은 실제 공격자가 이 취약점을 이용해 해당 장비에 침입했는지 확인하지는 못했다. 최근 유럽에서 발생한 슈퍼마켓 냉장 설비 온도 조작 사건과 이번에 발견한 봇넷 활동의 연관성도 확인되지 않았다.

시큐리티스코어카드는 인터넷에 노출된 냉장 설비 제어기의 펌웨어를 점검하고 비정상적인 메일 발송과 외부 통신 중계 여부를 확인할 것을 권고했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network