美 법무부·FBI, 中 정부 계약업체 '인테그리티 테크' 해킹도구 도메인 7개 압수…대만 대학 약 20곳 피해 확인

미국 법무부와 연방수사국(FBI)이 중국 정부와 계약을 맺은 중국 소재 업체 '인테그리티 테크놀로지 그룹(Integrity Technology Group·이하 인테그리티 테크)'이 운영해 온 해킹 도구 2종의 접속 경로를 끊었다. 압수된 인터넷 도메인은 7개다. 같은 날 국가안보국(NSA)·FBI·사이버보안·인프라보안국(CISA)과 동맹국 기관들은 이 회사와 연계된 해커들의 수법을 정리한 합동 사이버보안 권고문(CSA)을 냈다.

이번 조치는 개인에 대한 기소 발표가 아니다. 도메인 압수의 근거는 펜실베이니아 서부 연방지법에서 공개된 법원 문서이며, 법무부는 그 문서 내용을 확정된 사실이 아니라 '혐의(as alleged)'로 표현했다. 법무부는 미 동부 기준 2026년 10월 8일(한국시간 10월 9일) 보도자료에서 "법원 승인을 받은 압수를 통해 악성 사이버 행위자들이 '마이크로스캔(Microscan)'과 '피시허브(FishHub)'라는 두 해킹 도구에 접근하지 못하게 했다"고 밝혔다. 법무부는 이 도구들이 "미국과 외국의 핵심 기반시설 시스템을 스캔하고, 일부 경우 해킹하는 데 쓰였다"고 설명했다. 법무부는 인테그리티 테크가 "중화인민공화국 정부와 계약을 맺고 있다"고 적었다.

FBI 사이버국은 공식 X 계정에서 "FBI와 법무부가 사이버 위협 그룹 '플랙스 타이푼(Flax Typhoon)'이 쓰던 해킹 도구를 무력화했다"며 "여러 도메인을 압수하고 미국 핵심 기반시설을 스캔하고 일부 침투하는 데 쓰인 플랫폼 접근을 차단했다"고 밝혔다.

https://x.com/FBICyberDiv/status/2108256413084422599

무엇이 바뀌나

이번 조치가 중요한 이유는 미국 정부가 중국의 해킹을 '국가 해커'만이 아니라 정부와 계약한 민간 업체 단위로 추적해 장비를 끊고 있다는 점이다. 선례는 2024년 9월이다. 법무부는 당시 인테그리티 테크가 운영한 미라이(Mirai) 악성코드 봇넷을 법원 승인 아래 무력화했다고 발표했다. 법무부는 그 봇넷이 "미국과 전 세계 소비자 기기 20만 대 이상"으로 구성돼 있었다고 밝혔다. 이번 압수는 법무부가 밝힌 인테그리티 테크 해킹 인프라에 대한 "두 번째 공개 기술적 무력화"다.

두 도구는 무엇을 했나

법무부가 공개한 법원 문서에 따르면 인테그리티 테크는 미라이 변종에 감염된 사물인터넷(IoT) 기기로 봇넷을 만들어 썼다.

• 마이크로스캔(Microscan): 인테그리티 테크가 개발한 정찰·취약점 스캔 도구다. 법무부는 이 회사의 '고객들'이 나중에 악용할 취약점을 찾는 데 썼다고 밝혔다. 법무부가 공개한 스캔 대상에는 사우스캐롤라이나의 미국 전력회사, 다국적 비정부기구(NGO), 일본과 폴란드의 공항, 대만의 천연가스·전력 분야 기반시설 기업, 대만 대학 2곳이 들어 있다. 인테그리티 테크는 압수된 도메인 중 하나인 c0cc[.]cc를 통해 마이크로스캔에 접속했다.
• 피시허브(FishHub): 표적형 피싱(스피어 피싱) 도구다. 법무부에 따르면 최초 침투 뒤 추가 악성코드를 내려받게 했고, 이 악성코드는 원격 무단 접속을 열어주거나 특정 파일을 찾아 인테그리티 테크 통제 서버로 보냈다. 법무부가 밝힌 확인 피해자에는 "약 20곳의 대만 대학"이 포함된다. 압수 도메인 가운데 5개(98aicai[.]com, 98aicode[.]com, outlook3650[.]com, youtubecard[.]com, linkedinns[.]net)가 이 악성코드 배포에 쓰였다.

펜실베이니아 서부지검 보도자료는 나머지 1개 도메인이 피해자 네트워크를 인테그리티 테크 서버에 연결하는 무단 원격관리 소프트웨어와 연결돼 있었다고 밝혔다.

FBI 샌디에이고 지부는 이번 수사를 자신들이 주도했다고 X 계정에 공지했다.

https://x.com/FBISanDiego/status/2108252514365653376

NSA 권고문: "피해 분야 광범위"

NSA는 같은 날 보도자료에서 합동 권고문 제목이 「중국 정부 연계 사이버 위협 행위자들, 자동화·수동 해킹 도구를 결합해 민감 데이터 탈취」라고 밝혔다. NSA는 권고문 내용을 인용해 인테그리티 테크가 "중국 정부와 연계된 위협 행위자들이 정부 서비스·시설, 핵심 제조업, 의료·공중보건, 정보기술 등 여러 분야의 미국과 외국 조직 네트워크를 악용할 수 있게 했다"고 설명했다. 표적에는 미국 법집행기관·교육기관·종교단체, 그리고 동남아시아·아프리카·북미 조직도 포함됐다고 NSA는 밝혔다.

NSA 사이버 공식 계정도 "인테그리티 테크는 중국 정부 연계 위협 행위자들이 전 세계 조직 네트워크를 악용하고 핵심 데이터를 빼내도록 했다"고 게시했다. CISA도 FBI와 함께 권고문을 냈다고 X 계정에 공지했다.

https://x.com/NSACyber/status/2108259285318635667 https://x.com/CISAgov/status/2108251840802365869

호칭에 관해 NSA는 이들 중 일부가 업계에서 '플랙스 타이푼', '스톰 919', '이서리얼 판다', '레드 줄리엣'으로 불리는 수법과 일치한다고 밝혔다. 이는 민간 보안업계가 붙인 이름이며, 미 정부는 "일부(some)"라고 범위를 한정했다.

당국자들의 말

존 아이젠버그 법무부 국가안보 담당 차관보는 "미국은 중국이나 그 대리인이 사이버 공간에서 미국의 이익에 반해 아무 처벌 없이 활동하도록 내버려 두지 않을 것"이라고 말했다. 법무부 국가안보국도 이 발언을 공식 X 계정에 올렸다.

트로이 리베티(Troy Rivetti) 펜실베이니아 서부지검장은 "이번 압수는 2년 사이 두 번째로 인테그리티 테크의 대규모 작전을 무력화한 것"이라고 말했다. FBI 사이버국 브렛 레더먼(Brett Leatherman) 부국장은 "중국은 악성 사이버 활동의 범위와 규모를 넓히기 위해 계약업체와 지원 업체에 의존한다"며 "이런 조력자를 드러내고 무력화함으로써 중국이 미국 네트워크와 기반시설을 겨냥하기 어렵게 만든다"고 말했다.

합동 권고문 AA26-281A가 밝힌 공격 순서

같은 날 공개된 합동 사이버보안 권고문의 정식 식별번호는 AA26-281A다. 작성 기관은 FBI·CISA·NSA에 영국 국가사이버보안센터(NCSC-UK), 호주 신호정보국 산하 사이버보안센터(ASD ACSC), 캐나다 사이버보안센터, 일본 경찰청과 국가사이버안보실, 뉴질랜드 국가사이버보안센터, 스페인 국가정보센터(CNI)가 더해진 국제 공동 명의다. 권고문은 분석의 출발점이 FBI의 인테그리티 테크 관련 복수 수사에서 확보하고 관찰한 기술적 증거라고 적는다. 법무부의 도메인 압수가 형사·법원 절차 쪽 조치라면, 이 권고문은 같은 수사에서 나온 침해지표와 수법을 방어자에게 배포하는 기술 문서에 해당한다.

권고문이 정리한 정찰 단계는 법무부 보도자료보다 구체적이다. 공격자들은 BBScan, dirsearch, Fscan, ksubdomain, masscan, NMAP, OneForAll, ShuiZe, wpscan 같은 공개 스캔 도구를 써서 네트워크와 웹 애플리케이션의 취약점을 찾는다고 적혔다. 주로 살피는 포트는 21번(FTP), 22번(SSH), 53번(DNS), 80번(HTTP), 443번(HTTPS), 1080번(SOCKS)이다. 마이크로스캔에 대해서는 2017년 무렵부터 사용됐고, 파이썬 기반 웹 애플리케이션 안에 특정 취약점을 찾기 위한 침투 테스트 스크립트가 1,300개 넘게 들어 있었다고 권고문은 밝힌다. 스크립트가 겨냥한 서비스에는 OpenSSL, 오라클 웹로직, Rejetto, 워드프레스, 주니퍼 ScreenOS, 젠킨스, 아파치 스트러츠가 포함됐다.

초기 침투와 지속 방식도 단계별로 적혀 있다. 권고문은 공격자들이 자바스크립트와 HTML을 이용한 사이트 간 스크립팅(XSS) 공격으로 사용자 이름과 비밀번호 입력란을 표시하게 해 자격증명을 훔치는 페이로드를 FBI가 회수했다고 밝혔다. 또 다른 도구 EBurst는 마이크로소프트 익스체인지 서버를 상대로 비밀번호 스프레이와 비밀번호 추측을 수행하며, 익스체인지 제어판(ECP), 익스체인지 웹서비스(EWS), 오프라인 주소록(OAB), 아웃룩 웹 액세스(OWA) 등 열 개 인터페이스를 공격 경로로 쓴다고 적혔다. 침투 뒤에는 정상 VPN 소프트웨어인 SoftEther 설치 파일을 피해 기기에 내려받아 시작 시 자동 재연결되도록 설정하고, 파일 이름을 conhost.exe나 dllhost.exe처럼 흔한 윈도우 실행 파일 이름으로 바꿔 탐지를 피하려 했다는 것이 권고문의 분석이다.

데이터 수집 단계에서는 DC.exe라는 파일이 액티브디렉터리(AD) 복제 기법 DCSync를 실행해 계정 자격증명, 그룹 구성, 신뢰 관계 정보를 복사했다고 권고문은 설명한다. PHP 스크립트 Curlc4.txt는 마이크로소프트 EWS API에 접속해 이메일과 일정, 연락처 같은 콘텐츠를 가져가고, 압축하거나 RC4 또는 AES-128-CBC로 암호화한 뒤 원격 서버로 올리는 구조로 적혔다. office-cli라는 명령줄 도구는 아웃룩365 계정에 반복 접속해 기간별 이메일을 빼내는 데 쓰였다. 권고문은 이메일 데이터 절도의 확인 사례에 동남아시아의 정부 조직, 법집행기관, 의료 시스템, 종교기관이 포함됐고, 일부 사례에서는 빼낸 데이터에 대한 접근이 중국 샤먼에서 온 IP 주소로만 제한됐다고도 적는다. 이 세부 수법은 법무부 보도자료의 '피시허브' 설명을 보완하지만, 대만 대학 약 20곳이라는 확인 피해 규모를 모든 권고문 사례로 확대해 읽어서는 안 된다.

방어자가 당장 점검할 것으로 권고된 항목

권고문의 방어 지침은 일반적 주의 촉구에 그치지 않는다. 작성 기관들은 쓰지 않는 서비스와 포트를 끄고, 로그인 페이지와 배너가 외부 요청에 드러내는 정보를 최소화하라고 권고한다. 웹 애플리케이션 입력값 검증으로 XSS 페이로드 주입을 막고, 웹메일과 VPN, 핵심 시스템 접근 계정을 중심으로 모든 서비스에 다중인증(MFA)을 적용하라는 항목도 명시됐다. 기본 비밀번호를 강한 비밀번호로 바꾸고, 관리자 권한 계정을 제한·감사하며 최소 권한 원칙을 적용하라는 지침, 브라우저의 다운로드·도메인 평판 검사와 보호 DNS를 켜라는 지침도 함께 적혀 있다.

패치 항목에서는 실제로 성공한 악용 사례로 확인된 취약점 여덟 개가 표로 제시됐다. CVE-2014-6278, CVE-2015-3306, CVE-2015-5477, CVE-2016-3081, CVE-2019-11510, CVE-2021-22205, CVE-2021-3199, CVE-2023-22894다. 권고문은 이 가운데 일부가 CISA의 '알려진 악용 취약점(KEV)' 목록에 새로 오른 항목이라고 표시한다. 탐지 쪽에서는 정상 시스템 도구를 악용하는 '자급자족형(living-off-the-land)' 기법의 무단 사용 징후, 예상 밖의 AD 복제, 비정상적 스캔과 업로드 트래픽, 근무 시간 밖 로그인과 물리적으로 불가능한 동시 접속을 감시하라고 적혔다. 복구 계획으로는 민감 데이터와 서버 사본을 물리적으로 분리되고 보안이 적용된 장소에 여러 벌 보관하고, 오프라인 백업 사본에 비밀번호를 걸라는 항목이 들어 있다.

침해가 의심될 때의 순서도 권고문에 적혀 있다. 감염이 확인된 호스트를 격리하거나 오프라인으로 전환하고, 로그와 아티팩트를 모아 공격자의 수법과 감염 범위, 활동 시간표를 특정한 뒤, 국가별 지침에 따라 신고하고, 축출 대책을 적용해 네트워크를 강화하라는 흐름이다. 미국 조직에 대한 신고 창구로는 FBI 인터넷범죄신고센터(IC3), 관할 FBI 지부, CISA 24시간 운영센터(contact@cisa.dhs.gov, 1-844-Say-CISA)가 제시됐다. NSA 사이버보안 안내 문의 주소는 CybersecurityReports@nsa.gov다. 한국 기관은 이 권고문의 직접 신고 대상으로 적혀 있지 않다.

2024년 봇넷 무력화와 이번 압수의 차이

2024년 9월 18일 법무부는 법원 승인을 받은 작전으로 미국과 전 세계 소비자 기기 20만 대가 넘는 봇넷을 무력화했다고 발표했다. 당시 감염 기기는 소규모·가정용 사무실(SOHO) 라우터, IP 카메라, 디지털 비디오 레코더(DVR), 네트워크 저장장치(NAS)였다. 법무부는 인테그리티 테크가 'KRLab'이라는 브랜드를 내건 온라인 애플리케이션으로 감염 기기를 조종했고, 그 안의 'vulnerability-arsenal(취약점 무기고)'이라는 도구로 악성 명령 메뉴를 제공했다고 적었다. 법원 승인 작전은 해커들의 인프라를 장악한 뒤 그 인프라를 통해 감염 기기의 악성코드에 비활성화 명령을 보내는 방식이었고, 작전 중 FBI의 복구 기반을 겨냥한 분산서비스거부(DDoS) 방해 시도가 있었으나 실패했다고 법무부는 밝혔다.

이번 2026년 조치는 그 후속이지만 방식이 같다기보다 대상이 좁혀졌다. 2024년에는 감염된 소비자 기기 자체에 명령을 보내 봇넷 연결을 끊는 것이 중심이었고, FBI는 명령이 기기의 정상 기능을 해치지 않고 콘텐츠 정보를 수집하지 않도록 사전 시험을 거쳤으며, 미국 내 기기 소유자에게는 인터넷 서비스 제공업체를 통해 통지하겠다고 밝혔다. 2026년에는 마이크로스캔 접속 도메인 1개와 피시허브 관련 도메인 5개, 원격관리 연결 도메인 1개 등 도구 접속 경로 일곱 개를 압수하는 데 초점이 맞춰졌다. 공소를 맡은 검사는 펜실베이니아 서부지검의 브렌던 매케나 연방검사보와 법무부 국가안보국 국가안보사이버과의 잭 싱어-에머리 재판검사이며, 메릴랜드지검 토머스 설리번 검사보와 일본 경찰청이 상당한 지원을 했다고 법무부는 적었다. FBI 샌디에이고 지부의 마크 레밀리 특별수사관도 "법집행 파트너들과 함께 모든 수사 권한을 동원하겠다"는 발언을 냈는데, 이는 본문 앞부분에 인용한 리베티 지검장과 레더먼 부국장의 발언과는 별도로 지검·본부 보도자료에 실린 현장 지부장의 입장이다.

중국과 대만, 그리고 한국

법무부·NSA 자료에는 중국 정부나 인테그리티 테크의 반응이 담겨 있지 않다. 두 기관이 공개한 자료에는 상대 측 입장이 포함돼 있지 않다. 법무부가 공개한 표적·피해 목록에 한국 기관은 들어 있지 않다. 다만 일본 경찰청이 수사에 "상당한 도움"을 준 기관으로 법무부 보도자료에 이름을 올렸고, 일본 공항이 스캔 대상에 포함됐다.

다음 단계

법무부는 FBI 진술서(affidavit)와 압수영장을 공개했다. 수사는 FBI 샌디에이고·볼티모어 지부와 FBI 사이버국이 맡고, 공소는 펜실베이니아 서부지검과 법무부 국가안보국 국가안보사이버과가 담당한다. 법무부는 이번 발표에서 개인 기소를 밝히지 않았다. 네트워크 관리자들은 합동 권고문의 침해지표(IoC)를 대조해 자체 점검할 수 있다.

출처

• 美 법무부 공보실 보도자료, 2026년 10월 8일: https://www.justice.gov/opa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools-operated
• 美 법무부 펜실베이니아 서부지검 보도자료, 2026년 10월 8일: https://www.justice.gov/usao-wdpa/pr/justice-department-and-fbi-seize-vulnerability-scanning-and-spear-phishing-tools
• 美 국가안보국 보도자료, 2026년 10월 8일: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4622576/nsa-joins-fbi-and-others-to-provide-guidance-to-mitigate-chinese-government-lin/
• CISA·FBI·NSA 등 합동 사이버보안 권고문 AA26-281A, 2026년 10월 8일: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a
• 美 법무부 공보실 보도자료, 2024년 9월 18일(인테그리티 테크 봇넷 무력화): https://www.justice.gov/archives/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state
• 본문에 인용한 X 게시물은 모두 정부 기관의 공식 계정 게시물이다.