그룹
JDY 봇넷: Volt Typhoon 연계 중국 정찰망, 1,500기기로 미 군사 네트워크 지도화
Lumen Black Lotus Labs가 확인한 JDY 봇넷 분석. Volt Typhoon 연계 중국 APT가 운영하는 분산 정찰 인프라로, 1,500개 SOHO/IoT 기기를 이용해 미국 군사 네트워크와 CVE를 신속 스캔한다.
Lumen Black Lotus Labs가 확인한 JDY 봇넷 분석. Volt Typhoon 연계 중국 APT가 운영하는 분산 정찰 인프라로, 1,500개 SOHO/IoT 기기를 이용해 미국 군사 네트워크와 CVE를 신속 스캔한다.
정정 안내 (2026-09-28) 최초 발행분은 JDY 클러스터의 첫 식별과 활동 시작을 '2024년 1월'로 썼으나, Black Lotus Labs의 2023년 12월 13일 첫 보고서에서 이미 식별됐고 활동은 2022년까지 거슬러 올라간다는 원문 확인에 따라 정정했습니다. '2024년 1월' 대표 사건도 '첫 확인'이 아니라 FBI 해체 이후 봇 수가 최저점(약 650개)을 기록한 시점으로, C2·페이로드 서버의 Tor 운영 서술도 '접근 경로만 Tor로 은닉, 서버 자체는 공개 IP'로 바로잡았습니다.
JDY 봇넷은 피해자 네트워크에 직접 침투하지 않는다. 미국 군사 관련 기관의 취약한 시스템 목록을 작성해 다른 중국 국가 지원 해킹 그룹에 넘기는, 공격 전 단계 전용 인프라다. 2026년 6월 Lumen의 Black Lotus Labs는 이 봇넷이 2024년 1월 대비 두 배 이상 성장해 1,500개 이상 기기로 운영 중임을 확인했다. Volt Typhoon과 연관된 JDY의 핵심 역할은 새로운 취약점이 공개되고 기업이 패치를 배포하기 전, 수시간 안에 취약 시스템 목록을 후속 침투 그룹에 전달하는 것이다. (FortiClient EMS, CVSS 9.8)이 Fortinet 발표 직후 JDY의 집중 스캐닝 대상이 된 사례가 이를 보여준다.
JDY 봇넷 핵심 지표
항목 내용 발견·분석 기관 Lumen Black Lotus Labs (2026년 6월) 규모 변화 ~1,500기기 → 650기기 (2024년 1월 저점) → 1,500+ 기기 (2026년) 귀속 중국 국가 연계 위협 행위자 (Volt Typhoon 연관) 주요 타겟 미국 군사 및 관련 기관 C2 방식 은닉 Tor 노드로 접근 경로 은닉 + Platypus 리버스쉘 (C2·페이로드 서버 자체는 공개 IP) 감염 기기 Cisco·Ubiquiti·DrayTek·Hikvision·Linksys 등 SOHO/IoT
JDY는 중국 국가 후원 위협 행위자들이 관리하는 분산 정찰 봇넷이다. Black Lotus Labs가 2023년 12월 13일 발행한 첫 KV-botnet 조사 보고서('Routers Roasting on an Open Firewall')에서 이미 KV-botnet의 하위 클러스터로 식별됐다. 이 첫 보고서 기준 KV-botnet은 두 개의 상호 보완적 운영 클러스터로 구성됐다. 이후 2024년 후속 보고서에서 x.sh·Fortinet 클러스터가 추가됐고, 2026년 보고서는 이 시점 봇넷이 총 네 개 클러스터로 구성됐다고 밝혔다.
두 클러스터는 페이로드 인프라를 공유하며, JDY가 수집한 취약 대상 목록을 KV 운영자에게 제공하면 KV가 수동으로 침투하는 분업 구조다. 이 구조에서 JDY 기기는 정찰 흔적만 남기고 실제 침투 흔적은 KV 기기가 남긴다. 두 클러스터를 같은 인프라로 연결하지 못하면 전체 작전 범위를 파악하기 어렵다.
Lumen은 Volt Typhoon(G1017)이 KV-botnet의 "적어도 하나의 사용자"라고 표현했다. 공개 직후 운영이 일시 중단된 시점(2023년 5월), 인도-태평양 지역 집중 타겟팅, 인프라 중첩 등이 귀속 근거다. 공유 인프라를 다수 중국 연계 그룹이 나눠 쓰는 구조일 가능성도 있으며, 이 경우 봇넷 해체만으로는 위협 행위자 전체를 차단하기 어렵다.
활동 시기: 적어도 2022년부터 확인(2023년 첫 보고서가 2022년 2월까지 활동을 소급 추적). 2026년 6월 현재도 가동 중. MITRE Group ID: JDY 전용 ID 미부여. Volt Typhoon(G1017) 연장 캠페인으로 평가.
JDY 봇넷의 목적은 DDoS나 직접 침투가 아니라 취약 대상 사전 식별이다. 노출된 서비스를 발견·지문채취·지속 매핑해 중국 국가 해킹 그룹에 타겟팅 데이터를 제공한다. Lumen은 "이 능력은 지속되고, 적응하며, 취약점 공개 후 수시간 내에 타겟팅 데이터를 적시에 제공한다"고 설명했다.
선호 기법군:
타겟 산업: 미국 군사 및 관련 기관이 가장 두드러진 타겟. 이어서 브라질, 유럽, 아시아.
탐지 회피 방식: 다수의 SOHO/IoT 기기에 정찰 작업을 분산시켜 개별 IP가 스캐너로 식별되거나 차단될 가능성을 줄인다. 감염된 가정용 네트워크 기기에서 발생하는 트래픽은 정상 사용자 트래픽과 구분하기 어렵다.
2024년 1월 — FBI 해체 이후 봇 수 저점(약 650개)
미국 법무부·FBI가 법원 명령으로 KV-botnet의 Volt Typhoon 관련 구성 요소를 해체하고 Lumen이 null-route 조치를 취했다. 그 뒤 약 1,500개 수준이던 JDY 봇 수가 2024년 1월 약 650개까지 줄어든 저점을 Black Lotus Labs가 확인했다. 당시 JDY는 Cisco RV320/RV325 라우터만을 감염 대상으로 했으며, 자동화 스캐닝으로 KV 운영자의 후속 침투를 지원하는 구조였다.
이 시점 Lumen은 KV-botnet과 JDY 클러스터가 페이로드 인프라를 공유함을 확인하고, Volt Typhoon을 포함한 중국 국가 연계 위협 행위자들이 KV-botnet을 공유 인프라로 활용하고 있다고 평가했다.
2026년 4월 — CVE-2026-35616 스캐닝: 공개 후 수시간
Fortinet이 FortiClient EMS(버전 7.4.5~7.4.6)의 인증 우회 취약점 을 공개하자마자, JDY 봇넷 기기들이 해당 취약점 보유 시스템 스캐닝을 시작했다. 은 인증 없이 API를 우회해 원격 코드 실행이 가능한 CVSS 9.8 등급 취약점으로, CISA가 2026년 4월 6일 KEV(Known Exploited Vulnerabilities) 목록에 등재했다.
기업의 취약점 패치 배포에는 통상 수 주가 소요된다. JDY는 그 공백 기간 중 패치 전 취약 시스템을 신속 식별해 국가 그룹에 제공한다. 이 사건은 JDY가 단순 정기 스캐닝이 아닌 위협 인텔리전스 추적 기반 표적 스캐닝을 수행하고 있음을 보여주는 대표적 사례다.
2026년 6월 — 1,500기기 확장 및 미 군사 집중 확인
Black Lotus Labs의 최신 보고서에서 JDY 봇넷이 초기 대비 두 배 이상 성장했음이 공개됐다. 감염 기기 종류도 Cisco RV 시리즈 전용에서 Araknis, Mimosa Networks, Ubiquiti, DrayTek, Hikvision, Linksys 등 MIPS 아키텍처 기기 전반으로 확장됐다. 감염 기기의 상당수는 미국과 브라질에 위치하며, 이후 유럽·아시아 분포가 확인됐다.
Lumen은 이 시점에서 "미국 군사 및 관련 기관이 가장 두드러진 타겟"임을 명시했다. 봇넷은 현재도 가동 중이며, JDY가 수행한 정찰 데이터가 KV 클러스터 등 중국 국가 그룹의 침투 작전에 직접 공급되고 있다고 Lumen은 경고했다.
감염 대상 기기 (확인된 제조사):
모두 MIPS, MIPS64, MIPSEL, MIPSEL64 아키텍처.
| ATT&CK 기법 | ID | 세부 |
|---|---|---|
| 능동 스캐닝 | T1595 | TCP/SSL/UDP/ICMP 고볼륨 프로빙 |
| 취약점 스캐닝 | T1595.002 | CVE 공개 직후 자동 표적 스캔 |
| 네트워크 서비스 발견 | T1046 | 배너·TLS 인증서·프로토콜 지문 수집 |
| 프록시: 멀티홉 | T1090.003 | 은닉 Tor 노드로 C2·페이로드 접근 은닉 |
| 외부 접근 서비스 악용 | T1190 | SOHO/IoT 기기 초기 감염 벡터 |
Black Lotus Labs의 이번 분석에서 한국을 직접 타겟으로 한 사례는 확인되지 않았다. 그러나 JDY 봇넷이 감염 기기를 확장하며 포함시킨 DrayTek, Ubiquiti, Hikvision 장비는 국내 중소기업과 SOHO 환경에서 광범위하게 사용된다. 같은 감염 벡터에 국내 기기가 노출될 경우, JDY가 수집한 정찰 데이터 안에 국내 네트워크 정보가 포함될 수 있다. 또한 주한미군 기지와 한미 연합 네트워크를 관리하는 보안 담당자라면, JDY가 미국 군사 관련 기관을 집중 지도화하고 있다는 점에서 간접적 영향권 안에 있다고 볼 수 있다.
JDY 스캐너에는 Lumen이 2026년 6월 샘플 분석으로 공개한 고정값이 있어, 스캔을 받는 쪽 네트워크 기록과 대조할 수 있다. 원시 소켓을 열 권한(대개 루트)이 있으면 JDY는 소스포트를 19000으로 고정한 SYN 패킷을 직접 만들고, 목적지 포트를 하나씩 올리며 수천 개 대상을 묶어서 훑는다. Lumen은 이 방식이 TCP 연결을 끝까지 맺지 않아 대상 서버의 애플리케이션 로그에 남지 않는다고 설명한다. 그래서 이 스캔이 기록되는 곳은 경계 방화벽의 연결 로그와 NetFlow 같은 흐름 기록이다. 80번 포트를 겨냥할 때는 식별자 19037, 시퀀스 번호 35765로 고정된 ICMP 에코 요청을 먼저 보낸다. 이 두 값은 패킷 캡처나 IDS가 남기는 ICMP 헤더 필드에서 확인된다. 원시 소켓을 열지 못하는 기기는 일반 TCP·TLS 연결로 스캔하므로, 이 경우엔 소스포트 고정 패턴이 나타나지 않는다.
자사 라우터나 카메라가 봇으로 쓰였는지 가릴 값도 같은 보고서에 있다. Lumen이 확보한 드로퍼는 auditdy라는 프로세스 이름으로 이미 실행 중인지 확인하고, 페이로드를 /etc/ 또는 /tmp/에 써서 실행한 뒤 지운다. 감염 기기는 C2의 /dispatch_service/v2/probe_status 경로로 HTTPS 비콘을 보내고, 스캔 결과는 압축·암호화해 /data/v2/pscan 경로에 attr.json 파일로 올린다. 비콘이 HTTPS로 오가므로, TLS를 풀지 않는 네트워크 센서에서는 경로 문자열 대신 목적지 주소가 주된 대조 값이 된다. Lumen이 GitHub에 계속 갱신하는 IOC 목록에는 C2 주소 4개, 페이로드 서버 1개, 드로퍼·페이로드·Platypus 클라이언트 해시가 올라 있다. 같은 목록의 TLS 지문 1개는 2023년 11월 14일 처음 관측됐고, 마지막 관측이 '현재'로 적혀 있다. 2023년 보고서가 클러스터 이름의 출처로 든 x.509 인증서('jdyfj')도 이날 처음 관측됐고, Lumen은 인터넷 스캔 데이터에서 이 인증서로 새 프록시 서버를 찾아냈다. 페이로드 서버는 13339번 포트에서 Platypus 서버를 돌리는데, Lumen에 따르면 이는 Platypus 에이전트 배포에 쓰이는 기본 포트다.
IP 기반 대조의 한계는 Lumen도 짚었다. 봇 대부분이 미국 가정·소규모 사무실 회선에 있어 IP 평판·지역 차단·고정 차단 목록이 잘 듣지 않는다는 것이다. 영국 NCSC가 2026년 4월 23일 미국 CISA·FBI·NSA 등 여러 나라 기관과 함께 낸 공동 권고도 이런 은닉 네트워크를 겨냥한 헌팅 항목을 따로 적었다. 권고가 든 항목은 SOHO 라우터·IoT 기기 IP 대역에서 오는 연결과, VPN 접속 기준선에 가정용 광대역 대역이 섞였는지 여부다. 공개 보고된 은닉 네트워크를 배너·인증서로 추적하고, NetFlow로 상류 쪽 새 노드를 찾는 작업도 들어 있다.
ATT&CK에서 능동 스캐닝(T1595)의 탐지 전략은 DET0830이고, 취약점 스캐닝(T1595.002)은 DET0867이다. 두 전략은 네트워크 트래픽 흐름(DC0078)과 내용(DC0085)을 데이터 소스로 든다. 그 아래 AN1962·AN1999 분석은 기존 흐름에 속하지 않는 패킷과 비정상적인 트래픽 패턴을 예로 든다. 목적지 포트가 하나씩 올라가는 소스포트 19000 SYN 묶음은 이 기준에 들어맞는 사례로 볼 수 있다. 다만 MITRE의 KV Botnet Activity 캠페인(C0035) 항목에는 스캐닝 기법이 매핑돼 있지 않다. JDY를 이 두 기법에 연결한 것은 Lumen의 설명에 기댄 이 글의 추정이다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.