DDoS-as-a-Service 지하 세계: Booter/Stresser 경제, 단속, 방어 교훈

2023년 12월, Operation PowerOFF이라 명명된 작전이 약 50개의 DDoS 임대(이른바 booter/stresser) 사이트 도메인을 압수했다. 한 달 후, 새로 리브랜딩된 클론이 Telegram에서 재개되었다. 교훈: DDoS는 이제 상품이다——공격은 해커의 전유물이 아니라 카드나 암호화폐로 누구나 살 수 있는 구독이 되었다.

1. DDoS-as-a-Service(DDaaS)란

Booter/stresser 서비스는 합법한 '스트레스 테스트'를 가장하면서 제3자에 대한 공격을 판매한다. 비즈니스 모델은 성숙했다.

• 계층형 구독: 약 월 10~100달러로 수십 Gbps, 연간·'평생' 플랜은 Tbps급 오케스트레이션까지.
• 셀프서비스 패널: 표적 IP/URL 입력, 기법(LAYER7, BOT, DNS, UDP…) 선택, 지속 시간과 동시 실행 설정——클릭으로 발사.
• 익명 결제: PayPal/카드에서 암호화폐(USDT/BTC)와 Telegram 봇으로 이동해 자금 추적 회피.
• 인프라: 불법 호스팅, 남용 허용 VPS, 대규모 봇넷/프록시 풀(주거용 프록시 포함).

2. 기술 스택: 스크립트 키디에서 무기 거래상으로

현대 booter 백엔드는 본질적으로 공격 오케스트레이션 시스템이다.

# 대표적인 공격 기법(간략화)
METHODS = {
  "LAYER7": "HTTP/HTTPS 플러드 + 주거용 프록시 풀 + 헤드리스 브라우저",
  "BOT":     "Mirai 변종 IoT 직접 플러드",
  "DNS":     "DNS 반사 증폭 + 랜덤 서브도메인 플러드",
  "UDP":     "UDP 반사(CLDAP/WS-DD/NTP)",
  "SYN":     "SYN 플러드 + 출처 스푸핑",
}

결정적인 점: 이 서비스들은 복잡한 공격 엔지니어링을 드롭다운에 싸다. 보안 지식이 전무한 사람도 3분이면 다중 벡터 하이브리드 공격을 시작할 수 있다. 그것이 '공격 민주화'의 무서운 측면이다.

3. 법 집행 타임라인: 단속 vs 부활

현실: 도메인 압수는 '참수'이지 '종료'가 아니다. 운영자는 관할이 약한 지역에 숨어 수초 만에 도메인과 Telegram 채널을 바꾼다. 단속 때마다 '리브랜딩' 클론 파도가 온다——고양이와 쥐 싸움이지 종착점이 아니다.

4. 법적 그레이존: '스트레스 테스트' 가면

많은 booter는 '인가된 스트레스 테스트만'이라 주장한다——정교하게 짜인 법적 가면이다. 미국에서는 CFAA(Computer Fraud and Abuse Act)와 관련 판례가 명확하다: 인가 없이 제3자에게 트래픽을 향하게 하는 것은 불법. 영국은 Computer Misuse Act로 기소한다. 병목은 국경을 넘는 증거와 관할이다.

5. 방어 측이 여기서 읽어야 할 것

• 적은 누구든 될 수 있다: 월 10달러면 경쟁사, 불만 고객, 악의적 내부자가 공격할 수 있다. 위협 모델에 '저비용·고빈도 괴롭힘 공격'을 포함하라.
• 다중 벡터가 기본: booter는 설계상 L3/4 + L7 하이브리드를 출하한다. 단일 방어층은 실패한다. 볼륨과 애플리케이션 계층을 동시 처리하는 아키텍처가 필요.
• 인텔이 방어: booter 패널 유출(DB 덤프)이 공격자 IP와 표적 목록을 노출한다. 위협 인텔을 구독하면 공격 전 경고가 가능.
• 오리진 IP 은닉이 전제: booter 이용자는 스크러빙을 우회해 실제 IP를 직격한다. 은닉+근원 스크러빙이 '산 공격'의 코어 도달을 막는다.

결론

DDoS-as-a-Service는 네트워크 공격을 '능력'에서 '상품'으로 바꿨다. 방어 측에는 나쁜 소식(위협 면적 폭발)이자 교훈이기도 하다: 공격이 구독 가능해진 때, 방호는 상시 가동·자동화·오리진 은닉된 인프라여야 한다——사후 비상 계획이 아니라. 결국 적은 해커일 필요가 없고 신용카드만 있으면 충분하다.