2025년 2월 26일, Nokia Deepfield의 긴급 대응 팀(ERT)은 '하룻밤 사이 나타난' 초대규모 DDoS 공격 파도를 관측했다. 역추적하니 Eleven11bot이라 명명된 봇넷이 드러났다——HiSilicon 기반 보안 카메라, DVR, NVR을 노리는 Mirai 변종이다. 2월 27일, 그것은 약 6.5 Tbps 피크를 기록하며 그해 1월 세운 5.6 Tbps 기록을 넘어섰다. 본문은 이 사건과 그 이면의 '엣지 디바이스 전쟁'을 해독한다.

1. Mirai의 망령은 떠나지 않았다

Eleven11bot은 신종이 아니다——Mirai 변종이다. Mirai가 2016년 공개된 이래 그 코드는 수많은 운영자에 의해 재사용·진화해 왔다. 이번 표적은 TVT-NVMS9000 영상 관리 소프트웨어를 구동하는 HiSilicon 기기로, 기본 인증과 미패치 펌웨어 취약점으로 제어권을 빼앗겼다. 정교한 스캔 알고리즘으로 노출된 Telnet(23번)과 SSH(22번)를 찾아 특정 벤더(VStarcam 등)용 인증 사전으로 무차별 대입한다.

2. 6.5 Tbps와 '숫자의 라쇼몽'

가장 흥미로운 것은 기기 규모의 큰 이견이다.

  • Nokia는 약 3만 대 감염 기기로 추정(미국 24.4%, 대만 17.7%, 영국 6.5%).
  • Shadowserver는 8.6만 대 초과로 산출.
  • GreyNoise / Censys는 실제 감염은 5,000대 미만(그중 61%가 이란 기원)이라고 주장.

이견의 근원은 오독된 네트워크 특징이다. 트래픽에 나타난 head[…]1111 서명은 처음엔 감염 마커로 여겨졌다가, 나중에 HiSilicon SDK의 정상 프로토콜 동작——화이트라벨 IoT 하드웨어 원격 관리의 합법적 구성요소——로 귀인되었다. 모든 연구자에 대한 경종: IoT 전장에서는 '기기를 보는 것'이 '기기가 감염된 것'이 아니다. 지표 오독은 위험 평가를 바로 왜곡한다.

3. 왜 IoT는 여전히 무기화 온상인가

Eleven11bot은 고립 사례가 아니다. 2025년, 관련 CVE가 빈번히 발생해 방치되었다.

  • CVE-2024-32899: TVT NVMS의 인증되지 않은 RCE——즉시 패치.
  • CVE-2024-6047 / CVE-2024-11120: 단종(EOL)된 GeoVision IoT 기기의 명령 주입, 공개 후 수개월도 패치 없음.
  • CVE-2025-1316: Edimax IC-7100 카메라 명령 주입 제로데이——Mirai 변종에 야생 이용됨.

저변의 논리는 일관된다: 기기의 대량 확산(카메라, 라우터, 스마트 TV, 심지어 냉장고), 기본 인증과 나쁜 패치 습관, 배포 후 방치. 이 기기들은 모르는 사이 '조용히 참전'하여 거대한 공격 함대를 편성한다.

4. 진짜 위험: 공격 강도와 부수 피해

Eleven11bot의 공격 강도는 초당 10만~5억 패킷(pps) 사이로, 통신·게임 호스팅·금융을 선호한다. 일부 공격은 서비스 저하를 수일간 지속했다. 더 결정적인 것은 트래픽이 수천 개의 서로 다른 ASN에서 온다는 것——노드는 진정으로 글로벌하다. 이 경로에 의존하는 모든 조직이 '부수 피해'의 희생양이 될 수 있다.

5. 방어: 이것은 공동 책임이다

기기 소유자에게:

  • 원격 관리 비활성화, 기본 인증 변경, HiSilicon 계열 기기 펌웨어 업데이트.
  • TVT-NVMS9000(CVE-2024-32899) 등 핵심 취약점 패치.
  • DNS(UDP/53), NTP(UDP/123) 등 프로토콜에 레이트 제한 활성화.

네트워크·방어 측에게:

  • GreyNoise(악성 IP 1,042개 식별), Shadowserver 같은 위협 인텔을 사용해 네트워크 계층에서 알려진 악성 IP 차단.
  • SIEM으로 Telnet/SSH 무차별 대입 시도와 IoT 기기의 비정상 아웃바운드 모니터링.
  • 제로 트러스트 채택——카메라·녹화기를 업무 네트워크에서 분리.

결론

Eleven11bot의 교훈: IoT 보안은 한 회사의 일이 아니라 제조사·규제 기관·보안 종사자·소비자의 공동 책임이다. 수많은 기기가 기본 인증과 오래된 펌웨어 그대로 공공망에 자리 잡는 한, 그들은 계속 무기화될 것이다. 방어 측의 진짜 벽은 수천 ASN에서 온 비정상 트래픽을 엣지에서 식별·우회하고 초 단위로 완화하는 아키텍처다.