현대 CC 공격의 대항 격화: 주거용 프록시 풀, 헤드리스 브라우저, AI 생성 요청

CC 공격(Challenge Collapsar, 애플리케이션 계층 HTTP 플러드)의 무서움은 대역폭이 필요 없다는 것이다. 수천 개의 겉보기 정상 요청으로 비싼 앱 서버를 무릎 꿇게 한다. 그리고 오늘날 CC 공격은 기존 'IP 차단+레이트 제한'이 통하지 않는 지점까지 진화했다. 본문은 현대 CC의 무기고와 방어 방식을 해부한다.

1. 봇넷에서 '깨끗한 IP' 경제로

초기 CC는 나쁜 평판의 PC를 썼다——차단 쉬웠다. 공격자는 이제 주거용·모바일·프록시 풀로 향한다.

• 이들은 실제 가정/모바일 IP(Honeygain, Peer2Profit 같은 '대역폭 공유' 앱 경유로 집계)에서 오며 우수한 IP 평판을 가져 기존 IP 차단 리스트를 무력화한다.
• 공격자는 온디맨드로 빌린다(GB 단위·IP 단위). 봇넷이 '깨끗한 트래픽 구독'이 된다.
• 상용 프록시(Luminati/Bright Data 남용판 포함)와 결합하면 실제 ASN에서 수십만 IP를 즉시 동원할 수 있다.

2. 헤드리스 브라우저: 위장은 '진짜 인간'

현대 CC는 헤드리스 브라우저(Headless Chrome / Puppeteer / Playwright)를 다용한다.

• JavaScript를 실행하고 페이지 전체를 로드하며 프론트 챌린지(JS 퍼즐 등)를 자동 돌파한다.
• 진짜 TLS 핑거프린트(JA3/JA4)와 브라우저 핑거프린트(canvas, WebGL, 폰트)를 가져 디바이스 지문을 어렵게 한다.
• CAPTCHA 팜(인해전 또는 AI 해독)과 결합하면 튜링 테스트도 돌파.

결과: 각 요청이 인간처럼 보인다——완전한 세션, 정확한 핑거프린트, 챌린지 돌파. 규칙 기반 WAF는 이런 트래픽에 거의 맹목화된다.

3. AI 생성 요청: 이상을 '정상'으로 보이게

최신 트렌드: 공격자가 AI/LLM으로 초현실적 요청 열을 생성한다.

• 간격(지터)·UA·경로 분포를 자동 조정해 트래픽 곡선을 '자연스러운 사용자' 통계에 맞춘다.
• 기계적으로 1개 URL을 반복하는 대신 실제 사용자의 클릭 파널(홈→목록→상세→구매)을 모방.
• 이로써 '임계값 기반' 탐지가 계속 실패한다——공격자가 능동적으로 이상을 정상으로 평활화하기 때문.

4. Low-and-slow과 계정 탈취 수렴

CC는 다른 위협과 수렴한다.

• Low-and-slow: Slowloris, RUDY——연결/요청을 놓지 않고 미세 레이트로 연결 풀과 워커를 고갈.
• 크리덴셜 스터핑: 같은 프록시 풀과 헤드리스 브라우저가 계정 탈취로 돌아선다——CC와 계정 보안은 무기고를 공유.
• API 악용: 로그인/검색/쿼리 API에 대한 정밀 플러드는 홈페이지 두드리는 것보다 파괴적.

5. 현대 방어 아키텍처

• 엣지 행위 챌린지(Managed Challenge): CDN/스크러빙 엣지에서 비침습 챌린지(암시 JS 챌린지, 프라이버시 우선 proof-of-work) 발행——깨끗한 IP도 챌린지된다. 판단은 행위 기반이므로 IP 기반이 아니다.
• 핑거프린트와 JA4: TLS 계층에서 JA4, HTTP 계층에서 JA4H를 추출해 IP가 분산되어도 '한 도구의 아종 트래픽'을 상관.
• 행위 생체·ML: 인간 vs 기계 세션 리듬, ML로 요청 그래프 모델——정적 규칙이 아니다.
• 업무 레벨 차단: 중요 엔드포인트(로그인/구매)에 독립 레이트 제한과 이상 점수. 한 핫스팟이 사이트를 못 떨어뜨리게.
• 굿봇 허용 리스트: 검색 엔진·모니터링·파트너를 명시 허용해 오탐 감소.

결론

현대 CC의 본질은 '악의를 깨끗한 외장에 싸는' 것——주거용 IP+헤드리스 브라우저+AI 현실성으로 모든 정적 단면에서 트래픽이 양성처럼 보인다. 출구는 엣지에서의 동적·행위·암호적 챌린지 식별이며 IP 차단 리스트 추가가 아니다. 공격자가 이상을 '정상'으로 평활화할 때, 방어는 '정상' 아래 자동화를 꿰뚫어야 한다. 그것이 두 층 스크러빙 아키텍처에 '깊은 행위 분석'이 있는 이유다.