중국이 전 세계 웹 트래픽 가로채서 깃허브 공격한 사건 역추적한 보안 전문가

요약 2015년 발생한 깃허브(GitHub) 대규모 분산 서비스 거부(DDoS) 공격의 배후와 작동 원리를 추적 분석한 보안 기술 분석 글입니다. 사건의 발단은 중국 정부의 인터넷 검열을 우회하는 도구를 배포하던 '그레이트파이어(GreatFire)' 프로젝트와 뉴욕타임스 중국어판 미러 사이트가 오픈소스 코드 저장소인 깃허브에 호스팅되면서 시작되었습니다. 중국 정부 입장에서는 오픈소스 핵심 인프라인 깃허브 전체를 차단하기 부담스러워지자, 해당 특정 URL들에 엄청난 트래픽을 집중시켜 깃허브가 스스로 페이지를 내리도록 압박하는 방식을 택했습니다. 이 공격은 전 세계 사용자가 중국의 바이두(Baidu) 애널리틱스 스크립트가 포함된 사이트에 접속할 때, 중간자 공격(Man-in-the-Middle) 장비가 네트워크 패킷을 가로채 깃허브를 공격하는 악성 자바스크립트로 변조하는 방식으로 이뤄졌습니다. 이로 인해 전 세계 일반 사용자들의 웹 브라우저가 의도치 않게 깃허브를 향한 DDoS 공격 도구로 동원되었습니다. 스웨덴 보안업체 넷리섹(Netresec)이 패킷의 생존 시간(TTL) 필드 분석을 통해 중간자 공격 장비의 존재를 최초 확인한 데 이어, 본 글의 저자는 커스텀 트레이스루트(traceroute) 도구를 직접 제작해 해당 장비의 물리적·네트워크적 위치를 추적했습니다. 패킷의 TTL 값을 1씩 늘려가며 테스트한 결과, 11홉에서는 반응이 없다가 12홉에서 변조 응답이 발생하는 것을 포착했습니다. 저자는 IP 주소 대조를 통해 이 중간자 공격 장비가 중국 주요 국영 통신사인 '차이나 유니콤(China Unicom)' 백본망 내부에 위치해 있음을 규명해 냈습니다.