1
2
3
4
5
6
7

graph TD
    A[취약한 SOHO 라우터 스캔] --> B[Moobot 악성코드 감염]
    B --> C[기존 봇넷 인수]
    C --> D[기능 추가: 프록시 서비스]
    D --> E[주요 인프라 네트워크로 은밀한 프록시 터널 구축]
    E --> F[내부 네트워크 정찰 및 횡적 이동]
    F --> G[기밀 데이터 탈취]

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40

import requests
import paramiko
import socket

# 학습 목적의 취약한 라우터 감지 스크립트
# 실제 공격과는 무관하며, 방어자를 위한 취약점 진단용입니다.

def check_default_credentials(target_ip, username="admin", password="admin"):
    """기본 자격 증명 테스트 (방어적 진단용)"""
    try:
        ssh = paramiko.SSHClient()
        ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())
        ssh.connect(target_ip, username=username, password=password, timeout=3)
        print(f"[!] 취약: {target_ip} - 기본 자격 증명 사용 중")
        ssh.close()
        return True
    except Exception:
        print(f"[+] 안전: {target_ip} - 기본 자격 증명 거부됨")
        return False

def check_open_ports(target_ip, ports=[22, 80, 443, 8080]):
    """관리 포트 노출 확인"""
    open_ports = []
    for port in ports:
        try:
            sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
            sock.settimeout(2)
            result = sock.connect_ex((target_ip, port))
            if result == 0:
                open_ports.append(port)
            sock.close()
        except Exception:
            pass
    return open_ports

# 방어적 진단 실행 예시
# target = "192.168.1.1"  # 본인 네트워크 기기만 테스트
# check_default_credentials(target)
# open_ports = check_open_ports(target)
# print(f"개방된 포트: {open_ports}")

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

# 개념적 예시: 라우터에서 악성 코드 제거 과정
# (실제 작전은 훨씬 복잡한 기술적 과정을 거침)

# 1. 감염된 라우터에 접속
ssh admin@compromised-router-ip

# 2. 악성 프로세스 확인
ps | grep moobot
# 결과 예시: 1234 root      968 S   /tmp/.moobot/arm7

# 3. 악성 파일 위치 확인
find / -name "*moobot*" 2>/dev/null
# 결과 예시: /tmp/.moobot
# 결과 예시: /var/tmp/.hidden_cron

# 4. 악성 프로세스 종료
kill -9 1234

# 5. 악성 파일 삭제
rm -rf /tmp/.moobot
rm -rf /var/tmp/.hidden_cron

# 6. 크론잡에서 지속성 메커니즘 제거
crontab -l | grep -v moobot | crontab -

# 7. 변경된 설정 복구 (백업이 있는 경우)
# factory reset 또는 펌웨어 재설치가 가장 확실

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

# 1. 기본 자격 증명 변경
# 라우터 관리 인터페이스에 접속하여 즉시 변경

# 2. 관리 인터페이스 외부 접근 차단
# iptables를 사용한 관리 포트 차단 예시
iptables -A INPUT -p tcp --dport 22 -s !192.168.1.0/24 -j DROP
iptables -A INPUT -p tcp --dport 80 -s !192.168.1.0/24 -j DROP
iptables -A INPUT -p tcp --dport 443 -s !192.168.1.0/24 -j DROP

# 3. 펌웨어 업데이트 확인 및 적용
# 제조사 웹사이트에서 최신 펌웨어 다운로드 후 설치

# 4. 원격 관리 기능 비활성화
# "Remote Management" 또는 "WAN Administration" 비활성화

1
2
3
4
5
6

graph LR
    A[인터넷] --> B[SOHO 라우터]
    B --> C[방화벽/IDS]
    C --> D[DMZ - 외부 서비스]
    C --> E[내부 네트워크]
    E --> F[주요 인프라망 - 분리된 망]

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

# 의심스러운 아웃바운드 트래픽 탐지 스크립트
import pyshark

def detect_suspicious_traffic(interface="eth0"):
    """비정상적인 아웃바운드 연결 탐지"""
    capture = pyshark.LiveCapture(interface=interface)
    
    suspicious_ips = set()  # 알려진 C2 서버 IP 목록
    
    for packet in capture.sniff_continuously():
        try:
            if hasattr(packet, 'ip'):
                src_ip = packet.ip.src
                dst_ip = packet.ip.dst
                
                # 내부 네트워크에서 외부로의 연결 중 의심스러운 IP 확인
                if dst_ip in suspicious_ips:
                    print(f"[!] 경고: {src_ip} -> {dst_ip} (의심스러운 통신)")
                    
                # 비정상적인 포트 스캔 탐지
                if hasattr(packet, 'tcp'):
                    dst_port = int(packet.tcp.dstport)
                    if dst_port not in [80, 443, 53]:
                        print(f"[?] 비표준 포트: {src_ip} -> {dst_ip}:{dst_port}")
        except Exception:
            pass

# 실행 예시 (관리자 권한 필요)
# detect_suspicious_traffic()