디지털 와일드 웨스트: 1990년대 후반 및 2000년대 초반 해킹 도구에 대한 회고

Rust로 컴파일된 eBPF 프로브, 수십억 달러 규모의 EDR 콘솔, 정교한 Sigma 규칙이 등장하기 전, 공격 보안 분야는 훨씬 더 직관적이고 혼란스러운 경험이었습니다. 1990년대 후반과 2000년대 초반에는 56k 모뎀이 강력한 무기였으며, 운영 인프라는 종종 끈적거리는 키보드가 달린 Windows 98 머신으로 구성되었습니다. 이 시기는 호기심, 장난, 그리고 실제 사이버 범죄 사이의 경계가 흐려졌고, 도구들은 기술적 효율성만큼 스타일과 개성에도 큰 비중을 두었습니다.

원격 관리 도구(RAT)의 부상

1990년대 후반에 원격 관리 도구(RAT)가 등장하면서 공격자들이 침해된 시스템과 상호 작용하는 방식이 근본적으로 바뀌었습니다. 이 도구들은 조용한 원격 제어를 위해 설계되어, 운영자는 파일을 탐색하고 화면을 캡처하며 키 입력을 기록할 수 있었습니다.

Back Orifice와 BO2K

1998년 Cult of the Dead Cow가 DEF CON에서 Back Orifice를 공개하면서 시작되었습니다. Microsoft BackOffice를 의도적으로 패러디한 이 도구는 Windows 95/98의 치명적인 보안 결함을 보여주었습니다. Microsoft가 이를 악성코드라고 규정했지만, 제작자는 보안 시연으로 보았습니다. 이후 **Back Orifice 2000 (BO2K)**으로 진화했으며, 플러그인을 통한 오픈소스 확장성과 암호화된 통신을 도입해 당시 정식 관리 도구와 맞먹는 기능을 제공했습니다.

NetBus와 Sub7

다른 도구들도 빠르게 뒤따랐습니다. NetBus는 Carl‑Fredrik Neikter가 만들었으며, 스웨덴의 한 법학 교수 컴퓨터에 불법 자료를 심어 법적 논란을 일으킨 사례로 유명해졌습니다.

하지만 그 시대에 가장 널리 퍼진 도구는 Sub7(또는 SubSeven)였습니다. 루마니아의 10대 프로그래머 mobman이 Delphi로 작성한 Sub7은 깔끔한 GUI, 피해자 주소록, ICQ와 연동된 온라인 알림 기능을 갖추고 있었습니다. 설정이 매우 간단해 “스크립트 키디”와 신진 연구자들 사이에서 표준이 되었습니다.

지하실의 스위스 군용 나이프

RAT가 전체 제어라는 화려함을 제공했지만, 실제 탐색과 악용 작업은 기본 유틸리티 집합에 의존했습니다. 이 도구들 중 다수는 오늘날 펜테스터 툴킷에서도 여전히 핵심으로 남아 있습니다.

  • Nmap: Gordon Lyon이 만든 네트워크 스캐너는 서브넷 매핑과 포트 식별의 금본위가 되었습니다.
  • Netcat: "TCP/IP 스위스 군용 나이프"라 불리며, 네트워크에 대한 읽기/쓰기와 간단한 쉘 생성이 가능해 필수 도구가 되었습니다.
  • John the Ripper: 이 시기의 주요 비밀번호 크래킹 도구였습니다.
  • Cain & Abel: ARP 포이즈닝, 비밀번호 복구, 네트워크 스니핑을 지원하는 포괄적인 Windows 기반 스위트였습니다.
  • Aircrack: 초기 버전에서는 WEP 암호화가 실제 보안 경계라기보다 권고사항에 불과함을 보여주었습니다.

웹 대상에 대해서는 Nikto와 Whisker 같은 스캐너가 사용되었으며, 이는 당시 흔히 발생하던 패치 관리 부재를 악용했습니다. 대부분의 대상이 설치 이후 업데이트를 전혀 하지 않았다는 가정이 일반적이었고, 이는 실제로 맞는 경우가 많았습니다.

IRC: 명령 센터이자 소셜 클럽

Internet Relay Chat(IRC)은 해킹 씬의 심장박동이었습니다. EFnet, DALnet, Undernet 같은 네트워크는 #hack와 #warez 같은 채널을 운영했으며, 이는 사회적 허브이자 기술적 견습소 역할을 했습니다.

IRC는 단순 채팅을 넘어 명령·제어(C2) 구조의 혁신이었습니다. Sub7의 2.1 버전부터 서버 컴포넌트가 IRC 채널에 접속해 명령을 수신하도록 할 수 있었으며, 이를 통해 침해된 머신을 IRC 봇으로 전환했습니다. 공격자는 기존 무료 인프라를 활용해 트래픽을 숨길 수 있었으며, 이는 Slack, Telegram, Google Drive 트래픽에 위장하는 현대 C2 프레임워크의 개념적 전신이었습니다.

이탈리아 경험과 “Hardware 1” 단속

이탈리아에서는 커뮤니티가 주로 BBS와 Fidonet을 중심으로 형성되었습니다. 그러나 1994년 5월 11일 Operation Hardware 1에 의해 이 창조적 혼돈이 폭력적으로 중단되었습니다. Guardia di Finanza가 119개의 Fidonet 노드를 급습했으며, 두 명이 불법 소프트웨어를 배포했다는 혐의가 있었습니다.

모뎀, 플로피 디스크, 전원 멀티탭 등 장비가 압수되었습니다. 법적 근거는 미약했지만, 영향은 파괴적이었으며 수년간 이어진 비공식 지식 공유가 무너졌습니다. 그러나 이 단속은 커뮤니티를 인터넷으로 이동시키는 계기가 되었고, IRC의 분산 특성 덕분에 목표가 되기 어려워졌으며, 기술·법·시민 자유의 교차점에 깊이 통달한 세대가 탄생했습니다.

유산과 교훈

돌이켜보면 Sub7의 GUI나 BO2K의 플러그인 구조는 원시적으로 보입니다. Cain & Abel 같은 도구는 이제 디지털 고고학이 되었지만, 이 시기에 확립된 사고 방식은 현대 사이버 보안의 토대가 됩니다.

"침해된 머신을 릴레이 노드로 활용하고, C2 트래픽을 정상 트래픽에 섞어 숨기며, 인프라를 재사용하지 않는다는 아이디어는 1990년대 후반 툴킷에 이미 존재했으며 오늘날 모든 심각한 위협 행위자의 플레이북에 자리 잡고 있습니다."

IRC 기반 봇의 초기 시절부터 운영 보안(OPSEC)의 중요성을 깨닫게 된 과정까지, "와일드 웨스트" 시대의 해킹은 단순한 향수가 아니라 현대 사고 대응, 위협 인텔리전스, 레드 팀 활동을 형성한 잔인하고 실전적인 견습 과정이었습니다.

Sources