패스트 플럭스: 현대 사이버 공격에 여전히 사용되는 오래된 수법

Cybercriminals don’t always need new techniques. Sometimes, they simply find new ways to use old ones. For nearly two decades, “fast flux” has helped attackers keep phishing sites, malware infrastructure, and command-and-control systems online. Instead of tying a malicious domain to a single fixed server, attackers route traffic through a constantly changing pool of compromised devices.

여기에는 가정용 라우터, 사무실 게이트웨이, 모뎀, 컴퓨터 또는 소유자가 감염 사실을 모를 수 있는 기타 인터넷 연결 장치가 포함될 수 있습니다. 각 장치는 다른 장치가 그 자리를 대신하기 전까지 잠시 동안 중계기 역할을 하여 공격자의 실제 인프라로 트래픽을 전달합니다. 방어자가 특정 주소를 차단하더라도 해당 도메인은 다른 주소를 가리킵니다.

빠르게 변화하는 인프라는 끊임없이 움직이기 때문에 추적, 차단 및 제거가 더욱 어려워집니다.

최근 사이버 공격에서 패스트 플럭스가 나타나고 있습니다.

In June 2026, researchers reported that the Silent Ransom Group was using a fast flux network to hide infrastructure supporting its attacks across the legal, financial, and professional services sectors.

해당 노드들은 18개국과 22개의 인터넷 서비스 제공업체에 걸쳐 분산되어 있었습니다. 그들은 해당 그룹과 연결된 두 도메인의 DNS 레코드를 변경하여 해당 도메인 뒤에 있는 시스템을 찾고 차단하기가 더 어려워지도록 했습니다.

The group, also known as Luna Moth, Chatty Spider, and UNC3753, gains access through social engineering. Attackers pose as IT staff, call employees, launch screen-sharing sessions, or install remote-access tools.

그만큼 FBI has also warned that group members may enter offices and use storage devices to steal data or install malware. Once inside the network, the group moves laterally, steals sensitive data, and threatens to publish it.

파괴에 저항하도록 제작됨

‍‍In April 2025, the NSA, CISA, FBI, and international partners warned that fast flux posed a serious national security threat. Criminal and state-backed groups use it to hide the systems behind phishing, malware, spying, and command-and-control activity.

Bulletproof hosting providers also sell infrastructure to cybercriminals and ignore efforts to shut it down. Fast flux helps them keep malicious services online by moving traffic across a changing network of systems.

사이버 공격을 지속시키는 것

패스트 플럭스가 오랫동안 지속되어 온 이유는 공격자가 직면한 기본적인 문제, 즉 방어자가 인프라를 차단하기 시작할 때 어떻게 연결을 유지할 수 있는지에 대한 문제를 해결하기 때문입니다.

일루미오의 선임 제품 마케팅 매니저인 라크나 스리바스타바는 "이는 복원력 강화 계층입니다."라고 말했습니다. "이는 장기적인 영향을 미치는 유형의 공격으로, 몇 달이 지나도 계속해서 감염을 일으킬 것입니다."

That resilience has made fast flux useful across phishing, malware, ransomware, cybercrime infrastructure, and state-linked espionage.

지난 몇 년간 급격한 변화

• ‍2007 — Rock Phish
  Rock Phish targeted bank customers with fake websites. The sites stole login details. Fast flux moved them across infected computers, which helped them stay online.

• ‍2007–2008 — Storm Worm
  Storm Worm spread through spam emails with fake news headlines and greeting cards. The links installed malware that pulled victims into one of the largest botnets of its era. Fast flux rotated the sites' IP addresses faster than blocklists could keep up.

• ‍2009–2016 — Avalanche
  Avalanche supported malware, phishing, spam, and bank theft in more than 180 countries. Fast flux hid the network behind changing systems. Its shutdown involved 30 countries and more than 800,000 domains.

• ‍2020–2022 — Nefilim
  Nefilim targeted large companies. It stole data, locked files, and demanded payment. Fast flux helped hide the systems behind the attacks.

• ‍2021–2022 — Hive
  Hive hit more than 1,500 victims in over 80 countries. Targets included hospitals, schools, banks, and critical infrastructure. Fast flux helped keep parts of its network hidden.

• ‍2022-2023 — Gamaredon
  Gamaredon used spearphishing and malware to target Ukrainian organizations, while fast flux DNS helped hide and protect its command-and-control infrastructure by rapidly rotating IP addresses.

• ‍2024 — Unattributed Criminal Network
  Researchers found 193 domains tied to 2,960 IP addresses. The network supported malware, harmful websites, and command-and-control traffic.

• ‍2025 — Criminal and State-Linked Actors
  U.S. and allied agencies warned that criminal and state-backed groups were using fast flux. It helped hide phishing, malware, spying, and command-and-control systems.

• ‍2026 — Silent Ransom Group
  Silent Ransom Group targeted law firms and companies in finance, health care, insurance, and hospitality. Attackers posed as IT staff, stole data, and demanded payment. Fast flux hid the systems behind the attacks.

빠른 플럭스를 식별하는 방법

인프라가 끊임없이 변화하기 때문에 빠른 변화를 막기는 어렵습니다. 각각의 IP 주소는 새로운 이벤트처럼 보일 수 있지만, 진정한 위협은 그러한 변화 이면에 숨겨진 패턴에 있습니다.

스리바스타바는 수비수들이 그 패턴을 수작업으로 분석할 수 없다고 경고했다.

"이 일을 수동으로 시작하면 뒤쳐질 거예요."라고 그녀는 말했다.

빠른 플럭스 활동을 나타내는 몇 가지 징후가 있습니다.

• 매우 짧은 DNS TTL(Time-to-Live) 값
• 동일 도메인에 대한 반복적인 요청
• 서로 관련 없는 IP 주소들이 점점 늘어나고 있습니다.
• 광범위한 지리적 분포
•  잦은 네임서버 변경
• 프록시 또는 인증서 동작이 일치하지 않습니다.

이러한 신호들 중 어느 것도 그 자체로 빠른 플럭스를 증명하지는 못합니다. 하지만 이러한 정보들을 종합하면 해당 도메인이 일반적인 트래픽 패턴과 일치하지 않는 방식으로 작동하고 있음을 보여줄 수 있습니다.

가시성이 중요한 이유

보안팀은 DNS 활동을 네트워크 흐름, 엔드포인트, 프로세스 및 워크로드와 연결해야 합니다. 그들은 어떤 프로세스가 도메인을 요청했는지, 어떤 IP 주소가 응답했는지, 어떤 시스템이 연결을 열었는지, 그리고 해당 트래픽이 워크로드의 일반적인 종속성 맵에 부합하는지 여부를 알아야 합니다.

그러한 맥락이 없으면 팀은 단기적인 지표만 쫓게 됩니다. 이를 통해 어떤 워크로드가 의심스러운 인프라와 통신하는지, 그리고 해당 워크로드가 다음에 어디에 도달할 수 있는지 확인할 수 있습니다.

일단 시스템이 침해당하면, 이 기술은 공격자가 계속해서 서버에 접속하고, 데이터를 훔치고, 악성 소프트웨어를 배포하거나, 다른 희생자를 찾는 데 도움이 될 수 있습니다. 또한 일반적인 웹 브라우징 트래픽과 섞여들어 최초 침입 이후에도 오랫동안 연결이 활성 상태로 유지될 수 있습니다.

세분화가 이를 막는 방법

도메인 분할은 악성 도메인이 외부 IP 주소를 순환하며 접속하는 것을 막지 못합니다. 그것은 환경 내부에 위험을 내포하고 있습니다. 팀은 영향을 받는 워크로드를 격리하고, 동서 방향 트래픽을 제한하고, 업무상 필요 없는 경로를 차단할 수 있습니다.

또한 도메인 컨트롤러, 관리 평면, 규제 대상 애플리케이션 및 기타 민감한 시스템과 같은 중요 자산을 보호할 수 있습니다. 감염된 엔드포인트는 해당 리소스에 대한 열린 경로를 가지고 있으면 안 됩니다.

팀은 세부적인 허용 규칙, 기본 차단 정책 및 신속한 격리 기능을 사용하여 확산 범위를 제어할 수 있습니다. 그런 다음 종속성 맵을 사용하여 가장 중요한 워크로드부터 정책을 강화할 수 있습니다.

목표는 공격자가 다음에 사용할 모든 IP 주소를 예측하는 것이 아닙니다. 이는 손상된 시스템이 하나의 연결을 통해 더 넓은 범위로 접근을 차단하지 못하도록 하기 위함입니다.

스리바스타바는 이렇게 말했습니다. "급변하는 C2 인프라가 다음에 무엇을 하든 간에, 세분화가 모든 것을 좌우할 것입니다."

빠른 플럭스는 공격자들이 계속 연결되도록 합니다. Illumio는 바이러스 확산을 막습니다.

Schedule a breach containment demo to see how Illumio gives security teams the visibility to detect suspicious workload behavior and the segmentation to stop lateral movement before it becomes a breach.