블로그
Methbot/3ve 봇넷 차단 + DOJ 13건 기소 (2018.11)
발행: 2018-11-27 · 태그: click-fraud, botnet, global, doj-indictment
사실관계
2018년 11월 27일, FBI · Google · WhiteOps (현 HUMAN Security) 가 합동으로 진행한 Operation Eversion 의 결과로 Methbot 과 3ve 두 대형 봇넷의 인프라가 일시 차단됐다. 같은 날 미국 동부지검은 러시아인 6명 + 카자흐스탄인 2명을 wire fraud · computer intrusion · money laundering 등 13건의 혐의로 기소했다.
- 감염 PC
- 1.7M+전세계 사용자 PC 봇넷 가입
- 동원 IP
- 1,900+데이터센터 IP — 가짜 트래픽 출처
- 광고주 피해 추정
- $30M+사상 최대 규모
- 기소 인원
- 8명13건 — wire fraud 등
두 봇넷의 작동 방식
Methbot (먼저 등장) 과 3ve (확장형) 는 디지털 광고 사기의 두 가지 대표 패턴을 결합해 운영됐다:
Methbot — 데이터센터형
3ve — 봇넷형
본 작전은 (1) 두 봇넷의 C2 서버 31대 압수 + (2) 도메인 89개 차단 + (3) 1,300여 광고 거래 채널 차단을 동시에 수행했다.
인용 — Operation Eversion 보고
"3ve was one of the most sophisticated and largest ad fraud operations to-date. By spinning up fake versions of premium publishers' websites and using malware-infected machines to generate the appearance of real users, 3ve generated over 3 to 12 billion daily ad bid requests at its peak."
본 사건의 의의 — 2006 vs 2018
본 사건은 노치트 블로그의 정책/뉴스 라인업에서 2006 Google 클릭사기 합의 의 12년 후속이다. 그 사이 디지털 광고 사기 산업은 다음으로 진화했다:
Google 클릭사기 합의
9000만 달러 합의 — 산업 형성 초기, 단순 클릭 농장 중심데이터센터 봇 + 봇넷 산업화
$25 부터 봇 트래픽 패키지 판매 — 광고 사기 지하 시장 형성Methbot/3ve takedown ← 본 사건
사상 최대 규모 + 첫 합동 takedown + 다국적 기소Google March 2024 + site reputation abuse
검색엔진 차원 자동 단속
핵심은 단순 클릭 농장 (2006) → 데이터센터 봇 (2014) → 봇넷 + 멀웨어 (2018) 으로 진화하면서 적발 + 형사 처벌의 기술적 어려움이 폭증했다는 점이다.
산업적 변형 — 동남아 인력형 vs 봇넷형
같은 시기 (2017) 태국 경찰은 휴대폰 수백 대 + SIM 카드 약 350,000장 을 압수해 WeChat 좋아요·조회수 조작 클릭팜을 적발했지만, 기소 죄목은 출입국 위반 + 무허가 전자제품 + 미등록 SIM 등 간접 죄목 에 한정 됐다. 즉 클릭팜 산업 자체에 대한 직접 단속은 어렵다는 한계가 있었다.
본 작전이 분기점인 이유는, 봇넷형 광고 사기에 대해선 명확한 wire fraud 기소가 가능 하다는 점을 입증했기 때문이다.
사용자에게 주는 함의
이 시점부터 디지털 광고 / 트래픽 분석은 "누가 진짜 사용자인가" 라는 물음의 난이도가 폭증했다. 봇이 정상 사용자 PC 에 숨어들어 광고를 보는 시대다. 노치트도 같은 도전에 직면해 있고, 패턴 분석 + 통계 분석 + 고급 분석 의 다층 신호로 단일 지표 한계를 보완한다.