[2025-11-11] BlackIoT: IoT Botnet of High Wattage Devices

🦥 본문

MaDIoT 1.0

최근에 고전력의 wifi를 탑재한 가전 제품들(IoT)들이 많이 출시. 에어컨, 온수기, 오븐, 히터 등.. 그리고 미래에는 더욱 많아질 예정. 그들은 Amazon Echo [1] 또는 Google Home [4]과 같은 홈 어시스턴트를 사용하여 원격 또는 자동으로 제어될 수 있음

고전력 가전제품을 원격으로 제어하여 전력 수요를 조작하여 총 전력망의 정상적인 작동을 방해

전압이 붕괴되면 부하 차단(일부 정전 발생)을 수행해야 함

• 공격 종류
  1. 주파수 불안정을 초래하는 공격

  많은 고전력 IoT 장치를 동기적으로 켜거나 꺼서 공급과 수요 사이의 불균형을 발생 → 시스템의 주파수를 급격하게 떨어트림. 불균형이 임계치를 초과하면 주파수가 발전기 트립을 유발하는 임계갑에 도달하여 블랙아웃을 일으킬 수 있음

  시뮬레이션 결과 총 수요의 30%. 해당 지역내 9만대의 에어컨이나 만팔천대의 전기 온수기에 접근하면 블랙아웃

  • 주파수 : 발전기의 회전 속도. 수요가 공급 보다 커지면 속도가 감속 → 주파수 떨어짐
    1. 블랙 스타트 방해

  블랙아웃이 발생하면 시스템을 재시작해야 하는 데 블랙 스타트라고 함. 블랙 스타트 시점에는 수요를 알 수 없어서 전체 그리드를 동시에 재시작하면 다시 주파수 불안정과 시스템 실패를 초래. 운영자는 섬단위로 시작함.

  섬 단위로 시작해서 관성은 낮아져 수요 변화에 취약. 공격자가 섬의 수요를 증가시키면 블랙 스타트를 방해

1. 선로 고장 → 연쇄 고장

   불균형이 크지 않으면 1차 제어기에 의해 주파수 안정화. 전력망에서 전력이 전송 되는 방식인 전력 흐름은 키르히호프의 법칙에 의해 1차 제어기의 응답 이후에는 통제할 수 없음. 따라서 수요의 작은 증가도 선로 과부화와 고장을 초래. 이러한 초기 선로 고장은 추가적인 선로 고장을 유발하여 연쇄 고장을 일으킴

   예를 들어 여름 피크 기간 동안 폴란드 전력망에서 수요가 1% 증가하는 것만으로도 선로고장과 86% 정전을 일으킴

   선로 고장은 전압 붕괴를 일으켜 부하 차단을 강행

   여름 피크 기간 동안 온도 설정 값을 낮추는 것과 다른 고전력 가전제품을 작동시키는 것을 결합하여 수요 증가량 달성

   • 지역 불균형

     일부 지역은 늘리고 일부 지역은 줄여서 수요를 재분배

     • 같은 지역일 경우 : 주파수 교란을 일으키지 않고 은밀하게 선로 고장
     • 다른 지역일 경우 : 독립시스템 운영자 간의 고용량 연계선이 과부하되어 트립

2. 운영 비용을 증가시키는 공격

   수요가 일일 예측치를 넘어가면 예비 발전기와 같은 보조 서비스로부터 추가 전력을 구매해야 하는 데 비쌈. → 전력 시장에서 특정 전력 회사의 이익을 일으킬 수 있ㅇ므

• 어려움과 의의
  1. 탐지 및 차단의 어려움 : 분산된 특성으로 전력망 운영자가 탐지하고 연결을 끊기가 힘듦. 가정에서는 변화가 일시적이며 자동 온도 제어의 일부로 간주될 수 있기 때문에 공격을 알아차리기 어려울 수 있음
  2. 용이한 반복 및 블랙 박스 특성 : 공격의 반복이 쉽고 전력망의 운영 세부 사항을 알 필요가 없기 때문에 블랙박스
  3. 방어 준비 부족 : 아직 그리드 운영자가 대비하는 비상 상황 목록에 포함되지 않음. 기존의 비상 상황에서 예측하는 시나리오와는 MadIoT 공격으로 발생하는 시나리오는 다름
• 실험을 통해서 공격 효과 입증
• 대응책
  • 전력량 측면 : MadIoT에 대한 연구 추진 → 위험 규모 정확히 파악. 회전 예비력 및 선로 여유 용량을 확보
  • IoT 측면 : 해당 장치에 접근하거나 장치를 제어하는 휴대폰, 온도 조절기에 접근하거나 디지털홈 어시스턴트 장치에 접근하여 공격 가능 → 홈 네트워크 내 모든 장치를 일관된 보안 조치가 필요. 취약성 연구
• 한계
  1. 특정 지리적 위치에 있는 많은 봇을 감염시키기 힘듦
  2. 고전력 IoT 장치이 최대 용량에 도달하는 데 10초 정도가 걸리는 데 갑작스러운 수요 증가에 따른 주파수 하락이 힘들 수 있음

MaDIoT 2.0

이전 방식은 전부 아니면 전무 방식. 이러한 방식은 공격을 전력 시스템 전체에 균등하고 무작위적으로 분산. → 특정 지리적 위치의 장치들을 신중하게 켜서 체계적으로 표적화. → 전압 안정성지표를 살펴본 다음, 안정성 관점에서 시스템이 더 취약한 지리적 영역을 표적으로

• 이전 방식의 한계
  • 낮은 성공률 : 다양한 봇넷 규모에 대한 MaDIoT 1.0의 낮은 성공률. 공격 이후 전력망의 안정성을 복구
  • 조기 감지 위험 : 소비자가 장치 오작동을 보고하거나 전력 회사가 이러한 이상 징후 발견
• MaDIoT의 원리
  • 최적 위치 탐색 : 시뮬레이션을 통해 세 개의 노드에서 그리드를 공격하는 게 좋은 결과
• 효과적인 이유
  1. 원거리 발전기의 비효율성 : 장거리 손전선은 전력 손실로 조금만한 에너지 부족에도 많은 발전량을 늘려야 함 → 고장
  2. 연쇄 고장 : 지속적인 전력 부족이 고장으로 남아 그리드 전체에 연쇄적인 정전 유발
  3. UFLS : 중앙 시스템 보호 방안은 저주파수 부하 차단. 그리드 부하의 일부를 균등하게 차단하는 경향이 있음. UFLS가 시스템 전체의 부하를 균등하게 감소시키기 때문에 문제 해결에 실패 → 광범위한 정전이 불가피
• 공격 위치 선택
  • 전압 안정 상황을 계산하여 불안전성에 가까운 노드들을 선택하여 공격 개시
  • 이 세 노드를 선택하여 그리드 정전을 일으킬 수 있냐?

• 개요

  일단 정찰, 피싱 또는 도구 등을 통해 그리드의 그래프 획득. 각 전령망에 대해 한 번만 수행.

  • 동작 흐름 (온라인 단계)

    1. 전력망에 대한 기본 정보 획득

       전력망 상태에 대한 실시간 정보 획득. ISO 웹사이트나 블룸버그 터미널 같은 주식 거래 도구를 통해 공개적으로 이용 가능 → 거래자와 시장 참여자들이 기본 시스템의 변화를 모니터링하고 시장 입찰가를 신속하게 조정하여 최대 이익을 얻을 수 있도록 공개적으로 제공. 노드에서의 발전량과 소비량을 파악하고 그리드의 안정성 여유를 추정

    2. 해커가 데이터를 분석하여 공격을 개시할 적절한 시간과 장소를 찾아냄