fast16 악성코드가 드러낸 Stuxnet 이전 ICS 소프트웨어 파괴

ShadowBrokers의 흔적에서 시작된 fast16 추적

2026년 4월 SentinelOne의 SentinelLabs 팀은 Stuxnet보다 앞선 산업 제어 악성코드 fast16을 공개했다. Stuxnet은 2010년 처음 알려졌지만, fast16의 핵심 구성 요소는 2005년까지 거슬러 올라간다. 연구진은 NSA 해킹 도구 유출 자료에 남아 있던 fast16.sys 참조와 “Nothing to see here - carry on”이라는 문구를 추적해 이 프레임워크에 도달했다.

단서는 2016년 ShadowBrokers가 공개한 NSA 공격 도구 묶음의 회피 서명에 포함돼 있었다. 당시에는 fast16.sys가 무엇을 뜻하는지 확인되지 않아 내부 코드명 정도로 받아들여졌다.

연구자들은 Flame, Animal Farm, Project Sauron처럼 Lua와 가상 머신을 이용한 국가 지원 스파이웨어에 주목했다. Lua 기반 악성코드의 계보를 거슬러 올라가던 중 2016년 VirusTotal에 올라온 샘플에서 fast16 문자열을 찾았고, 서비스 바이너리 svcmgmt.exe를 분석했다. 이 바이너리에는 Lua 5.0 가상 머신, 암호화된 바이트코드 컨테이너, Windows NT 파일 시스템·레지스트리·서비스 제어·네트워크 API에 직접 연결되는 모듈이 들어 있었다.

컴파일 타임스탬프와 다른 포렌식 지표를 합쳐 보면, 이 프레임워크의 주요 구성 요소는 2005년부터 존재한 것으로 판단된다. Stuxnet의 최초 변종이 등장한 2009년보다 4년, 공개된 2010년보다 5년 이른 시점이다.

계산 소프트웨어를 겨냥한 공격 체계

fast16은 지속성 확보, 정밀 변조, 내부 확산을 한 흐름으로 묶은 구조를 갖는다.

⤢✕

svcmgmt.exe는 Windows 서비스로 등록돼 재부팅 뒤에도 실행 상태를 유지한다. 서비스 안에 Lua VM을 포함하는 방식은 당시 알려진 Flame 샘플보다 3년 앞선 기법이다. 암호화된 바이트코드 컨테이너는 정적 분석의 난도를 높인다.

실질적인 변조는 fast16.sys 커널 드라이버가 담당한다. 이 드라이버는 다음의 고정밀 엔지니어링·시뮬레이션 소프트웨어를 골라 표적으로 삼는다.

LS-DYNA 970: 충돌 테스트, 구조 해석, 핵 관련 모델링에 쓰이는 유한요소해석(FEA) 소프트웨어다. 이란의 JCPOA 섹션 T 위반 연구에서는 핵무기 개발 관련 컴퓨터 모델링으로 언급된 바 있다.
PKPM: 중국산 건축 구조 해석 소프트웨어다.
MOHID: 수리역학 모델링 플랫폼이다.

드라이버는 실행 중인 해당 소프트웨어의 메모리를 직접 패치해 계산 결과를 바꾼다. 엔지니어가 확인하는 화면의 값은 정상으로 보이지만, 실제 계산 출력은 오염된다.

감염은 한 워크스테이션에 머무르지 않는다. 시설 내부 네트워크에서 같은 소프트웨어를 쓰는 다른 시스템으로 확산되므로, 시설 전체가 변조된 계산 결과에 의존하게 된다. 개별 시스템의 수치 오류를 이상 징후로 분리해내기도 어려워진다.

Stuxnet과 다른 표적, 같은 은닉 원리

fast16과 Stuxnet은 공격 대상과 파괴 방법이 다르지만, 운영자가 알아차리기 전에 물리적 손상이 누적되게 한다는 설계 원리는 공유한다.

항목	fast16 (2005년)	Stuxnet (2009~2010년)
표적	고정밀 계산 소프트웨어 (LS-DYNA, PKPM, MOHID)	Siemens S7 PLC (우라늄 농축 원심분리기)
파괴 방식	메모리 내 계산 결과 조작	PLC 명령 변조로 원심분리기 물리적 파괴
은닉 기법	운영자 화면 정상 표시, 커널 드라이버	SCADA 모니터링 우회, 정상값 위장
스크립트 엔진	Lua 5.0 VM 임베딩	없음 (C/C++ 직접 구현)
전파 방식	내부 네트워크 자가 전파	USB, 네트워크 공유, Siemens Step 7 프로젝트 파일
귀속	NSA(미국) 추정	NSA + 이스라엘 Unit 8200 (Olympic Games)
공개 시점	2026년 4월 (SentinelLabs)	2010년 (Kaspersky, Symantec)

Stuxnet은 PLC 코드를 바꿔 원심분리기를 과속시키는 방식이었다. 반면 fast16은 그보다 상위 계층인 엔지니어링 시뮬레이션 소프트웨어를 오염시켜 설계 오류를 유도한다. 이런 맥락에서 fast16은 Stuxnet의 계보상 조상으로 볼 수 있다.

에어갭 안으로 들어가는 경로

2005년 당시 이란 핵시설은 인터넷과 물리적으로 단절된 에어갭 환경으로 보호받고 있었다. fast16이 이 환경에 어떻게 진입했는지는 공격 경로를 이해하는 핵심 질문이다.

연구자들은 공급망 삽입과 USB, CD-ROM 같은 물리적 매체를 유력한 진입 경로로 지목한다. 이는 이후 Stuxnet이 사용한 전술과도 닮아 있다. Stuxnet은 이란 핵시설의 협력업체와 계약업체를 거쳐 내부로 침투했다.

2025년 기준으로 공급망 공격이 ICS/SCADA에 미치는 영향은 2020~2024년 사이 430% 증가했다. 인터넷에 노출된 ICS 기기는 2024년 대비 40% 늘었고, ICS/SCADA 시스템의 73%는 평균 19년 된 레거시 기술을 사용한다. 패치 적용 자체가 불가능한 환경도 많다.

레거시 SCADA가 안고 있는 문제

fast16이 2005년에 배포될 수 있었던 배경에는 ICS/SCADA 환경 특유의 약점이 있다. 이 문제는 2026년에도 본질적으로 남아 있다.

산업 제어 시스템은 24시간 365일 운영을 전제로 한다. 업데이트가 생산 중단으로 이어질 수 있어 수십 년 된 OS와 애플리케이션을 계속 운영하는 경우가 생긴다. LS-DYNA 970, Windows XP, 구형 Siemens Step 7 같은 소프트웨어가 중요 산업 시설에서 여전히 실행된다.

Modbus, DNP3, IEC 60870-5, PROFINET 같은 산업 프로토콜은 실시간 성능을 우선해 인증, 암호화, 무결성 검증을 갖추지 못한 경우가 있다. 네트워크 접근 권한을 얻으면 명령을 보낼 수 있는 구조다.

에어갭도 절대적인 경계가 아니다. 유지보수 노트북, USB 매체, 엔지니어링 워크스테이션, 원격 진단 포트가 물리적 접점이 된다. Stuxnet과 fast16은 이런 에어갭 신화가 성립하지 않는다는 점을 보여준다.

OT와 IT 사이에 필요한 통제 지점

클라우드 플랫폼, 원격 운영, 실시간 데이터 분석 수요가 늘면서 OT 네트워크는 기업 IT 인프라와 연결되고 있다. 운영 효율은 높아지지만 공격 표면도 넓어진다. fast16 같은 위협을 고려하면 연결 자체보다 연결 지점의 통제 방식이 중요하다.

⤢✕

퍼듀(Purdue) 모델을 기반으로 하면 레벨별 경계를 분명히 두고, 레벨 간 통신을 화이트리스트 방식으로 제한할 수 있다. 직접 통신은 차단하고, DMZ를 통과하는 제어된 데이터 흐름만 허용하는 방식이다.

엔지니어링 데이터를 IT 네트워크로 보낼 때는 물리적으로 단방향 전송만 가능한 데이터 다이오드를 사용할 수 있다. IT 쪽에서 OT로 되돌아오는 침투 경로를 차단하는 목적이다.

OT 프로토콜인 Modbus, PROFINET 등을 이해하는 산업 전용 이상 탐지도 필요하다. fast16처럼 메모리 안의 계산값을 바꾸는 공격은 네트워크 트래픽만 관찰하는 일반 솔루션으로 탐지하기 어렵다.

또한 엔지니어링 워크스테이션에서 실행되는 계산 소프트웨어의 출력값을 독립적으로 검증하는 절차가 필요하다. fast16의 핵심이 메모리 내 계산 결과 조작이라는 점에서 출력값 크로스체크는 중요한 방어 수단이다.

국가 지원 ICS 공격이 남긴 경고

fast16과 Stuxnet은 모두 미국이 개발에 관여한 것으로 강력히 추정되는 무기다. 이는 국가 지원 ICS 공격을 바라보는 맥락이 된다.

러시아의 Sandworm은 우크라이나 전력망 공격, BlackEnergy, Industroyer와 연결된다. 이란의 APT33·APT34, 북한의 Lazarus, 중국의 Volt Typhoon도 ICS 표적 공격 지형에서 언급되는 국가 지원 APT 그룹이다. 이들이 활용하는 전술에는 공급망 침투, 긴 잠복 기간, OT 환경의 레거시 취약점 악용이 포함된다.

fast16은 국가 지원 ICS 공격이 Stuxnet이 알려진 2010년이 아니라 적어도 2005년, 어쩌면 그보다 앞서 실전 배치 수준에 있었음을 시사한다. 알려지지 않은 유사 무기가 지금도 동작하고 있을 가능성은 배제할 수 없다.

CISA는 ICS/SCADA 보안 지침을 계속 발행하고 있으며, Siemens, Schneider Electric, Rockwell Automation을 중심으로 ICS 벤더도 보안 패치와 제품 보안 프로그램을 강화하고 있다. 그럼에도 2025년 기준 CISA가 수백 건의 ICS 취약점 권고문을 발행하고 있다는 사실은 현장의 격차를 보여준다.

fast16은 네트워크 경계만으로 산업 제어 환경을 보호할 수 없다는 사례다. 에어갭은 절대적 보호막이 아니며, 패치하기 어려운 레거시 소프트웨어도 모니터링 대상이어야 한다. 사이버 물리 보안에서 지켜야 할 대상은 네트워크뿐 아니라 계산 결과의 무결성 자체다.