공장에서 딸려 나온 관리자 계정 하나 — Tenda 라우터에 숨은 백도어를 집에서 찾아내는 방법

이미지 출처: The Hacker News

공유기를 처음 설치할 때 우리가 정하는 건 보통 와이파이 비밀번호 하나뿐이다. 그런데 그 아래, 사용자가 만든 적도 없고 지운 적도 없는 계정이 이미 하나 켜져 있었다면 어떨까. 이번에 CERT/CC가 경고한 Tenda 라우터 펌웨어 문제가 정확히 그 이야기임. 사용자가 아무리 비밀번호를 강하게 바꿔도, 제조사가 펌웨어에 심어둔 '숨은 관리자' 통로는 그대로 남아 있는 구조라는 점에서 성격이 좀 다름.

핵심 요약

• Tenda 일부 라우터 펌웨어에 사용자가 만들지 않은 관리자 성격의 숨은 접근 통로가 존재한다는 CERT/CC 경고가 나옴.
• 이런 하드코딩된 계정·서비스는 비밀번호 변경으로 막히지 않아, 원격관리·불필요한 포트를 끄는 '노출 차단'이 1차 방어임.
• 집에서도 관리자 페이지 점검, 열린 포트 확인, 펌웨어 갱신, 최악의 경우 기기 교체까지 순서대로 대응 가능함.

'백도어'가 왜 특별히 성가신가

보통의 취약점은 특정 버그를 고치면 끝난다. 반면 펌웨어에 박혀 있는 계정이나 몰래 열린 관리 서비스는, 사용자가 손댈 수 있는 영역 바깥에 있음. 즉 내가 설정 화면에서 비밀번호를 아무리 복잡하게 바꿔도 그 통로 자체는 코드 안에 그대로 존재함. 공격자 입장에선 굳이 비밀번호를 깨지 않아도 되는, 이미 열려 있는 뒷문인 셈임.

여기서 오해 하나만 짚고 감. '백도어'라고 하면 대단한 해킹 도구를 떠올리기 쉬운데, 실제로는 이렇게 디버깅·A/S용으로 남겨둔 관리 계정이나 텔넷 서비스가 출고 상태에 그대로 붙어 나오는 경우가 대부분임. 악의라기보단 방치에 가깝지만, 결과적으로는 남의 집 공유기에 들어갈 열쇠가 뿌려진 것과 같음.

내 공유기가 위험군인지 먼저 가려내기

공격 재현은 필요 없음. 방어자에게 필요한 건 '내 기기가 노출돼 있는가'를 확인하는 눈임. 순서대로 보자.

• 제조사·모델명 확인: 기기 바닥 스티커나 관리 페이지에서 Tenda 여부와 정확한 모델을 적어둠. 같은 브랜드라도 모델·펌웨어에 따라 영향 범위가 다르므로 모델명이 출발점임.
• 펌웨어 버전 기록: 관리 화면의 시스템 정보에서 현재 버전을 메모함. 제조사 공지나 CERT/CC 권고에 나온 대상 버전과 대조하기 위함임.
• 원격관리(Remote Management) 상태: 이 항목이 켜져 있으면 인터넷 쪽에서 관리 페이지에 접근 가능하다는 뜻이라 위험이 몇 배로 뜀. 대부분의 가정은 이걸 꺼두면 됨.

열린 문이 있는지 실제로 들여다보기

조금 더 손을 쓸 수 있다면, 내 공유기가 바깥으로 어떤 포트를 열어두고 있는지 스캔해보는 게 가장 확실함. 개념만 말하면, 같은 네트워크 안의 PC에서 공유기 IP를 대상으로 포트 상태를 조회하는 것임. 흔히 문제되는 건 관리용으로 열려 있는 텔넷(23), 웹 관리(80/443), 그리고 정체 모를 고포트임.

• 텔넷 같은 평문 관리 서비스가 열려 있다면, 그 자체로 점검 1순위임. 요즘 가정용 기기에서 텔넷이 켜져 있을 이유는 거의 없음.
• 내부에서 봤을 때 열려 있는 포트가 바깥(WAN)에서도 열려 있는지가 진짜 관건임. 외부 노출 여부는 통신사 공유기·이중 NAT 환경에 따라 다르니, 원격관리를 끄는 것으로 대부분 덮을 수 있음.
• 평소와 다른 트래픽, 관리자도 모르는 접속 로그가 남아 있는지도 함께 봄. 로그가 있는 기기라면 낯선 IP의 관리 접근이 탐지 신호임.

그래서 오늘 뭘 하면 되나

정리하면 대응은 '노출을 줄이고, 통로를 끊고, 기기를 갱신'하는 세 축임.

• 원격관리·UPnP·불필요한 포트포워딩 끄기: 하드코딩된 통로가 있어도 바깥에서 닿을 수 없으면 실질 위험이 크게 줄어듦. 이게 가장 비용 없이 효과 큰 조치임.
• 펌웨어 최신화: 제조사가 대상 모델의 패치를 내놓았는지 확인하고 적용함. 다만 이런 구조적 백도어는 패치가 늦거나 안 나오는 경우도 있어, 갱신만 믿지 말고 노출 차단을 병행함.
• 관리자 비밀번호·계정 재점검: 근본 해결은 아니어도 기본 위생임. 내가 모르는 계정이 목록에 보이면 그 자체가 경고임.
• 네트워크 분리: IoT·게스트용 와이파이를 따로 두어, 공유기가 뚫려도 집 안 다른 기기로 옮겨가기 어렵게 만듦.
• 최후엔 교체: 지원이 끝났거나 패치가 없는 모델이라면, 오래 붙들고 있는 것보다 교체가 답일 때가 많음. 개인적으로는 지원 종료된 공유기를 계속 쓰느니 검증된 최신 기기로 바꾸는 쪽을 추천함.

공유기는 한번 설치하면 몇 년을 잊고 지내는 물건이라, 이런 소식이 나올 때가 사실상 유일한 점검 타이밍임. 오늘 딱 10분만 내서 관리 페이지 열어 원격관리 상태랑 펌웨어 버전만 확인해봐도, 남의 집 뒷문이 열려 있는 채로 방치되는 상황은 피할 수 있음. 확인해보고 낯선 계정이나 켜진 텔넷을 발견했다면 댓글로 남겨주면 같이 대응 순서를 잡아보자.