안철수연구소, “악성코드 자기 방어 갈수록 교묘해진다”

뉴스 제공

2005-10-18 10:15

서울--(뉴스와이어)--국내 최대 정보보안 기업인 안철수연구소(대표 김철수 www.ahnlab.com)는 최근 올해 3분기 악성코드/스파이웨어 동향을 분석하고, 각종 교묘하고 다양한 장치로 끈질긴 생존력을 키워가고 있는 최근 악성코드 추세의 심각성을 경고했다.

안철수연구소 시큐리티대응센터(ASEC)의 분석에 따르면 2분기에 이어 3분기에도 온라인 게임 사용자 계정을 탈취하는 트로이목마가 맹위를 떨쳤다. 한편 스파이웨어는 은폐형 스파이웨어가 늘고 정상적인 프로그램을 악용하는 형태도 급증했다. 9월에는 심비안 OS용 악성코드가 세 개나 발견돼 모바일 보안 문제가 점차 가까이 다가오고 있음을 예고했다.

자기 방어 기능의 경우 이제까지 은폐 기법을 쓰거나 보안 프로그램 실행 및 보안 사이트 접속을 막아 치료를 방해하는 형태가 있었지만 이번 3분기에는 더욱 다양하고 지능적인 기법이 적용된 한편 그 수도 대폭 늘었다는 게 특징이다.

이것은 크게 세 가지 유형으로 나눌 수 있다.

* 설치 후 다른 트로이목마 내려받는 트로이목마

기존 트로이목마는 한 번 설치되어 백도어, 키보드 입력 값 유출 등을 하고 백신으로 삭제하면 없어졌다. 그러나 최근에는 일단 설치되면 특정 호스트에 접속해 다른 트로이목마를 내려받는다. 이런 종류를 특히 ‘다운로더’라고 하는데, 3분기에 전체 트로이목마 중 10%를 차지한다. 베이글 웜 변종 가운데도 메일로 다운로더 트로이목마를 첨부해 전파하는 것이 있다. 이 트로이목마가 설치되면 보안 사이트에 접속할 수 없어 해킹에 무방비 상태가 된다. 실행 압축 툴을 변형하거나 압축 알고리즘을 변형하기도 해 백신의 진단을 어렵게 하기도 한다. 사용자는 항상 새 대응 기술이 적용된 최신 버전의 백신을 사용하는 것이 안전하다.

* IRC 서버에 접속해 원격 지시 받는 ‘악성IRC봇 웜’

악성IRC봇 웜은 외부의 특정 IRC(Internet Relay Chatting; 일종의 채팅 서비스) 서버와 접속해서 웜 제작자로 추정되는 사람의 원격 명령에 따라 웜 유포 등의 악의적인 행위를 하는 웜의 통칭이다. 이 웜은 제작자들이 커뮤니티를 통해 소스를 교환하고 조직적으로 변형을 양산하고 있어 폭발적으로 증가했다. 3분기 전체 신종 웜 중 66%를 차지하며 피해 신고 상위에 있는 마이톱 변종이 가장 대표적이다. 악성IRC봇 웜의 피해를 줄이려면 보안 패치에 신경을 쓰고 로그인 암호를 복잡하게 설정하는 등의 대책이 필요하다.

* 반복적인 재실행으로 끊임없이 재생되는 웜, 트로이목마

다양한 방법으로 재실행함으로써 재생되는 웜이나 악성코드도 적지 않다. 우선 IRCBot.48600 웜의 경우 설치되면 ‘Win32AutoDrivers’라는 서비스가 자동 실행되는데, 작동 상황을 중단할 수 없도록 ‘중지’ 버튼을 비활성화한다. 또한 짧은 시간 내에 프로세스 시작과 종료를 반복해 종료할 수 있는 시간적 여유를 주지 않는 경우도 있으며, 자신 외에 다른 프로세스를 만들어 둘 중 하나를 강제 종료하면 다른 하나가 이를 감지해 종료된 프로세스를 재실행하도록 하는 경우도 있다. 이렇게 자기 방어 기능을 갖고 있는 악성코드에 대응하기 위해 백신 기술도 지속적으로 발전하고 있다.

한편 온라인 게임 사용자 계정을 탈취하는 트로이목마의 경우 7월과 8월에는 관련 트로이목마 네 개가 피해 신고 순위 3~6위에 오르기도 했다. 이는 보안에 취약한 웹사이트를 해킹해 트로이목마를 심은 후 해당 페이지에 접속하는 PC에 트로이목마가 설치되게 했다. 해킹 당한 웹사이트는 뉴스나 음원 제공 사이트, 공공기관 사이트 등 다양하며, 대부분 보안 패치가 되어 있으나 웹 애플리케이션 버그 때문에 해킹을 당한 것으로 추정된다. 웹 관리자는 애플리케이션의 보안 감사를 통해 취약한 부분이 없는지 미리 점검할 필요가 있으며, PC 사용자는 보안 패치 적용과 보안 제품 사용으로 정보 유출을 막아야 한다.

스파이웨어의 경우 여전히 일반 악성코드보다 5배 가까운 신종이 발견됐다.

안티스파이웨어 제품이 진단하기 어렵게 은폐 기법을 사용하는 스파이웨어가 늘고 있으며 툴바.엘리트바(ToolBar.EliteBar)의 경우 피해가 많았다.

스타페이지.30720(StarPage.30720)의 경우 유명 검색 엔진에서 검색하면 엉뚱한 페이지로 연결되게 하는데, 이런 유형이 증가하고 있다.

한편 국내에서는 아직 피해가 발생하지 않았지만 외국에서는 둠부트(Doomboot), 카드트랩(Cardtrap), 카드블록(Cardblock) 등 심비안 OS(운영체계)용 모바일 악성코드가 꾸준히 등장하고 있다. 특히 3분기에는 전파 수단이 기존 블루투스에서 MMS(Multimedia Messaging Service)로 이동한 경우가 보다 많아졌으며 휴대전화와 연결되는 다른 OS나 시스템도 감염시키는 악성코드도 증가해 새로운 국면으로 접어들었다.

안철수연구소 시큐리티대응센터 강은성 상무는 "악성코드와 스파이웨어는 피해를 유발하는 기능이 악성화할 뿐 아니라 자기 방어 기법도 갈수록 지능화하고 있다.

이에 대응하는 기술이 발전하고 있는 만큼 사용자의 보안 의식도 성숙해져야 한다. 항상 최신 기술이 적용된 보안 제품을 사용하는 등 지속적인 관심과 관리가 필요하다."라고 강조했다.

안랩 개요
안랩(www.ahnlab.com)은 1995년 3월 창립된 소프트웨어 기업으로서 세계적 수준의 보안 기술력과 전문적인 소프트웨어 제품 및 서비스 역량을 갖춘 신뢰도 높은 기업이다. 설립 이래 꾸준히 성장해 2012년에 국내 패키지 소프트웨어 업계 최초로 매출 1000억을 돌파하는 성과를 거둔 바 있다. 세계적으로 정보보안 시장이 형성되기 시작한 1988년부터 쌓은 정보보안 노하우를 기반으로 시장을 개척해왔으며, 국내 보안 업체 중 유일하게 5대 국제 인증을 모두 획득해 글로벌 기업들과 대등한 기술력으로 경쟁하고 있다. 네트워크 및 엔드포인트 보안 솔루션, 보안 컨설팅, 보안 관제 등 최신 보안 위협에 다층적인 해법을 제공한다. 지능형 지속 위협(APT)에 대응하는 트러스와처, 디도스 등 네트워크 침입을 탐지/차단하는 트러스가드, 모바일 및 PC용 악성코드를 진단/치료하는 V3가 대표적 제품군이다.

웹사이트: http://www.ahnlab.com