딜라이트닷넷

악성코드

PC 부팅 오작동 유발하는 악성코드 분석과 조치방법

이유지의 안전한 네트워크 세상 09.10.16 15:01

PC 부팅장애를 일으키는 악성코드가 등장해, 국내에서도 피해가 보고되고 있다고 합니다. (관련기사 컴퓨터 부팅장애 일으키는 악성코드 주의) 컴퓨터 재부팅시 검은 화면이 나타나고 이 상태가 지속되면 악성코드 감염을 의심해봐야 합니다. (감염 후 안전모드 부팅 시 [안전모드] 글귀만 뜨고 검은 화면 상태가 지속되는 것을 확인할 수 있다. 사진제공- 하우리) 다음은 잉카인터넷 시큐리티대응센터의 분석자료 내용입니다. - 악성코드가 작동되어 감염이 이루어지면 다음과 같은 레지스트리 값을 생성하게 되는데, 이 과정에서 설치된 또 다른 악성 파일이 정상적으로 로딩되지 못하면서 발생하는 부작용 현상이다. 악성코드가 생성한 레지스트리 값 중 데이터 부분은 악성코드가 감염될 때마다 Random 파일명과 확장자 등을 이용해 생성하기 때문에 감염된 컴퓨터마다 조금 씩 다른 값들이 포함되어 있을 수 있다. 이러한 악성코드 감염에 의해서 정상적인 부팅 진행이 이루어지지 못할 경우에는 다음과 같은 응급 수동 조치 방법을 통해서 해결할 수 있으며, 증상이 발생하기 이전 시점인 재부팅 전에 해당 악성코드나 레지스트리 값을 제거하면 비정상적인 부팅 현상의 발생을 사전에 해결할 수 있다. ※ 응급 수동 조치 방법 악성코드 감염 후 재부팅을 시도해 시스템이 정상적으로 시작되지 못하는 경우 다음과 같이 진행한다. 1. 다른 정상 컴퓨터에 감염된 하드 디스크(HDD)를 슬래이브(Slave)로 연결하고, 최신 '엔프로텍트 안티바이러스' 제품으로 전체 검사를 수행하며, 탐지되는 모든 악성코드를 치료 또는 제거한다. 2. 다음과 같이 레지스트리 편집기를 이용해 악성코드가 생성한 비정상적인 레지스트리 값을 제거하는 과정을 진행한다. 반드시 감염된 하드 디스크(HDD)가 슬래이브로 연결된 상태여야 한다. ⓐ 정상적으로 부팅된 컴퓨터에서 레지스트리 편집기를 실행한다. (시작버튼 ▶ 실행 ▶ regedit.exe) ⓑ 레지스트리 편집기 화면에서 HKEY_LOCAL_MACHINE 값을 선택한다. ⓒ 파일(F)메뉴에서 하이브 로드(L)를 선택한다. ⓓ 슬래이브로 연결한 감염 디스크 시스템 하위 경로의 config 폴더에서 software 파일을 선택 후 열기를 한다. ⓔ 키 이름에 임시로 정한 이름을 입력한다. ⓕ HKEY_LOCAL_MACHINE임시 생성 키 이름MicrosoftWindows NTCurrentVersionDriver32 경로에서 midi9 값을 삭제한다. ⓖ (HKEY_LOCAL_MACHINE임시 생성 키 이름)을 선택하고 파일(F) 메뉴 -> 하이브 언로드(U)를 선택한다. ⓗ 슬래이브로 연결했던 하드 디스크를 감염되었던 컴퓨터에 다시 마스터로 부착한 후 재부팅하여, 정상적으로 부팅이 이루어지는지 확인한다. 하우리는 전용백신을 개발해 현재 배포하고 있습니다. * 부팅장애 전용백신 [Trojan.Win32.Delf.* 전용백신] http://www.hauri.co.kr/customer/download/vaccine_view.html?uid=70&page=1&keyfield=&key= * 하우리 보안대응센터 보안공지 참고 http://www.hauri.co.kr/customer/security/alert_view.html?intSeq=21&page=1 댓글 쓰기

'진짜' 노턴 백신일까요?

이유지의 안전한 네트워크 세상 09.10.21 18:20

어떻게 생각하십니까? 화면 인터페이스나 색깔, 디자인이 전세계에서 가장 많이 사용되는 시만텍의 백신 '노턴'과 아주 유사하게 제작돼 있습니다. 그런데 엄연한 사기 백신입니다. 실제로 악성코드는 잡지 못하면서 거짓으로 사용자들에게 치료를 명목으로 돈을 받기 위해 제작된 가짜 백신입니다. 이같은 가짜 백신 프로그램은 보통 ‘당신의 컴퓨터가 감염됐습니다’ 등과 같은 거짓문구로 사용자 불안심리를 자극하고, 컴퓨터에 설치·검사토록 돈을 내고 치료하도록 유도합니다. 돈만 빼내는 것이 아니라 개인정보를 빼내고, 오히려 사용자 컴퓨터에 악성코드를 설치하기도 한답니다. 우리나라에서도 몇년 전 '스파이웨어'나 '애드웨어'와 같은 악성코드 치료 프로그램들이 범람했습니다. 바이러스, 스파이웨어 등 악성코드 감염 문제가 커지면서 사용자들이 검사는 무료이지만 치료는 유료로 하는 악성코드 제거 프로그램들을 찾고 쓰기 때문에 이러한 프로그램이 인기를 끌었지요. 그런데 실제 큰 위험성이 없거나 악성코드가 아닌 것을 검사결과에 보여주면서 돈을 내고 치료하도록 해 많은 금전적인 피해를 입은 사례가 빈번하게 나타났었습니다. 급기야 당시 정보통신부가 나섰지요. 시중에 유통되는 악성코드 제거 프로그램의 성능을 테스트해 상위 제품들을 공개함으로써 사용자들이 안전한 제품을 믿고 쓸 수 있도록 가이드를 하고 있습니다. 이 일을 지금은 방송통신위원회가 하고 있는데요, 최근 발표된 결과에 대한 기사를 참고하세요. ( ‘치료율 제로’ 악성코드 제거 프로그램 82종) 최근 글로벌 보안업체인 시만텍이 최근 전세계에서 활동하고 있는 상위 50개 가짜 백신 프로그램의 기법과 특징을 분석한 의미있는 보고서를 발표했습니다. 한국에서는 21일 발표됐습니다. 가짜 보안 소프트웨어의 현황과 위험성을 분석한 보고서로는 최초라네요. 관심 있는 분은 보고서를 다운로드해 살펴보십시오. 그런데 영문입니다. (http://eval.symantec.com/mktginfo/enterprise/white_papers/b-symc_report_on_rogue_security_software_WP_20016952.en-us.pdf) 이 보고서의 주요 내용은 기사로 썼습니다. 참고하세요.   “가짜백신 사기 심각…연 250개 활동” 보고서에 따르면 2008년 7월부터 2009년 6월까지 1년 동안 250개의 가짜 백신 프로그램을 발견했다고 합니다. 가장 많이 발견된 상위 10개의 가짜 백신입니다. 이같은 이름의 백신 프로그램을 사용해야 한다고 현혹하는 문구를 검색사이트 등 인터넷에서 본다면 가차없이 무시해야 합니다. 컴퓨터에 설치돼 있다면 바로 삭제하세요. 그리고 시만텍은 유투브에도 가짜 백신이 사용자를 속이고 설치를 유도하는 것을 찍은 동영상을 올려놨습니다. 재미있습니다. 한번 보세요. (동영상) 시만텍은 가짜 백신 사기를 예방하기 위한 사용자 보안수칙도 발표했습니다.   ? 보안 소프트웨어는 신뢰할 수 있는 보안 제공업체가 기존 온·오프라인 매장을 통해 판매하는 검증된 제품인지 확인하고, 설치한다. ? 네트워크의 엔드포인트 보안을 위한 솔루션이나 통합 PC보안 제품을 설치한다. ? 의심이 가는 이메일에 첨부된 링크를 직접 클릭하는 것을 삼가고, 잘 알려진 신뢰할 수 있는 웹사이트 URL을 직접 브라우저에 입력해 들어가는 습관을 갖는다. ? 예상하지 않았던 이메일 첨부파일은 절대 열어보거나 실행하지 않는다. 본인 이메일 주소로 직접 온 메일이 아닌 경우 의심하는 것이 필요하다. ? 합법적인 팝업 창이나 배너광고를 가장한 광고에 주의한다. 종종 사이버범죄자들은 웹 브라우저에 표시된 에러메시지를 이용해 사용자들을 속이고 가짜 소프트웨어 설치를 유도한다. 지능적인 가짜 백신 사기에 당하는 일이 없도록 모두 조심하세요!  댓글 쓰기

유행하는 악성코드는 나라, 지역마다 다르다

이유지의 안전한 네트워크 세상 09.12.14 15:35

인터넷을 통해 열린 사이버 세상은 ‘지구촌’이라는 말을 실감할 수 있습니다. 제가 미국에 있거나 한국에 있거나 어떤 동영상이 유투브(YouTube)에 올려져 있건 아프리카(Afreeca) 사이트에 있건 관계없이 어디서든 같은 시간대에 똑같이 이용할 수 있습니다. 그런데 나라와 국가마다 사용자를 감염시키는 악성코드(위협) 위협 유형은 큰 차이가 있습니다. 이를 ‘악성코드의 국지적인 성향’이라고들 표현하지요? 최근 이같은 경향이 아주 뚜렷하게 드러나는 보고서가 나왔습니다. 마이크로소프트가 반기마다 발표하는 최신 보안 리포트(SIR, Security Intelligence Report) 7호입니다. 아래 그림을 한 번 보시죠. 미국, 영국, 프랑스, 이탈리아에서 가장 큰 위협은 트로이목마입니다. 중국은 사용자 동의 없이 설치된 소프트웨어, 브라질은 암호 도용 및 모니터링 도구, 한국은 웜이 가장 많은 감염률을 보였습니다. 이같은 성향이 나타나는 이유는 악성코드 제작자들이 은밀하게 개인정보나 온라인 게임 계정 도용해 금전을 탈취하려는 등 자신이 이루고자 하는 목적을 달성하기 위해서 이용하기 때문이라고 전문가들은 분석합니다. 눈에 띄지 않으려고 소셜 엔지니어링 기법을 이용하는 악성코드 생태계의 변화를 이 보고서에서도 언급하고 있습니다. 마이크로소프트는 악성코드 확산과 그 효과는 언어와 문화적 요인에 더욱 의존적으로 전환되고 있다고 분석합니다. 특정 언어를 사용하는 사람들을 대상으로 제작되거나 지리적으로 가까운 위치에 있는 특정 지역에서 서비스하는 사람들을 대상으로 만들어졌기 때문입니다. 같은 언어를 쓰는 미국과 영국, 지리적으로 가까운 프랑스와 이탈리아는 대두되는 위협유형이 유사합니다. 미국과 영국, 프랑스, 이탈리아는 트로이목마가 가장 큰 위협이었지만, 그 중에서 미국과 영국에서는 Win32/Alureon과 Win32/Vundo에 의한 피해가 가장 많았다고 보고됐습니다. 프랑스와 이탈리아는 최고의 위협이 트로이목마류의 Win32/Wintrim이었습니다. 서유럽에서 가장 유행했던 악성코드입니다. 중국에서는 사용자 동의 없이 설치되는 원치않는 소프트웨어 문제가 가장 심각합니다. 악성코드는 중국 웹브라우저 위협인 Win32/BaiduSobar와 온라인게임 사용자 비밀번호 탈취를 목적으로 하는 Win32/Lolyda와 Win32/Frethog가 상위 위협 리스트에 올랐습니다. 브라질에서는 온라인 뱅킹 사용자 비밀번호를 탈취하는 Win32/Bancos가 가장유행했습니다. 스페인과 한국은 웜이 가장 위협적이었네요. 한국은 온라인게임 사용자를 타깃으로 한 Win32/Taterf 감염률이 가장 많았습니다. 이 웜은 올해 내내 이슈가 됐던 Conficker에 이어 전세계적으로 많은 피해를 입혔던 웜인데요. 이상하게 전 이 웜의 이름이 익숙하지 않네요. 많은 피해를 입혔다면 왜 국내 보안업체들이나 기관에서도 경고를 했을 법한데, 오히려 Conficker에 대한 이야기만 주를 이뤘었던 것으로 기억합니다. 이 웜은 세번째 순위에 랭크돼 있습니다. 마이크로소프트 분석과 실제 국내에서 접수되는 피해신고 현황은 다른 걸까요? 의문입니다. 여하튼, 이 보고서에서 한국에서 가장 많은 사용자를 감염시킨 것으로 집계된 Taterf 웜은 온라인게임 사용자를 타깃으로 하고 있고, PC방(인터넷 카페)과 온라인 게임방에서 확산돼 많이 퍼진 것으로 분석하고 있습니다. 악성코드 감염률이 가장 높은 곳은 전세계 46개 주요국 중 브라질이 1위입니다. 스페인이 2위, 한국이 3위에 올랐습니다. 212개국 중에서는 나우루, 세르비아앤몬테네그로, 중앙아프리카공화국, 터키, 차드, 브라질, 기니비사우, 바누아투, 스페인 순이고, 한국은 10위입니다. 이와 관련된 현황은 기사(악성코드 감염률, 한국이 46개국 중 3위)로 썼으니, 관심있는 분은 살펴보시면 됩니다. 전세계 PC 소프트웨어(운영체제와 응용프로그램) 중에서 가장 많은 사용자를 보유하고 있는 윈도만큼 공격 타깃이 되는 프로그램도 없지요. 그래서 SIR에서 제공되는 통계는 눈여겨 볼만한 의미가 있습니다. 악성코드, 스팸, 피싱사이트까지 모든 위협과 마이크로소프트 등이 개발한 소프트웨어 제품의 취약점을 이용해 제작된 익스플로잇, 소프트웨어 취약점 등의 경향과 통계, 각국의 사례까지 광범위하고 구체적으로 다루고 있습니다. 마이크로소프트가 강조하고 싶을 것 같은 내용도 담겨 있습니다. 윈도 비스타 64비트와 같은 최신 윈도 운영체제일수록 악성코드 감염률이 현저히 감소하고 있는 것을 보여주는 수치입니다. 보안이 크게 강화된 윈도 비스타 SP1의 감염률은 윈도 XP SP3보다 61.9% 낮고, 윈도 XP RTM 보다 83.5%나 떨어진 것으로 보고되고 있습니다. 취약점을 이용해 공격하는 (브라우저 기반) 익스플로이트도 윈도 XP 기반 컴퓨터에서는 전체 취약점의 56.4%, 비스타 기반 컴퓨터는 15.5%를 차지해 떨어졌네요. SIR 보고서 다운로드 링크입니다. 전문을 보시려면 영문으로 작성돼 있는 보고서를 다운하시면 됩니다. 한국어 버전은 짧은 요약본만 제공되고 있어 아쉽네요. 댓글 쓰기

하우리가 뽑은 ‘올해의 악성코드 10선(選)’

이유지의 안전한 네트워크 세상 09.12.23 10:42

2009년을 마감해야 할 시점이 점점 눈앞에 다가오고 있다보니, 최근 보안업계에도 올 한 해 이슈화된 보안위협이나 굵직한 사건을 뒤돌아보는 자료가 풍년을 이루고 있습니다. 백신업체인 하우리도 오늘 비슷한 자료를 발표했는데요, 제목은 ‘2009년 악성코드 동향으로 살펴보는 유형별 특징’입니다. 올해 내내 수많은 컴퓨터 사용자들을 가장 괴롭혔던 10개의 악성코드를 뽑은 자료인데요, 보안 팁(TiP)까지 제시하고 있어 유용할 것으로 생각됩니다. 종류가 많아 헷갈릴 수 있는 악성코드 유형과 특징, 하우리가 붙이는 악성코드 명명법도 덤으로 제공했습니다. 이 기회에 말썽을 일으키고 때론 큰 피해를 주는 악성코드에 대한 이해를 높여보시는 것도 좋겠다는 생각에 올려봤습니다. 2009년은 Conficker, Waledac, IRCBot, NateOn, DDoS-Agent, Joker, Clampi, Delf, Zbot, SecurityTool 등 다양한 악성코드 및 지속적인 변종바이러스의 출현으로 인해 PC사용자들이 백신 소프트웨어의 필요성을 몸소 체감할 수 있었던 한 해로 기억된다. 한 해 동안 발생한 대표적인 악성코드를 재확인하며, 2010년 보다 안전한 PC생활을 다같이 기대해 보길 바란다. [Worm.Win32.Conficker.169360] 2008년 10월부터 발견되기 시작, 2009년에 많은 콘피커 변종 악성코드들이 제작돼 윈도 시스템에 많은 피해를 입혔다. 이 웜은 윈도 MS08-067 보안취약점, 이동식 저장 매체(USB) 및 취약한 암호를 가진 공유폴더를 통해서 전파된다. 악성코드는 감염PC의 IP 정보를 서버에 저장하고, 특정 웹 페이지에 접속을 시도한다. 감염시스템의 보안을 취약하게 하기 위해 DNS 관련 API를 후킹해, 마이크로소프트(MS)와 안티바이러스 업체 사이트의 특정 문자열이 들어간 웹사이트에 접근하지 못하게 한다. <보안Tip> 전세계적으로 대부분의 PC사용자들은 MS 운영체제를 사용하고 있다. 많은 사용자를 확보하고 있는 만큼, 이를 노리는 악성코드 제작자는 끊임없이 생겨나고 있다. 이를 대비하기 위해서는 수시로 MS 보안패치를 적용해 악성코드에 감염되지 않도록 주의해야 한다. [I-Worm.Win32.Waledac.411136] 2월 14일 발견되기 시작했으며, ‘발렌타인데이 웜’이라고도 불린다. 이메일을 통해 전파되며, 감염시스템에서 스팸 메일을 대량으로 발송하여 트래픽 과부하를 일으키기도 한다. “You have a A Valentine's Day Greeting!”이라는 메일 제목을 사용하며, 메일 내용의 해당 주소를 클릭하면 이미지와 함께 click here를 유도한다. 변종 ‘Waledac’ 웜의 경우 발렌타인데이, 오바마 대통령 등 사회적 이슈를 이용해서 메일 수신자의 클릭을 유도하여 악성코드를 설치한다. <보안Tip> 특정일의 이슈를 이용한 바이러스는 해마다 증가하고 있으며, 해를 거듭할수록 이미지나 링크를 이용한 위장메일 또한 진화를 거듭하고 있다. 그러므로 특정일을 기념하는 제목으로 수신된 메일 중, 신뢰하지 않는 메일은 바로 삭제하도록 한다. [Backdoor.Win32.IRCBot.15872.I] 2월 11일 발견되기 시작했으며, 시스템 날짜를 2090년으로 바꾸는 ‘2090 바이러스’ 알려진 악성코드의 변종으로 감염 시스템의 날짜를 2070년 1월 1일 오전 10시로 변경해서 2070 바이러스로 불리기도 한다. 윈도 MS08-067 취약점, 네트워크 공유폴더 및 이동식 저장매체(USB)를 통해 전파된다. 특정 IRC 채널에 접속을 시도하며, 트로이 목마를 다운로드 받기도 한다. 시스템 날짜의 변경으로 인해 감염시스템에서 서비스에 문제가 발생하기도 한다. <보안Tip> 개인PC의 보안이 아무리 뛰어나도 공유폴더나 이동식 저장매체를 사용하는 경우에는 보안의 경계가 약해지기 때문에 백신 소프트웨어 설치 및 최신 업데이트를 통해 이를 예방해야 한다. 오토런(AutoRun) 바이러스 감염 예방을 위해 이동식 저장매체는 자동실행 설정을 해제한 후 사용할 것을 권장한다. [Spyware.NateOn.Dr] 과거 2001년부터 유행하던 MSN 바이러스와 비슷한 형태의 악성코드로, 국내에서 많이 사용되는 네이트온(Nateon) 메신저를 통해 전파된다. 2009년 한 해 동안 꾸준히 변종이 보고됐다. 변종에 따라 여러 종류의 사진을 보여주며, 유명 온라인 게임의 계정정보를 훔쳐내며 다른 악성코드를 감염시킨다. <보안Tip> 메신저는 24시간 대화가 가능하며, 파일을 주고받는 데도 용이하다. 편리한 만큼 악성코드에 의한 침해사고도 쉽게 이뤄지므로, 백신 소프트웨어의 실시간감시기를 켜두어 악성코드의 감염으로부터 PC를 보호하는 것이 현명하다. [Trojan.Win32.DDoS-Agent.Gen] 7월 7일 공격이 시작됐으며 ‘7.7 DDoS’ 대란이라고 불릴 정도로 국가 공공기관, 금융권과 주요 포털사이트 등이 DDoS 공격에 의해 접속 지연 또는 서비스 중지 사태를 유발했다. DDoS 공격에 대응하기 위해 모든 사용자들을 위해 전용백신을 무료로 배포하던 안티바이러스 업체의 홈페이지도 공격당할 정도로 사회적으로 문제가 되었던 악성코드이다. <보안Tip> 사이버공격으로부터 보호받기 위해서는 공격을 감지할 수 있어야 한다. 최소한의 대응을 위해서는 1PC 1백신을 설치하고 최신 엔진 업데이트를 유지해야 한다. [X97M.Joker] 5월부터 발견되기 시작해, 매크로 바이러스의 특성상 변형하기가 쉬워 계속해서 변종이 발생하고 있다. 엑셀 파일을 실행할 때마다, 다른 엑셀 문서를 감염시킨다. 초기 악성코드는 오후 4시 44분 44초가 되면 특정 파일을 삭제한 것처럼 메시지를 보여준 후 “뻥임” 이라는 메시지 창을 보여주지만 변종에 따라서 증상이 다르게 나타나기도 한다. <보안Tip> 매크로 바이러스에 감염되면, 감염된 문서를 사용하는 동안 열려있는 중요한 문서들이 영향을 받는다. 따라, 중요한 문서는 별도로 보관해 두고 저장하기 전에 반드시 백신 소프트웨어로 감염여부를 확인할 후 저장하는 습관을 가지도록 한다. [Trojan.Win32.Clampi.513024] 주로 소셜 네트워크 사이트나 메신저를 통해서 전파된다. 국내는 9월 21일에 발견됐으며, 주로 영어 사용국의 은행이 표적이 됐다. 사용자가 금융사이트에 접속해서 인터넷 뱅킹 시도 시 로그인 정보를 가로채가는 악성코드다. 클램피 악성코드로 인해 아이디나 패스워드 등 개인정보가 노출되어 많은 금융거래 범죄에 이용됐다. <보안Tip> 금융거래는 인터넷 메신저나 모바일, 전화 등의 간접매체를 통해서 요청하는 경우, 신뢰할 수 없는 경우가 많으니 주의하도록 하자. [Trojan.Win32.Delf.15872.O] 델프(Delf) 악성코드는 어도비 취약점을 이용해서 악성 PDF 파일을 생성한 후 이를 통해 전파되는 바이러스로, 다오놀(Daonol)로 불리기도 한다. 국내에서는 10월 14일에 발견되어, 계속해서 변종 바이러스가 발생하고 있다. 어도비 취약점을 이용해 전파되므로, 관련 제품의 최신 업데이트에 주의를 기해야 한다. 감염 후 재부팅 시 검은 화면에 마우스만 나타나며, 정상적으로 부팅이 이루어지지 않는 부팅 장애를 일으킨다. <보안Tip> 주로 사용하는 프로그램 목록을 확인하고, 불필요한 프로그램은 제어판의 ‘프로그램추가/제거’를 통해 프로그램을 제거한다. 설치된 프로그램은 취약점을 보완할 수 있는 최신 업데이트 목록을 다운로드 받아 적용한 후 사용하도록 한다. [Spyware.Zbot] 스파이웨어 Zbot의 변종 중 가장 이슈가 된, ‘Trojan.Win32.Scar’은 신종플루 관련 스팸메일 또는 해킹 당한 사이트를 통해 감염시킨다. 아크로뱃 리더의 파일 포맷인 PDF의 취약점을 이용하며, 다른 악성코드를 다운로드하여 추가 감염시킨다. <보안Tip> 사회적 이슈는 악성코드 제작자의 좋은 표적이 되기 때문에, 이와 관련된 메일이나 사이트에 접속할 경우에는 각별히 주의해야 한다. [Adware.SecurityTool.R] 허위 안티스파이웨어(Rogue), 즉 허위백신으로 Win32.Mndis.A 등에 의해 윈도 시스템의 주요 파일을 패치 한 뒤 허위 안티스파이웨어 제품을 감염시키고 사용자에게 요금 결재를 유도한다. 변종에 따라 바탕화면의 아이콘을 보이지 않게 하거나, 블루스크린과 유사한 화면을 보여주고 강제로 재부팅 시킨다. <보안Tip> 허위백신의 진단결과는 신뢰하지 않도록 주의한다. 허위백신의 경우에는 허위 감염정보를 보여주고 사용자의 결재를 유도하는 것이 주된 특징이다. 네트워크 환경에 있는 PC사용자가 인터넷 사용 시 조금만 주의하면, 안전한 PC환경을 만들 수 있다. 그러나 대부분의 PC사용자들은 백신 소프트웨어를 설치해 놓을 뿐 최신 업데이트를 하지 않거나 MS 최신 보안패치를 받지 않는 등 사용자의 부주의로 악성코드에 감염되는 사례가 발생하곤 한다. 국내의 경우 무료백신 소프트웨어는 개인사용자에 국한된 것임을 인지하고, 기업에서는 기업용 백신을 설치해 기업의 중요한 파일이나 정보가 악성코드에 감염되지 않도록 백신 업데이트와 MS 최신 보안패치를 생활화하도록 하자. * 악성코드 분류 * 악성코드 명명법 댓글 쓰기

크리스마스 겨냥 악성 이메일 주의

이유지의 안전한 네트워크 세상 09.12.24 10:40

크리스마스를 겨냥한 악성코드가 올해에도 어김없이 나타났습니다. 에스지어드밴텍, 잉카인터넷 등 보안업체들은 23일부터 크리스마스 축하카드로 위장된 악성 이메일이 국내에서 발견됐다면서 사용자들의 각별한 주의를 당부하고 있습니다. 이 이메일에는 악성코드가 첨부돼 있으니, 클릭하지 마시고 수상한 이메일은 삭제해야 합니다. 오늘, 내일뿐만 아니라 연말연시 계속해서 이같은 악성 이메일, 악성코드가 발생할 수 있으므로 백신 업데이트와 실시간 감시 등 보안에 신경써야 할 것으로 보입니다. 다음은 잉카인터넷 시큐리티대응센터(ISARC)에서 분석한 악성코드 이메일 분석 내용입니다. 국내에 유입된 것이 확인된 이번 이메일은 다음과 같이 발신인 등이 정상적인 크리스마스 축하 카드처럼 교묘하게 위장되어 있으며, 악성코드가 첨부파일에 압축된 상태로 포함되어 존재한다. 보낸 사람 : e-cards@123greetings.com 메일 제목 : You have received a Christmas Greeting Card! 첨부 파일 : Christmas Card.zip (382,011 바이트) 이메일 본문에는 다양한 플래시 파일이 링크되어 보여질 수 있다. http://c.123g.us/flash/branded_loader.swf http://i.123g.us/c/edec_c_newjingle/card/113366.swf http://i.123g.us/c/edec_c_newjingle/card/113413.swf http://i.123g.us/c/edec_c_newjingle/card/105278.swf 이메일에 첨부되어 있는 압축파일(Christmas Card.zip) 내부에 Christmas Card.chm(공백) .exe 이름의 실행 파일이 포함되어 있다. 압축 해제 후 사용자가 보기에 .chm 확장자 이후 약 60여개의 공백을 포함하고 있어 실행파일(exe)이 아닌 것처럼 오인하도록 위장된 상태이다. 압축 내부에 포함된 악성코드 파일은 2009년 12월 23일 날짜로 등록된 것을 확인할 수 있으며, 아이콘은 크리스마스 트리 장식 모양을 하고 있다. 해당 파일이 실행되어 컴퓨터가 감염될 경우 시스템 폴더에 wmimngr.exe, wpmgr.exe 라는 이름의 2개의 파일이 생성된다. 실행된 악성코드는 SMTP 를 통해서 Mass Mailer 기능 등이 수행된다.   댓글 쓰기

아이폰 백신 상용화, 절대 안될까?

이유지의 안전한 네트워크 세상 10.01.27 18:05

지난 22일 NSHC가 하우리와 공동으로 개발한 아이폰 전용백신 ‘바이로봇 산네’ 출시가 발표된 직후, 인터넷상에서 논란이 뜨겁게 벌어졌습니다.  이 백신 제품을 진짜 ‘아이폰 백신’이라고 할 수 있냐 하는 의견에서부터 아이폰의 특성상 악성코드가 발생할 위험이 거의 없는데 백신이 과연 필요한가 등이 주된 논쟁거리로 떠올랐습니다. 상당수의 아이폰 사용자들과 네티즌들은 아이폰 백신이란 개념도, 그 존재도 불가능하다는 의견을 피력했습니다. 현실적으로 아이폰 악성코드가 존재하지 않고, 앱스토어에 악성코드가 등록돼 제공되지 않는 한 ‘아이폰 백신’ 자체가 무의미하다는 이유에서입니다. 그 이유로 앞서 NSHC가 이 백신의 ‘세계 최초’ 출시를 알리며 “앱스토어 등록 절차를 밟고 있다”고 했던 홍보 행위나 기자와 언론이 이 보도자료를 기사로 쓰고 보도하는 것 자체가 ‘무지의 소치’라는 비판을 받았습니다. (고백하자면, 저도 그 기사를 쓴 기자 중 한사람입니다.) 이번 논란과 혼란이 촉발된 가장 중요한 사실은 이 업체가 개발한 백신의 애플 ‘앱스토어’ 등록이 좌절된 데 있다고 봅니다. 너무 단순화하는 것인지는 모르지만 ‘가장 먼저’라는 점을 부각하려다가 오히려 그로 인해 뭇매를 맞게 됐습니다. 이 업체가 개발한 제품이 애플로부터 앱스토어 등록 승인이 거부된 것이 알려진 뒤로, 보안업계와 금융권 등에서 혼란이 계속 커지고 있는 것 같습니다. 아이폰 뱅킹 서비스가 제공되고 있고, 이로 인해 금융감독원이 바이러스 예방 조치 등을 담은 스마트폰 전자금융서비스 안전대책을 내놓았기 때문에 NHSC의 백신의 앱스토어 등록 좌초는 그 사안이 가볍지 않습니다. 또 “아이폰 백신을 개발 중이고, 올해 출시하겠다”고 했던 보안업체들도 문제가 됩니다. 급기야는 안철수연구소와 잉카인터넷 등 국내 보안업체들이 준비해온 아이폰 백신 개발을 중단, 관련 사업을 하지 않기로 했다는 이야기까지 나올 정도입니다. 어떤 보안업체는 이제와서 “못해서 안한 게 아니라 이런 상황을 감안해 백신을 성급히 개발하지 않은 것”이라고 이러한 상황을 끼워 맞추기도 합니다. 아이폰 뱅킹 서비스를 제공하고 있는 하나은행, 기업은행도 혼란스러워 하고 습니다. 아이폰 뱅킹 애플리케이션에 백신 등 보안 기술을 적용할 수도, 안할 수도 없는 애매한 상황에 처했습니다. ‘스마트폰 전자금융서비스 안전대책’을 내놨던 금융감독원은 일단 “현재로서는 아이폰 뱅킹 안전성은 보장돼 있는 상태로, 향후 추이를 지켜보고 향후 방송통신위원회 등과 공조해 필요하면 추가로 방침을 정하겠다”는 입장입니다. 저는 이러한 혼란이 ‘애플의 입장’을 제대로 알지 못해서는 아닐까? 하는 의구심이 생깁니다. 현재 아이폰 운영체제 설계 원리나 플랫폼 특성으로 인해, 애플의 정책상 아이폰 백신 등 보안 제품의 앱스토어 등록은 당연히 거부될 것이란 의견이 지배적입니다. 애플의 정책이, 또 백신 등록 승인 거절 이유가 “우리 플랫폼과 애플리케이션의 앱스토어 등록 프로세스로는 아이폰은 안전하니, 백신같은 보안 제품은 필요 없다. 현재도, 앞으로도.”라면, 오히려 해결책은 단순할 수도 있습니다. 보안업체는 백신 개발은 당연히 중단하고 아이폰 백신 사업을 포기한다고 결정할 수도 있을 것입니다. 금융감독원은 스마트폰 전자금융서비스 안전대책 등 보안지침을 수정해야 할테지요.  그런데 그게 아니라면 어떨까요? 앱스토어 등록이 거절된 이유가 그런 게 아니라 단순한 오류나 테스트 과정에서 생긴 문제라면 어떨까요? 이 또한 가정이지만 말입니다. 그래서 저는 우선 애플의 정책과 입장을 알고 싶었습니다. 이번 아이폰 백신 소동과 관련해 ‘바이로봇 산네’의 앱스토어 등록 승인 거부된 이유나 향후 백신 등 보안 제품의 등록 관련 정책에 관한 애플의 공식적인 입장을 애플코리아에 요구했습니다. 돌아온 답변은 비슷합니다만. “아이폰은 마이크로소프트 윈도 모바일 운영체제 등과는 달리 무언가를 다운로드하기 위한 통로는 앱스토어 뿐이고, 프로그램이 등록되기 전에 사전검열을 거치므로 악성코드가 들어올 구멍이 없고, 백신도 필요 없다”는 것이 애플코리아 관계자의 설명입니다. 이것도 “공식적인 입장이 아닌, 비공식적인 정보로서”만의 답변이라는 점을 전제로 받았을 뿐입니다. 이대로라면, 현재로선 아무리 백신같은 보안 제품을 개발해도 앱스토어 등록은 어려울 것입니다. 아마 멀티태스킹이 안되므로 하나은행이나 기업은행 아이폰 뱅킹 애플리케이션에 백신을 삽입해 하나의 애플리케이션으로 만들어 업데이트하려고 하더라도 백신 특성상 어려울 테지요. 그런데 미래는 어떤 상황이 벌어질 지 아무도 모릅니다. 맥 OS와 아이폰에서도 취약점이 발견되고도 있고, 아이폰 차기 버전이 어떻게 달라질 지도 모릅니다. 아이폰으로 다양한 연결성과 활용성을 갖고 있는만큼 현재에도 미래에도 100% 안전할 수는 없습니다. 애플의 정책도 상황 변화에 따라 얼마든지 바뀔 수 있다고 봅니다. 보안업계 아이폰 백신 사업 철수설이 오늘 불거지자, 안철수연구소에 확인해 봤습니다. 아이폰 보안 제품을 이르면 1분기, 늦어도 2분기 안에는 예정대로 선보일 예정이랍니다. 기존에 선보였던 심비안용이나 윈도모바일 등 모바일 백신에 국한된 방식이 아니라 아이폰에서 나타날 수 있는 다양한 위협으로부터 보호할 수 있는 보안 솔루션이 될 것이란 이야기입니다. 악성코드로부터 보호할 수 있는 기능도 당연히 포함된답니다. 다행입니다. 이러한 소동이 생겼다고 바로 “포기한다”고 선언했으면 아주 크게 실망했을 겁니다. 물론, 안철수연구소도 이번 이슈가 생긴 뒤 이전보다는 신중하게 접근하고 있다는 것을 느낄 수는 있습니다. 애플이든, 마이크로소프트이든, 삼성전자이든 간에 “우리 제품은 안전하다”고 하더라도, 보안 전문업체들은 새로운 취약점은 없는지, 보안위협은 발생하지 않는지 계속 경계하면서 준비해, 만일의 사태가 발생하면 해결책을 내놔야 할 역할이 있습니다. 잉카인터넷도 내부적으로 먼저 아이폰 보안 제품 관련 정책을 정한 뒤 선보이겠다는 입장입니다. 시만텍에도 물어봤습니다. 시만텍은 오는 7~8월 중 아이폰 백신이 나올 거라네요. 현재 앱스토어 등록 승인이 거절됐음에도 개인적으론 아직 그 시점이 언제이든 향후 아이폰 보안 제품이 상용화될 수 있는 여지는 충분하다고 생각하고 있습니다. 그리고 애플의 정책이 무엇이건 간에, 아니 애플과 협조하는 방안을 강구하면서 보안 업체들이 계속해서 아이폰을 대상으로 나타날 수 있는 잠재위협으로부터 안전하게 보호해 줄 수 있는 보안 기술을 연구 개발해줬으면 좋겠습니다. 이번에 어려움을 겪기도 했지만 많은 것을 배웠을 NSHC와 하우리도 마찬가지입니다.  댓글 쓰기

네이트 직원들, 네이버 검색 차단 사건

심재석의 소프트웨어 & 이노베이션 09.11.23 11:33

지난 주 목요일 다소 흥미로운 일이 벌어졌습니다. 저는 당시 서울 충정로에 있는 SK커뮤니케이션즈(SK컴즈)에 있었는데, 갑자기 네이버 검색이 되질 않았습니다. 네이버 검색창에 검색어를 넣고 엔터를 치면 아래와 같은 화면이 나타났습니다. 저는 이 같은 화면을 처음 봤습니다. 안내문구에 따르면 악성코드 검사를 하거나 네트워크 담당자에게 문의하랍니다. 악성코드와 검색이 어떤 관계가 있는 것일까요? 웹 브라우저가 악성코드 배포가 의심되는 사이트를 차단하는 경우는 봤어도, PC에 악성코드가 있을 우려 때문에 검색을 차단하는 경우는 처음 봤습니다. 그나저나 네이버는 어떻게 제 노트북에 악성코드가 있는지 아는 것일까요? 저는 PC그린 사용자도 아닌데요. 문제는 제 노트북에서만 이 같은 화면이 나타난 것이 아니라는 것입니다. 주변에 있던 사람들 모두 네이버 검색이 불가능했습니다. 나중에 알고 보니 SK컴즈 사옥 전체에서 네이버 검색이 안 됐던 것입니다. SK컴즈는 검색 포털 네이트를 운영하는 회사입니다. 최근 포털시장 구도에 변화를 주기 위해 가장 적극적으로 움직이고 있는 회사입니다. 그렇다면 SK컴즈가 자사 건물 내에서 네이버 검색을 금지시킨 것일까요? 하지만 이렇게 상상하기는 쉽지 않습니다. 네이트가 아무리 네이버를 이기고 싶더라도, 네이버 검색을 차단하는 것은 너무 유치한 발상입니다. 또 경쟁사 서비스에 눈을 감고, 그보다 더 좋은 서비스를 만들기는 불가능합니다. NHN과 SK컴즈 양측에 다 물었지만 양측다 원인은 파악하지 못하고 있는 상태였습니다. SK컴즈측에서도 네이버에 문의를 해 놓은 상태라더군요. NHN에 따르면, 위와 같은 메시지는 특정 IP에서 다량의 쿼리가 입력될 때 나타나는 경우가 많다고 합니다. 한 IP에서 갑자기 많은 쿼리가 들어온다는 것은 어뷰징일 가능성이 높다고 판단하기 때문이랍니다. 경쟁사의 광고비를 빨리 소진시키거나 검색순위를 조작하는 것 말입니다. 또는 악성코드에 감염된 PC들이 이같이 다량의 쿼리(질의)를 보내기도 한답니다. 즉 네이버가 사용자의 PC에 악성코드가 있다는 것을 파악하는 것이 아니라, 그럴 가능성이 있는 패턴을 보고, 그것을 근거로 차단한다는 것입니다. 하지만 SK컴즈 직원들이 다 같은 IP를 사용하는 것은 아닐 것입니다. 다른 IP에서 들어오는 쿼리를 차단할 방법은 마땅치 않습니다. 지난 달 10만여대의 좀비피시를 조종해 네이버 실시간 인기검색어를 조작해 돈벌이를 한 사례가 최근 적발되기도 했습니다. SK컴즈의 네이버 검색 차단 문제는 금방 해결됐습니다. 하지만 결국 이 사건은 정확한 원인을 밝히지 못하고 해프닝으로 끝나는 것 같습니다. 모든 문제에는 원인이 있기 마련입니다. 원인을 찾지 못하고 넘어가는 것이 왠지 찜찜합니다. 댓글 쓰기