ZoneAlarm 개인 방화벽 등 강제 종료...국내 보안제품 아직은 '안전'
유수 웹사이트를 해킹해 악성코드를 유포하는 중국發 해킹이 그치질 않고 있는 가운데, 최근에는 이 방식을 통해 유포되는 악성코드에 사용자 PC에 설치된 보안 프로그램을 무력화시키는 기능까지 추가된 것으로 확인돼, 사용자들의 주의가 요구된다.

11일 한국정보보호진흥원(KISA)이 중국發 공격자에 의해 해킹된 웹사이트에서 유포된 트로이목마 최신 변종(rundll32.exe)을 정밀 분석한 결과, 국내 특정 온라인 게임 이용자 정보를 빼내는 동시에 보안 프로그램 기능 자체를 해제하거나 제거하는 기능까지 숨어있던 것이 밝혀졌다.

이 트로이목마는 사용자 PC에서 열려 있는 모든 윈도 창을 탐색해 'RavMon.exe', '중국 천넷 인터넷 방화벽', 'ZoneAlarm 개인 방화벽' 등 특정 보안 프로그램이 운영되고 있을 경우, 이를 강제 종료시킨다.

더욱이 중국 현지에서 사용되는 보안프로그램인 '비밀번호 도난방지 전문가 종합판 프로그램'의 경우, 아예 삭제시키는 것으로 알려졌다.

KISA 인터넷침해사고대응센터 관계자는 "타깃이 된 보안 프로그램들은 대부분 중국현지에서 주로 사용되는 보안제품들로, 현지 해커들이 제작, 공유하고 있는 악성코드의 보안종료 기능을 국내 공격에 적용하기 시작한 것 같다"며 '이 중 ZoneAlarm'의 경우, 우리나라에서 주로 사용되는 공개 SW지만, 국내 보안제품들은 공격대상에 아직 포함되지 않았다"고 밝혔다.

KISA는 최근 사용자들이 많이 방문하는 국내 유명 웹사이트들이 이같은 트로이목마 전파 매개체로 악용되는 사례가 다수 발생하고 있어, 사이트 관리자 및 네티즌들의 각별한 주의가 필요하다고 지적했다.

특히, 현재는 과거 보안패치된 익스플로러 취약점을 전파기법으로 활용했지만, 최근 패치가 배포되기 시작한 'Jview Profiler' 취약점을 이용해 전파기법으로 활용할 가능성이 커, 이에 대한 주의도 필요하다고 덧붙였다.

KISA측은 "웹 브라우저 취약점을 이용해 감염되는 악성코드의 경우, 네트워크 방화벽이 감염을 방지해줄 수 없다"며 "사용자들이 가급적 윈도와 익스플러러의 최신패치를 사용한다면, 이같은 악성코드 감염 피해를 최소화할 수 있을 것"이라고 당부했다.

한편, KISA는 이날 '인터넷침해사고 동향 및 분석 월보'를 통해 지난 9월 전체적인 웜, 바이러스 피해와 해킹사고가 전월 대비 각각 37.2%와 52.4% 감소했다고 밝혔다.