안硏, 3분기 악성코드 동향 분석결과..모바일 악성코드 점차 현실화
악성코드가 안티 바이러스나 침입탐지시스템(IPS) 등 보안제품으로부터 자신을 보호하는 자기방어 기능이 갈수록 지능화되고 있는 것으로 나타났다.

안철수연구소는 18일 '2005년 3분기 악성코드/스파이웨어 동향' 분석 보고서를 통해 이같이 진단, 더욱 교묘하게 다양한 장치로 끈질긴 생존력을 키워가고 있는 최근 악성코드 추세의 심각성을 경고했다.

이 보고서에 따르면, 악성코드는 이제까지 은폐기법을 쓰거나 보안 프로그램 실행 및 보안 사이트 접속을 막아 치료 자체를 방어하는 수준을 넘어, 3분기에는 PC에 설치된 후 또다른 악성코드를 잇따라 설치하거나, 특정 서버 접속 후 원격 지시를 받는 등 악성코드의 전파 수법이 갈수록 교묘해지는 것으로 조사됐다.

◇ 사용자 몰래 다른 악성코드 내려받아

무엇보다 3분기에는 '다운로더'형태의 트로이목마가 크게 증가했다.

기존 트로이목마는 한번 설치될 경우, 백신 프로그램으로 삭제하면 없어졌으나, 다운로더는 일단 사용자 PC에 설치되면 몰래 특정 인터넷 호스트에 접속해 다른 트로이목마를 내려받는다. 이같은 다운로더 악성코드가 3분기에만 전체 트로이목마 중 10%를 차지하는 것으로 나타났다.

베이글 웜 변종 가운데도 메일로 다운로더 트로이목마를 첨부해 전파하는 것도 발견됐다. 이 트로이목마가 설치되면 보안 사이트에 접속할 수 없어 해킹에 무방비 상태가 된다.

또 일부 악성코드의 경우, 실행 압축 툴을 변형하거나 압축 알고리즘을 변형하기도 해 백신진단을 어렵게 만드는 경우도 발견됐다.


◇ 공격자 원격 통제받는다

악성 IRC 봇도 갈수록 늘고 있다. 악성IRC봇 웜이란 외부의 특정 IRC(Internet Relay Chatting; 일종의 채팅 서비스) 서버와 접속해, 이를 유포한 공격자의 원격명령을 받아 웜 유포나 정보유출 등을 시도하는 웜을 통칭한다. IRC 봇에 감염된 PC를 통칭 '좀비 PC'라 불린다.

이 웜은 제작자들이 커뮤니티를 통해 소스를 교환하고 조직적으로 변형을 양산하고 있어, 폭발적으로 증가하고 있는 것으로 나타났다. 3분기 전체 신종 웜 중 66%를 차지하며, 피해 신고 상위에 있는 마이톱 변종이 가장 대표적이다.

악성IRC봇 웜의 피해를 줄이려면, 보안 패치에 신경을 쓰고 로그인 암호를 복잡하게 설정하는 등의 대책이 필요하다고 안연구소는 전했다.

◇ 끊임없이 재생한다

다양한 방법으로 재실행함으로써 끊임없이 재생되는 웜이나 악성코드도 적지 않다.
우선 IRCBot.48600 웜의 경우, 설치되면 ‘Win32AutoDrivers’라는 서비스가 자동 실행되는데, 한번 작동 상황을 중단할 수 없도록 '중지' 버튼을 비활성화한다.

또 짧은 시간 내에 프로세스 시작과 종료를 반복해 종료할 수 있는 시간적 여유를 주지 않는 경우도 있으며, 자신 외에 다른 프로세스를 만들어 둘 중 하나를 강제 종료하면 다른 하나가 이를 감지해 종료된 프로세스를 재실행하도록 하는 경우도 발견됐다.

이밖에 안연구소의 이번 보고서는 온라인 게임 사용자 계정을 탈취하는 트로이목마의 경우, 7월과 8월에 관련 트로이목마 4종이 피해 신고 순위 3~6위에 올랐다며 최근 중국發 해킹사건의 심각성을 지적했다. .

한편, 모바일 악성코드의 국내 출현 가능성도 점차 높아지고 있다고 안연구소는 지적했다.

아직까지 국내에서는 이와 관련된 피해사례가 발생하지 않았지만 외국에서는 둠부트(Doomboot), 카드트랩(Cardtrap), 카드블록(Cardblock) 등 심비안 OS(운영체계)용 모바일 악성코드가 꾸준히 등장하고 있는 것으로 조사됐기 때문.

특히, 3분기에는 전파 수단이 기존 블루투스에서 MMS(Multimedia Messaging Service)로 이동한 경우가 보다 많아졌으며, 휴대전화와 연결되는 다른 OS나 시스템도 감염시키는 악성코드도 증가해 새로운 국면으로 접어들었다.

안철수연구소 시큐리티대응센터 강은성 상무는 "악성코드와 스파이웨어는 피해를 유발하는 기능이 악성화할 뿐 아니라 자기 방어 기법도 갈수록 지능화하고 있다."며 "이에 대응하는 보안 기술도 발전하고 있는 것은 사실이지만, 사용자들도 항상 최신 기술이 적용된 보안 제품을 사용하는 등 지속적인 관심과 관리가 필요하다"고 강조했다.