[그림 1-5] 트위터 봇의 생성 및 동작 예

 일반적인 봇넷의 차단 방법은 봇넷이 이용 하는 서버에 대한 차단을 통해서 근본적으로 봇넷이 활성화 될 수 없게 한다. 그러나 트위터와 같은 상용 서비스를 이용한다면, 일반적인 차단방법을 사용할 수 없어 공격자는 자유롭게 명령을 내보낼 수 있게 되므로 이러한 상용 서비스를 악용하는 봇넷 사례가 증가할 것으로 예상 된다.
 
■ 시스템 파일을 패치 하는 악성코드와 BSOD
 
 5월에는 유난히 시스템 파일을 패치 하는 악성코드 소식이 자주 들려 왔다. 시스템 파일을 패치 하는 악성코드는 자신의 실행을 위해서 레지스트리를 이용하는 것이 아니라 패치 된 윈도우 시스템 파일 (주로 DLL 확장자의 파일들)의 프로그램 시작 부분의 코드나 임포트(Import) 함수 부분을 수정하여 자신을 동작 시키는 악성코드를 말한다. 이러한 결과로 부팅 시 레지스트리 모니터링이나 시작 프로그램을 관리하는 프로그램들은 악성코드의 실행시점을 찾아 내지 못하게 된다. 이 때문에 최근 들어 악성코드 제작에 많이 사용 되고 있다. 이번에 타켓이 된 파일은 ws2help.dll 파일이었다.  특히, 이번 악성코드는 패치 한 파일을 올바른 곳에 복사하지 않아, 시스템이 정상적으로 부팅 되지 않는 상황이 발생하였다. 다음과 같은 메시지가 출력되고 윈도우가 정상적으로 부팅 되지 않았다.
 

[그림 1-6] Win-Trojan/Patcher.17945 감염 후 윈도우가 부팅 되지 않는 모습

 이러한 과정을 도식화 하면 [그림 1-7]과 같다. 즉 위에서 언급 했듯이 윈도우 시스템 폴더에 패치 된 파일이 존재해야 하지만 악성코드는 시스템 폴더가 아닌 %windir%\system\ 폴더에 패치 된 파일을 복사하였다.
 

[그림 1-7] Win-Trojan/Patcher.17945 실행과정

 이것은 악성코드 제작자의 의도적인 것이라기 보다는 실수로 추정되며 이를 복구 하기 위해서는 원본 파일을 찾아 파일명을 변경해주는 등의 추가작업이 필요하여 사용자들이 불편함을 호소한 사례였다.
 
■ 제휴 마케팅과 결탁한 애드웨어
 
 인터넷 키워드 검색 도우미 서비스는 웹 브라우저 주소 표시줄에 검색하고자 하는 키워드만 입력하면 관련된 검색 결과를 보여주어 인터넷 서핑에 도움을 줄 수 있다. 하지만 최근에는 이들 인터넷 키워드 검색 도우미 서비스들을 보다 많은 사용자들의 PC에 설치하기 위해 무료 게임, 무료 웹 하드 서비스, UCC 재생기, 기타 애드웨어에 번들 형태로 설치되기 시작했다. 또한 높은 수익을 위해 제휴 마케팅 사이트와 연계해 특정 쇼핑몰로 방문을 유도하는 부작용이 발생하고 있다. 인터넷 검색 도우미 서비스를 통해 쇼핑몰을 방문하여 상품을 구매하는 경우 결제 금액의 일정 비율을 수수료로 제휴 마케팅 사이트를 통해 지급 받기 때문이다. 또한 보다 많은 사용자들의 컴퓨터에 설치하기 위해 악의적인 방법들까지 사용하고 있으며 보안 업체의 진단을 우회하기 위해 프로그램 내부의 특정 문자열을 다른 문자와 조합하여 일반적으로는 알아보기 힘들게 변형해 사용하고 있다.
 

[그림 1-8] 유명 인터넷 쇼핑몰 주소를 변형시켜 놓은 부분

 실제 5월 신종 악성코드 감염보고를 살펴보면 Win-Trojan/Overtls, Win-Trojan/Unovt가 각각 1위와 4위를 하고 있음을 볼 수 있다. 즉, 그만큼 국내 사용자들의 피해가 크다는 것을 알 수 있다. 이들 인터넷 키워드 검색 도우미 서비스가 설치되어 있을 경우 인터넷 검색 시 내가 원하는 결과가 아닌 해당 애드웨어가 방문을 유도하는 곳으로 변경된 검색 결과를 얻을 수 있으며, 내가 선호하는 인터넷 쇼핑몰이 아닌 애드웨어 제작자에게 보다 높은 수익을 줄 수 있는 인터넷 쇼핑몰로 방문이 유도될 수 있다.
 
■ 문서파일에 포함된 악성코드 주의
 
 5월에는 메일을 통해 유포되는 악성코드 중 DOC 혹은 RTF 등의 확장자의 문서를 이용한 악성코드 유포 사례가 확인되었다. [그림 1-9]에 있는 첨부파일을 실행하면 문서 내부에 특정 아이콘이 나타나며 클릭을 유도하게 된다.
 

[그림 1-9] 악성코드가 포함된 문서 열람 시 나타나는 경고창

 만일, 클릭을 하게 되면 경고 창이 나타나며 [확인] 버튼을 누를 경우 문서 내부에 포함된 악성코드가 실행이 된다. 최근 악성코드 유포 기법이 점점 다양해지며 발전되고 있어 이러한 발신인이 불분명한 메일을 통해 첨부되는 문서나 기타 첨부파일은 되도록이면 실행하지 않는 것을 권장한다.
 
■ 허위 백신 Digital Protection / Data Protection 주의
 
 5월에는 유난히 Digital Protection, Data Protection 라는 이름을 가진 허위 백신이 기승을 부렸다. 해당 허위백신이 설치가 되면 시스템 트레이창에 지속적인 경고를 나타내며 인터넷 익스플로러를 이용하여 웹사이트 접속 시 사이트 접속을 차단하며 악성코드 감염 경고 및 결제 창을 보여주게 된다.
 

[그림 1-10] 각종 허위 백신 실행 화면

 이러한 허위 백신이 설치될 경우 외부로 스팸메일을 발송하여 시스템이 느려지거나 네트워크 트래픽이 많이 발생하는 증상을 보이고 있다. 현재 V3 제품에서 대다수 진단 및 치료가 가능하나 지속적인 변종이 출현하고 있어 각별한 주의가 필요하다. V3는 변종을 발견시 최신 엔진을 제작하여 진단 및 치료하고 있으니, 항상 최신버전의 엔진을 설치하여 변종을 사전에 차단하기 바란다.
 
■ 온라인 게임핵 류 악성코드로 인한 한/영 전환 불가 사례
 
 최근 국내 웹사이트를 통해 유포되는 온라인 게임핵이 많이 유포되고 있다. 해당 악성코드는 게임 계정을 탈취하는 목적을 지닌 악성코드로 최근 해당 악성코드에 감염될 경우 imm32.dll 파일이 변조되어 한/영 전환이 불가능한 증상이 발견되고 있다. 이러한 증상이 나타날 경우 악성코드에 감염된 것으로 의심해 보아야 하며, V3 제품을 설치하여 엔진을 최신버전으로 업데이트 한 후 검사 및 치료를 권장한다. 만약 수동으로 조치하고자 한다면 http://core.ahnlab.com/173 페이지를 참고하여 조치하기 바란다.