컴퓨터 바이러스 백신 및 데이터 복구 프로그램 전문 개발 업체인 ㈜하우리(대표이사 권석철, www.hauri.co.kr)는 신종 웜I-Worm.Win32.Sobig.59211의 국내 유입 가능성이 클 것으로 보고 이에 대한 주의를 당부했다.
이 웜은 지난 주말부터 해외에서 처음 신고되기 시작했으며, 국내에도 곧 유입될 것으로 우려된다. 확산 속도는 중급 정도로 현재 북미 지역에서 빠르게 확산되고 있는 것으로 알려졌다.
감염 방법은 이메일과 윈도 2000계열(NT, XP포함)의 IPC$ 공유(관리 목적의 공유), 그리고 일반 "읽기/쓰기" 공유 폴더 등이며, 발송되는 메일의 형식은 아래와 같다. 메일 본문은 일정하나 제목과 첨부파일 명은 웜이 임의로 선택한다.
제 목: Screensaver
Re: Movie, Re: Submited (004756-3463)
Re: 45443-343556
Re: Approved
Approved
Re: Your application
Re: Application
본 문: Please see the attached file.
첨부파일: screensaver.scr
movie.pif
submited.pif
45443.pif
documents.pif
approved.pif
application.pif
document.pif
I-Worm.Win32.Sobig.59211 역시 최근 웜의 특징인 관리목적 공유인 ‘IPC$ 공유기능’을 이용해 확산된다. 즉 사용자들이 편의를 위해 PC의 아이디나 패스워드를 설정하지 않거나, 단순하고 쉬운 문자로 설정하는 현상을 악용해 웜이 퍼져나가는 것이다.
이 웜은 자신이 가지고 있는 아이디나 패스워드 리스트를 감염 대상 PC에 임의로 대입해 보고, 내용이 맞으면 관리자 권한을 획득하면서 감염을 일으킨다.
이때 임의적으로 대입해보는 패스워드는abc,123, guest, administrator, admin, 111111 등이므로, PC 계정과 패스워드 설정 시에는 단순하고 쉬운 내용보다는 자신만이 알고 있는 특별한 숫자나 문자의 조합으로 등록하는 것이 가장 안전하다.
또한 이 웜은 시스템에 치명적인 영향을 미치는 파괴동작은 하지 않으나, 메일 발송과 일일이 아이디/패스워드를 대입하는 작업을 백그라운드에서 실행하므로 시스템이 느려지거나 부하가 발생할 가능성이 크다.
이와 관련하여 (주)하우리 권석철 대표이사는 “실제 국내에서는 전산 관리자들이 서버나 관리용 시스템의 계정과 비밀번호를 별도로 설정하지 않고 사용하는 경우가 대부분이므로, 이러한 유형의 웜이 나타날 때마다 피해 신고가 빈번히 접수된다.” 며, “시스템의 로그인 계정을 재정비 하면 최소한의 노력으로 근본적인 취약점을 보완할 수 있다.” 고 덧붙였다.
I-Worm.Win32.Sobig.59211 웜은 6월 2일자 일 자 바이로봇 엔진으로 진단/치료 가능하다.
