- 바이러스 진화 양상 학습으로 미래 대비책 마련 -

   바이러스는 초창기처럼 단순히 감염만 시키는 모습에서 벗어나 빠른 확산력과 파괴력을 가지며 다른 형태로 진화하고 있다. 여기서는 바이러스의 변천사를 살펴보고 미래에 만들어질 바이러스에 대해 생각해 보기로 하자. 우리가 잘 아는 고사성어 중에 ‘지피지기면 백전백승’이라는 말이 있다. 바이러스에 대해 확실히 안다면 향후에 나타날 바이러스에 대한 대비도 어렵지 않을 것이다.
최원혁_하우리 엔진개발센터장

   컴퓨터 시스템 내의 자료를 손상시키거나 다른 프로그램을 파괴해 작동할 수 없도록 하는 프로그램을 우리는 흔히 컴퓨터 바이러스(Computer Virus)라 한다. 하지만 최근 전자우편(e-Mail)을 통해 확산되는 인터넷 윔(I-Worm)이나 사용자의 컴퓨터를 임의로 조작하거나 중요한 정보를 빼내는 백도어(Backdoor) 프로그램등을 우리는 모두 바이러스라 총칭한다. 이러한 명칭 문제는 최근에 유포되고 있는 바이러스의 특성 때문에 혼동을 주는 듯하다. 바이러스의 특성을 가지면서 인터넷 윔이나 백도어의 기능을 모두 포함하고 있다면 무엇이라 불러야 할까. 필자의 생각으로는 유해코드(Malicious) 또는 멜웨어(Malware)라고 말하고 싶다.

   최초로 제작된 ‘크리퍼’
   세계 최초로 제작된 바이러스를 살펴보려면 1970년대까지 거슬러 올라가야 한다. 당시 미국 국방성의 네트워크 시스템인 알파네트에 침입해 자신이 동작하고 있음을 메시지로 남겨 쉽게 발견된 크리퍼(Creeper)라는 프로그램이 바로 최초로 보고된 바이러스이다. 하지만 현재 우리가 사용하고 있는 IBM 계열 컴퓨터에서의 바이러스는 그보다 휠씬 뒤에 제작돼 유포되었다. 파키스탄의 두 형제가 불법복제를 일삼는 사람을 응징(?)하기 위해 제작된 브레인(Brain) 바이러스가 그것이다. 이 바이러스는 단순히 자신을 유포하는 기능에만 전념할 뿐 특별한 파괴증상이 없었으며, 감염된 플로피 디스크의 이름을 ‘(C) Brain’으로 변경하는 증상을 가지고 있었다. 이 사건 이후 많은 사람들은 바이러스에 대해 관심을 가졌고 무수히 많은 바이러스를 제작케 한 계기가 되었다.

   도스 바이러스
   마이크로소프트에서 개발한 MS-DOS 1.0은 현재 윈도우XP의 모습으로 변천돼 왔다. 그리고 마지막으로 국내에서 출시된 MS-DOS의 단독 버전인 6.2가 나오기까지 도스 바이러스도 많은 기술을 선보이며 발전했다. 최근에는 도스 바이러스의 피해 신고가 뜸하지만 이때 제작된 몽키(Monkey.B) 바이러스 등이 그 명맥을 유지하고 있다. 몽키 바이러스와 같은 부트 바이러스가 아직까지 활동할 수 있는 이유는 감염위치가 파일이 아닌 부트섹터라는 점이다. 윈도에서는 파일포맷이 도스와 달라 파일을 감염시키는데 제한적이지만 컴퓨터가 부팅될 때 처음으로 읽혀지는 부트섹터는 파일 시스템만 같다면 감염이 가능하기 때문이다. 대부분의 도스용 바이러스는 PC 통신망의 자료실이나 플로피 디스크 등에 의한 감염이 주류를 이뤄 그다지 큰 피해를 주지 못했다. 즉, 감염된 컴퓨터 외의 다른 컴퓨터에는 피해를 주지 못하고 감염된 컴퓨터 안의 파일이나 부트섹터 등에만 감염되었다.
   도스 바이러스는 파일 바이러스에 의한 피해는 극히 드물겠지만 부트 바이러스에 대한 피해가 아직까지도 신고가 되고 있으므로 많은 주의를 요한다. 그리고 피해신고가 되고 있는 부트 바이러스의 감염경로는 이전에 사용했던 플로피 디스크로 부팅을 했을 경우가 대부분이라 오랫동안 사용하지 않은 플로피 디스크는 최신 버전의 백신 프로그램으로 검사를 하고 이상이 없을 때만 사용해야 안전하다.

   윈도에서 동작하는 유해코드
   윈도 계열은 세계적으로 가장 많이 사용되는 운영체제다. 사용자가 많다는 이야기는 그만큼 유해코드를 제작할 수 있는 제작자가 많다는 말과 일맥상통할지도 모른다. 윈도에서는 많은 종류의 유해코드가 있으며, 앞으로도 계속 신종이 제작되어 피해를 유발할 것으로 예상된다.
   특히 최근에 만들어지고 있는 유해코드들은 전자우편이나 IRC 채팅 프로그램 등을 이용해 빠른 확산력을 보이고 있으며, 감염된 시스템을 사용할 수 없을 정도로 파괴하는 증상도 흔히 볼 수 있다. 또한 도스 바이러스에서 볼 수 없었던 백도어 프로그램이 많이 개발되고 있어 정보보안에 더욱 더 주의를 기울여야 할 것이다.

   윈도 바이러스
   윈도 바이러스는 윈도 운영체제를 기반으로 동작하는 바이러스다. 하지만 윈도 운영체제에서 동작하는 모든 유해코드가 윈도 바이러스라 할 수 없다. 윈도 바이러스는 다른 파일을 감염시켜 자신의 코드를 복사한 후 기생하고 감염된 파일을 실행될 때 바이러스가 먼저 실행되어야 한다. 또한 현재 실행 중 인 파일에 감염되었을 경우 치료가 매우 까다롭다는 특징을 가진다. 대표적인 예로는 지난 1999년 4월 26일에 우리나라에서만 30만 대의 컴퓨터를 마비시킨 Win95.CIH(체르노빌) 바이러스가 있다.

   인터넷 웜(I-Worm, Internet Worm)
   인터넷 웜은 흔히 전자우편이나 IRC 채팅프로그램을 이용해 확산하는 유해코드를 말한다. 그러나 확산방법은 주로 전자우편을 이용하는 경우가 대부분이며, 발송하는 메일 주소도 사용자의 메일 클라이언트 프로그램에 저장된 메일주소를 이용하거나 임시 인터넷 파일에서 메일을 추출하는 등 경로가 다양해지고 있다. 이러한 특성상 미처 예방을 하기 전에 많은 사용자들이 동시다발적으로 감염이 돼 피해를 입는 경우가 허다하다.
   인터넷 웜은 최근에 피해보고가 되고 있는 유해코드 중 가장 많은 종류를 차지하고 있으며, 앞으로도 많이 제작될 것으로 예상된다. 하지만 메일에 첨부된 파일을 실행하기 전 한번쯤 파일을 의심해 본다면 피해를 예방할 수 있는 가장 손쉬운 유해코드이기도 하다.

   백도어(Backdoor) 프로그램
   지난 1998년 백오리피스(BackOrifice)를 시작으로 백도어 프로그램이 제작되기 시작했다. 백도어는 말 그대로 ‘뒷구멍’이라는 뜻으로 윈격지에서 사용자가 몰래 정보를 수집하거나 시스템의 특정명령을 수행, 그리고 시스템을 재구성 할 수 있는 등 시스템을 통제할 수 있도록 제작된 프로그램을 말한다. 현재 수백종의 백도어 프로그램이 발견되고 있으며, 누구나 쉽게 해킹을 할 수 있어 그 위험성은 다른 유해코드보다 더 심각하다. 즉, 해킹에 대해 전혀 모르는 사람도 마우스 클릭 몇 번으로 사용자의 정보를 손쉽게 얻을 수 있다. 하지만 백도어 프로그램을 가지고 있다고 해서 무조건 해킹을 당하는 것은 아니다. 백도어 프로그램은 서버와 클라이언트 프로그램으로 나누어져 있으며, 원격지에서 다른 컴퓨터를 조작하기 위해서는 서버 프로그램이 설치돼 있어야만 한다. 최근 나오는 백신 프로그램에서는 이런 백도어 프로그램을 진단 및 치료하는 기능이 추가돼 있으며, 최신버전의 엔진으로 드라이브 전체는 정기적으로 검사하면 예방할 수 있다.

   매크로(Macro) 바이러스
   마이크로 소프트의 오피스군(엑셀, 워드, 파워포인터 등) 문서파일에 감염되는 바이러스다.(오피스군이 설치돼 있어야만 바이러스 감염이 일어날 수 있다.) 오피스군에서는 기본적으로 VBA(Visual Basic Application)를 지원하며, VBA를 이용해 매크로를 만들 수 있다. 매크로는 문서작업에 있어 효율성을 극대화하기 위해 제작된 것이지만 현재로는 바이러스로 제작되는 경우가 많다. 처음의 매크로 바이러스는 파일을 감염시키는 소극적인 모습을 보여 주었지만 멜리사 바이러스처럼 전자우편을 통해 강한 확산력을 보여주는 바이러스도 있다. 오피스군이 제작될 당시부터 바이러스가 제작되기 시작해 지금까지도 꾸준히 제작되고 있다.

   비주얼 베이직 스크립트(VBS)
   윈도95 인터넷 익스플로러 탑재버전부터 지원하는 VBS(Visual Basic Script)는 MS DOS의 BAT 파일과 비슷한 성격을 띤다. 즉, 어떤 작업을 일괄적으로 처리해 주기 위해 제작된 언어인 만큼 대부분의 명령어를 포함하고 있으며, VBA를 지원하는 프로그램을 쉽게 조작할 수 있다. 이런 특징 때문에 바이러스나 인터넷 윔을 제작하는 도구로 많이 활용되고 있다. 
   하지만 VBS는 윈도우에서 BAT 파일을 대신하는 기능 외에도 HTML 내에서 자바 스크립트(Java Script)와 같이 클라이언트 측의 스크립트로 사용되기도 하고 서버측 스크립트 언어인 ASP의 기본 언어이기도 하다.
   최근에 제작되고 있는 VBS 바이러스의 형태는 인터넷 윔의 성격에서 바이러스로 변화하고 있다. 지난 2000년 5월 4일 전세계를 강타한 러브레터(VBS.LoveLetter 러브버그) 윔의 증상은 전자우편으로 자신을 전송하고 실행 시 파일을 파괴하는 기능이었으나 최근에 발견된 해피타임(VBS.HappyTime) 바이러스의 경우엔 동일한 스크립트를 감염시키는 바이러스 형태로 발전했다. 스크립트는 소스코드 형태로 감염이 일어나므로 바이러스 소스를 쉽게 얻을 수 있고 변형이 가능하다는 점에서 많은 변종들이 제작되고 있다(러브레터의 경우에 실제로 보고된 것만 40여종의 변종이 만들어졌다).

   장난성 프로그램(Joke)
   실제로 하드 디스크의 파일을 삭제하거나, 바이러스와 같은 감염동작은 없지만 사용자를 놀라게 하는 등의 장난성 프로그램을 말한다. 여름철에 가장 많이 제작되고 있으며, 귀신그림이 주류를 이룬다. 특별한 치료방법이 있는 것이 아니므로 해당 파일은 삭제를 하면 된다.

   가짜 바이러스
   전자우편을 통해 어떠한 바이러스가 활동 중이니 조심하라는 메일을 한번쯤은 받아 보았을 것이다. 그리고 메일내용을 많은 사람에게 배포해 달라는 말도 빠지지 않는다. 바이러스에 의한 피해가 늘어나고 관심이 많아지는 요즘 이런 메일이 부쩍 늘었다. 하지만 메일에서 설명하는 바이러스는 실제로 존재하지 않는 루머정도다. 예전에 유행했던 행운의 편지와 같은 성격의 메일이다. 대표적인 예로는 Hoax.JoinTheCrew나 Hoax.Wobbler 등이 있다.

   미래에 등장할 바이러스
   지금까지 등장한 바이러스는 우리가 한번쯤 머리속으로 상상해 보았던 수준일 것이다. 하지만 미래에 등장할 바이러스는 백신 개발자인 필자가 보기에도 아직까지 미지수다. 어떤 기술이 개발돼 그에 맞게끔 컨버전된 바이러스가 등장할 수도 있고, 현재 개발된 플랫폼에서 활동할 수 있는 바이러스가 나올 수도 있다. 하지만 지금의 추세라면 다음의 성격을 가진 바이러스가 제작되지 않을까 조심스럽게 추측해 본다.

○ 빠른 확산력을 가질 수 있는 네트워크를 이용한다.
○ 불특정 다수에게 피해를 주며, 감염 즉시 파괴동작을 가진다.
○ 보안버그를 이용해 확산시킨다.
○ 여러가지 OS를 넘나들면서 감염시키는 멀티 플랫폼 바이러스가 발생한다.

   천재지변이 발생하더라도 이에 대한 철저한 대비책이 마련돼 있다면 피해는 최소화 할 수 있다. 바이러스나 유해코드 등도 마찬가지다. 최신의 보안 정보에 항상 귀 기울이고 백신 등의 보안프로그램 관리에 소홀히 하지 말아야 할 것이다.