침해사고 대응을 위한 악성프로그램 파헤치기!!

어느 날 컴퓨터(PC)를 사용하려고 컴퓨터를 켰다.

잉? 컴퓨터가 지나치게 느려졌다. 헉..;;

오늘 학교 과제도 하고, 인터넷으로 확인할 것들도 많은데 ㅠㅠ

이게 왜 이럴까..? 왜 이러지..? 내가 뭘 잘 못했나? 한참을 고민해 보았다.

아. 그러고 보니 어제 어둠의 경로(?)를 통해 프로그램 하나 받아 설치 한 것이 있었는데;;;

때 늦은 후회를 하며, 백신을 돌려가며 문제를 해결했는데 그 찝찝함은 어찌 할 수 없었다;

 

현 시대에 인터넷이 널리 퍼지고 공급되면서, 우리는 넘쳐나는 정보의 홍수 속에 살아 가고 있다. 그러한 정보 속에는 악의적인 목적으로 우리의 소중한 자산에 기생하는 정보들도 존재하고 있다. 그런 정보들을 우리는 악성 프로그램 이라고 부른다. 다시 정리해보면, 악성프로그램의 개념은 시스템 내에 설치되어 시스템의 정상적인 동작을 방해하거나 또는 사용자가 알아채지 못하는 상태에서 특정 작업을 수행하게 하는 프로그램을 말한다. 이러한 악성 프로그램에는 어떠한 유형들이 존재 할까? 우리가 잘 알고 있는 바이러스가 대표적이며, 백도어, 트로이 목마, 웜 등을 들 수 있다. 오늘 여기서는 바이러스의 발전과정과 유형에 대해서 살펴보자.

 

다음에서 컴퓨터 바이러스를 3가지로 나눠보면..

첫 번째로, 발전 단계에 따른 컴퓨터 바이러스를 분류해 보자.(여기서 발전 단계라고는 하지만, 시기적인 순서로 엮인 것이 아니라는 것을 먼저 밝힌다.)

1세대는 원시형 바이러스(1987~1989)이다.
아마추어 프로그래머들이 만든 단순하고 분석하기 쉬운 바이러스로 부트섹터나 파일 등을 감염시키는 특징이 있으며, 대표적으로 예루살렘 바이러스가 여기에 해당한다.

2세대는 암호화 바이러스(1990~1992)이다.
 백신을 피하기 위해 일부분을 암호화시켜 저장된 바이러스를 의미한다. 겉만 보면 1세대랑 달라진 점을 찾아보기 힘들지만, 이를 역으로 분석하는 입장에서는 암호를 해독해야 했기 때문에 어려움을 겪었던 시기가 있었다. 느림보 바이러스가 여기에 해당한다.

3세대는 은폐형 바이러스(1993~1994)이다
. 자신을 은폐시키는 바이러스를 말한다. 말 그래도 자신은 은폐하고 감시하는 것에는 거짓정보를 알리게 되므로 그 당시 진단에 어려움이 있었다. 브레인 바이러스가 여기에 해당한다.

4세대는 갑옷형 바이러스(1994~1997)이다.
 다양한 암호와 은폐 기법이 사용된 바이러스로 처음에는 연구용으로 만들어 졌다. 연구용 바이러스의 소스코드가 외부에 공개되면서 바이러스로 등장하게 되었다. 대표적인 바이러스로 고래 바이러스가 있다.

5세대는 매크로 바이러스(1996~)이다.
매크로 바이러스는 전 세계적으로 확산되고 있는 바이러스 이다. 실행파일이 아닌 문서 파일을 공격함으로써 기존의 바이러스의 개념이 많이 바뀌게 된 계기가 되었다. 

 

두 번째로, 감염 부위에 따라 바이러스를 분류해 보자.

컴퓨터가 처음 가동될 때 디스크에서 가장 먼저 실행되는 부분이 부트섹터인데, 이 부분을 감염시키는 부트 바이러스가 있다. 여기에 해당되는 바이러스에는 핑퐁 바이러스 등이 있다.

그리고 파일을 감염시키는(주로 실행파일) 가장 일반적인 바이러스로 파일 바이러스가 있다. 여기에는 예루살렘 바이러스, CIH바이러스 등이 있다.

또 부트섹터와 파일에 모두 감염되는 부트/파일 바이러스가 있으며, 이는 피해 정도가 상당하다. 대표적인 바이러스로 침입자 바이러스, 애볼라 바이러스 등이 있다.

이 밖에 문서파일 등에 감염되는 매크로 바이러스가 존재하고 멜리사 바이러스 등이 여기에 속한다.

 

세 번째로, 바이러스 유형에 따른 컴퓨터 바이러스를 분류해 보자.

여기에는 겹쳐쓰기형 바이러스, 비겹쳐쓰기형 바이러스, 메모리 상주형 바이러스, 호출형 바이러스로 분류할 수 있다.

겹쳐쓰기형(overwriting) 바이러스는 가장 만들기 쉬우며 악성 바이러스가 많다. 여기에 속하는 바이러스는 발견은 가능하나 치료가 어려운 점이 있다. 최근에 개선된 겹쳐쓰기형(Improved) 바이러스는 백신이 발견하고 치료 또한 가능하다.

비겹쳐쓰기형 바이러스는 일정 주기를 두고 서서히 파괴 활동을 하는 바이러스들이 여기에 해당한다. 초기 발견 시엔 치료가 가능하나, 오랜 시간이 경과한 후에는 치료가 불가능하게 되며, 감염 될 시, 정상 프로그램의 실행 속도가 느려진다.

메모리 상주형 바이러스는 인터럽트 벡터 테이블의 일부분을 변형 시켜, 자신이 사용하려고 만든 루틴과 결합하여 엉뚱한 명령을 처리하게 하며, 시스템이 꺼지기 전까지 상주하게 된다.

호출형 바이러스는 디스크 뒤쪽에 위치하여 특정 파일로 저장되어 있다. 

이렇게 총 세가지 형태로 바이러스를 분류하고 또 세분화 해 보았다.

지금도 바이러스는 지속적으로 변형되어 가고 있으며, 윈도우와 같은 운영체제 자체의 취약점을 활용하는 바이러스들도 상당 수 많아지고 있는 상황이다. '지피지기면 백전백승' 이라고 한다. 내 컴퓨터의 취약점을 미리 확인하고 처리하고, 자신의 보안수준을 확실하게 처리해서 자신의 보안수준을 확실히 하고, 호시탐탐 나의 자산을 노리는 바이러스 또한 확실하게 파악하고 있다면 나의 소중한 자산은 조금 더 안전한 곳(Safety Zone)에 위치 할 수 있을 것이라고 생각한다.