보안IT뉴스 보안권고문 보안Tip 보안처방 보안통신 보안용어 보안백신메일 보안캘린더 보안위협DB 찾기
보안칼럼
에브리존 Zip에브리존 See에브리존 FTP

  보안IT뉴스
  보안권고문
  보안Tip
  보안처방
  보안통신
  보안용어
  보안백신메일
  보안캘린더
  보안위협DB찾기
  보안칼럼

   보안칼럼
   
 목록 |  윗글 |  아랫글
 [2탄-베이글편]변종 악성코드의 끝은 어디까지인가?
   기술개발연구소 2004-07-08       조회  47080 
<table width="530" border="0" cellspacing="0" cellpadding="0"> <tr> <td><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_title.gif" width="530" height="125"></td> </tr> <tr> <td align="center" background="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_bg.gif"><table width="530" border="0" cellspacing="5" cellpadding="5" class="subb"> <tr> <td class="subb">한달전 똑같은 제목으로 칼럼을 작성한 적이 있었다.<br> 그때도 Bagle 웜과 Netsky웜의 변종이 극성을 부릴때였으며, Bagle웜의 변종이 끝나지 않았음을 예고하였다. 그렇고보니 지난 1월 19일 국내에 처음 등장한 W32/Bagle@mm은 3월 26일 W32/Bagle.U@mm까지 총 21여개 변종이 등장 하고 있다. 3일에 한번꼴로 변종이 등장한 셈이다. <br> <br> 초기에는 일반적인 웜 처럼, 메일과 첨부파일을 통해 전파되었지만 변종을 거듭할 수록 바이러스로써의 기능추가와 더불어 백신 진단을 방해하는 기법까지 동원된 그야말로 인터넷 웜 종합 선물 셋트로 발전하게 되었다.<br> <br> 일반적으로 인터넷 웜류와 파일 바이러스의 감염 경로는 그 틀이 일정선상에서 어느정도 분별되는 틈이 있었다. 즉, 인터넷 웜은 메일과 윈도우 취약점을 통해서, 파일 바이러스는 네트워크 공유 폴더를 통해서 주로 확산과 감염작용을 일으켰다.<br> <br> 하지만 Bagle 변종씨리즈는 이러한 틀을 과감하게 무너뜨리고 [웜 + 파일 바이러스]라는 퓨전 양상을 선보여 웜 바이러스로써의 발전 가능성을 가장 대중화 시켰다는 점에서 시사하는 바가 크다. 또한 짧은 기간내에 많은 변종을 등장 시켜 백신 관계자들을 긴장 시킨것은 유례가 없었던 만큼 한번쯤 원형에서 부터 최근의 변종까지 기능중심으로 살펴보는 것도 의미가 있을 것이다.<br> <br> 다음은 Bagle A 부터 Bagle U까지 특징을 정리해보았다. <table width="510" border="0" cellspacing="0" cellpadding="0"> <tr> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> </tr> <tr> <td width="163"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=316&GotoPage=3" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_a.gif" width="163" height="150" border="0"></a></td> <td width="10">&nbsp;</td> <td width="163"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=324&GotoPage=3" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_b.gif" width="163" height="150" border="0"></a></td> <td width="10">&nbsp;</td> <td><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=329&GotoPage=3" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_c.gif" width="163" height="150" border="0"></a></td> </tr> <tr> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> </tr> <tr> <td height="10"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_d.gif" width="163" height="150"></td> <td height="10"></td> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=330&GotoPage=2" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_e.gif" width="163" height="150" border="0"></a></td> <td height="10"></td> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=328&GotoPage=3" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_f.gif" width="163" height="150" border="0"></a></td> </tr> <tr> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> </tr> <tr> <td height="10"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_g.gif" width="163" height="150"></td> <td height="10"></td> <td height="10"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_h.gif" width="163" height="150"></td> <td height="10"></td> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=331&GotoPage=2" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_i.gif" width="163" height="150" border="0"></a></td> </tr> <tr> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> </tr> <tr> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=332&GotoPage=2" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_j.gif" width="163" height="150" border="0"></a></td> <td height="10"></td> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=333&GotoPage=2" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_k.gif" width="163" height="150" border="0"></a></td> <td height="10"></td> <td height="10"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_m.gif" width="163" height="150"></td> </tr> <tr> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> </tr> <tr> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=335&GotoPage=2" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_n.gif" width="163" height="150" border="0"></a></td> <td height="10"></td> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=336&GotoPage=1" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_o.gif" width="163" height="150" border="0"></a></td> <td height="10"></td> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=338&GotoPage=1" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_p.gif" width="163" height="150" border="0"></a></td> </tr> <tr> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> </tr> <tr> <td height="10"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_q.gif" width="163" height="150"></td> <td height="10"></td> <td height="10"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_r.gif" width="163" height="150"></td> <td height="10"></td> <td height="10"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_s.gif" width="163" height="150"></td> </tr> <tr> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> </tr> <tr> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=341&GotoPage=1" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_u.gif" width="163" height="150" border="0"></a></td> <td height="10"></td> <td height="10"><a href="http://www.everyzone.com/info/virus_db/content.asp?seq=342&GotoPage=1" target="_blank"><img src="http://www.everyzone.com/tvonline/everyzone/20040329/images/ad_tvai_bagle_v.gif" width="163" height="150" border="0"></a></td> <td height="10"></td> <td height="10"></td> </tr> <tr> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> <td height="10"></td> </tr> </table> 간단하게 살펴본 Bagle 웜은 크게 두가지 버전으로 나뉘어 진다. K 형까지는 인터넷 웜으로써 첨부파일에 암호가 걸린 압축 파일과 메일 본문에 패스워드를 제공하는 등의 발전된 형태로 백신 진단을 어렵게 했었다면 N 형 부터는 전파 방법이 빠른 웜의 장점에 다형성 파일 바이러스로 정상 파일을 감염시켜 백신 진단을 더욱 어렵게 만드는 파일 바이러스의 장점을 취했다.<br> <br> 또한 Netsky라는 웜의 제작자와 기술의 우위를 주장하며 서로의 웜을 삭제하는 등의 일종의 전쟁을 하는 분위기가 빠른 업데이트(?)와 함께 다양한 변종의 등장을 가능케 한것이 아닌가 추측해 볼수 있다.<br> <br> Bagle은 원형에서 많은 변형을 이루어 백신과 보안관련 프로그램을 피하는 몇가지 아이디어로 무장해 있는데, 예를 들면 첨부파일을 zip 형태로 보내는 것은 일반적이지만 암호를 걸어 백신의 진단을 피한 방법이라든가(F형), 본문을 html로 만들어 첨부파일 없이도 특정 ip 대역에서 직접 웜 파일을 내려받아 실행 하는 방법(P형), 그리고 웜파일이 직접 바이러스로 변해 정상파일을 감염시키는 기능(N형)등 그리고 최근의 V형은 제목과 본문내용이 없는 형태로 전파되는데 이는 이메일 필터링을 피하기 위한 또하나의 아이디어가 아닐까?<br> <br> Bagle 웜은 3달이 채 못되는 기간에 20여개나 되는 같은 형태의 변종을 만들어 냈다.<br> 같은 웜 제작자 끼리의 미묘한 경쟁심리와 자신의 코드를 계속 수정하는 결벽주의 그리고 끝임없는 아이디어를 프로그램에 반영하는 열정등이 지금의 Bagle 을 낳았는지도 모른다. 비록 제작자가 동일 인물인지 확실지 않고 잘못된 방향의 열정이긴 하지만...그리고 U자형이 나온지 3일만에 V자형이 등장했다. <br> <br> 최근에 나온 변종들이 대략 일주일정도의 텀이 있는 것을 감안하면 지금도 어디에선가 또다른 아이디어를 가지고 전혀다른 변종을 만드는 것이 아닌가 조심스럽게 추측해 본다.<br> <br> <strong><u> Bagle 원형 및 변종은 터보백신 Ai로 치료가능하며, 터보백신 Ai을 사용하시면서 <br> 아웃룩을 사용하신다면 반드시 이메일 감시기를 실행하시기 바랍니다. </u></strong> </td> </tr> </table></td> </tr> <tr><td height="1" bgcolor="7E7D2C"></td></tr> </table>
 목록