침해사고 원인

악성코드는 DDoS, 정보유출, 시스템 파괴, 원격조종 등 악의적인 목적으로 이용되는 컴퓨터 프로그램을 총칭하며, 바이러스, 웜, 트로이 목마, 악성 봇, 백도어 등 매우 다양한 종류로 나뉜다. 바이러스는 스스로 독립된 형태가 아니라 숙주 파일을 감염시키는 형태이고, 웜은 숙주 파일 없이 자신을 스스로 복제해 전파하며, 트로이 목마는 정상적인 파일에 포함되어 함께 설치된다.

침해 동향

침해의 동기는 호기심과 자기과시에서 사회 혼란과 사이버 테러로, 기법은 수동에서 자동화·은닉화를 거쳐 조직적이고 지능화된 형태로, 피해 범위는 개별 시스템에서 대규모 네트워크를 거쳐 사회 기반 시설과 국가 단위로까지 확대되어 왔다.

감염 경로

짧은 시간에 대량의 PC를 감염시키기 위해 악성코드는 다양한 경로로 유포되며, 최근에는 이슈화된 사회적 사건이나 사용자 간 신뢰 관계를 악용하는 수법이 늘고 있다. 홈페이지 방문만으로도 사용자가 인지하지 못한 채 감염되는 Drive by Download 방식이 있는데, 윈도우 등 운영체제를 업데이트하지 않은 경우 특히 취약하다. 웹하드나 P2P에서는 해커가 전용 프로그램 자체를 변조해두어, 사용자가 이를 이용하는 순간 감염되기도 한다. 이메일은 첨부파일이나 본문에 링크된 사이트 접속을 통해 감염되며, 제목과 본문을 지능적으로 작성해 클릭을 유도하는 경우가 많다. 메신저는 계정을 탈취한 뒤 등록된 친구들에게 악성코드를 전파하거나, 대화창의 파일 공유나 쪽지 전송으로 감염을 유도하는 경로로 악용된다. 피싱 중 파밍은 악성코드로 정상 경로를 가짜 경로로 유도해 개인 금융 정보를 탈취하는 방식이고, 스미싱은 문자 메시지로 악성 앱을 설치시킨 뒤 정보를 유출하고 결제까지 시도하는 방식이다. 이 밖에 SQL Injection 취약점을 악용해 인증을 우회한 뒤 악성코드를 삽입하는 경로도 있다.

악성코드의 발전

APT(Advanced Persistent Threat, 지능형 지속 위협) 공격이 범람하고 있다. 정부나 특정 조직의 취약점을 대상으로 지속적으로 해킹을 시도하는 이 공격은, 상당히 오랫동안 진행되어도 직접적인 피해가 발생하기 전까지는 인지하기 어렵다는 특징이 있다. 이슈가 반영된 인기 검색어를 악용한 악성코드도 늘고 있고, 중요 파일을 암호화한 뒤 이를 풀어주는 대가로 금품을 요구하는 랜섬웨어도 증가하는 추세로, Drive by Download로 유포될 경우 웹에 노출되는 것만으로도 감염될 수 있다. 악성코드 분석을 어렵게 하는 난독화 기법과, 실행 중인 정상 프로세스에 기생해 자신을 숨기는 은닉화 기법의 적용도 보편화되고 있다. 업데이트나 스팸 발송처럼 세부 기능을 전담하는 모듈로 분리한 뒤, 각 모듈이 유기적으로 협력하는 형태로 모듈화·분업화되기도 한다. 이런 APT 공격은 대체로 침투, 검색, 수집, 유출이라는 절차로 진행된다.

예방 및 대응

악성코드 수집에는 허니팟, 클라이언트 허니팟, 스팸트랩 등이 활용되며, 주요 홈페이지에 대한 점검도 예방 대응의 한 축을 이룬다.