보안

기고| 3.20 대란 악성코드 100% 탐지한다? 100% 이해 부족

문일준 | 빛스캔 대표이사  | ITWorld 2013.03.22
빛스캔 측은 이 기고를 통해 '백신 무용론'을 주장하는 것이 아니라 공격자가 백신의 특성 및 한계를 명확히 파악하고 있고 이를 통해 악성코드를 효과적으로 전달 감염시킨다는 사항을 알려 드리기 위해 작성됐다는 점을 강조했다. 
 
3월 20일 오후에 발생한 3.20 전산대란에 대한 주요 방송국, 은행 등 금융 업계를 대상으로 한 악성코드 공격에 대한 분석이 어느정도 마무리되면서 결과 및 향후 대응이 주목되고 있다.
 
내부 네트워크에서 확산되었다는 점, 특히 국내외 안티바이러스 업체에서 악성파일의 탐지 여부에 대한 논의가 이어지고 있다. 이번에 발견된 악성파일은 신종이기 때문에 기존 안티바이러스 제품에서 탐지가 어려웠다고 전하고 있다. 
 
참고로, 신규 악성코드의 경우 안티바이러스 업체가 100% 탐지할 수 없기 때문에 이를 위해 안티바이러스 업체들은 새롭고 다양한 보안 기술을 개발 및 적용해 오고 있다.
 
그 가운데 국외 안티바이러스 업체인 소포스(Sophos)는 이미 2011년도에 자사 안티바이러스 제품에서 탐지 및 예방할 수 있는 악성코드라는 주장을 제기했다. 하지만, 이 주장은 악성코드가 감염되는 과정에 대한 이해가 부족한 상태에서 작성된 것으로 보인다. 소포스 측에서 제기한 것은 최종 악성코드 파일을 단순하게 진단하는 사례에 불과하다는 것이다.
 
이 이유에 대해 설명하고자 한다. 안티바이러스는 PC에서 실시간 감시 기능을 제공하고, 최신 악성코드에 대응하기 위해 주기적으로 DB(시그내처)를 업데이트한다. 하지만, 국내 정상적인 웹사이트를 통해서 유포되는 신종 악성코드는 단순하게 악성 파일을 다운로드해 실행하는 것이 아니며 다음과 같은 과정을 거친다.
 
1. 공격자가 정상적인 웹사이트에 악성코드 파일 업로드
2. 사용자가 방문시 
 2-1. 자바, 어도비 제로데이와 같은 취약점을 이용해 권한 상승(시스템 권한 장악)
 2-2. 안티바이러스의 프로세스 제거(KillAV)
 2-3. 감염 및 동작을 위한 실제 악성코드 파일 다운로드 및 실행
3. 사용자 감염
 
따라서 2-3 단계에서 다운로드되는 악성파일을 안티바이러스가 진단할 수 있다고 하더라도 2-2 단계에서 이미 안티바이러스의 기능이 일부 상실됐기 때문에 진단 자체가 어려운 것이다.
 
다시 말하면 2-1 단계에서 악성파일의 유입을 막지 못한다면 무용지물이 된다는 의미다.
 
참고로, 소포스 안티바이러스가 국내에서 안랩이나 하우리 정도의 유명세 및 점유율을 가지고 있다면 공격자들은 소포스 안티바이러스의 프로세스를 분석해 이 또한 KillAV 기능에 탑재할 것이라고 보여진다. 그렇다면 소포스 또한 다른 안티바이러스와 동일한 결과는 가져오게 된다.


출처: 빛스캔 고급보안정보구독서비스 3월 3주차 브리핑 보고서, KillAV Process

 

또한, 악성코드 제작자들은 국내 공격을 하기에 앞서 안티바이러스 업체가 해당 악성파일의 진단 여부를 반드시 검증한다. 즉, 안티바이러스가 진단하기 어려운 신종만으로 공격을 노리는 것이라고 볼 수 있다.
 
따라서, 최종 파일의 진단 여부가 아니라 초기 악성코드를 유포하는 사이트에 대한 진단 및 차단, 초기 다운로드되는 악성코드에 대한 부분까지 모두 포함해 결과를 얘기해야 한다. editor@itworld.co.kr  
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.