8. 바이러스(Virus)
8.1 바이러스란?
'컴퓨터 바이러스'란 말은 1983년 프레드릭 코헨 박사가 보안에 관한 발표회에서 처음으로 사용된 용어로서 소프트웨어 AIDS, 쓰레기 프로그램, 전자 페스트 등과 같은 이름으로 사용되고 있는 컴퓨터 프로그램의 일종이다. 컴퓨터 바이러스란 컴퓨터의 운영체제나 소프트웨어에 몰래 들어가 시스템이나 사용자의 프로 그램에 자신을 복제하고 그 컴퓨터 시스템과 파일들을 파괴하는 컴퓨터 프로그램이다. 이들 컴퓨 터 프로그램을 컴퓨터 바이러스라고 부르는 이유는 컴퓨터 바이러스들의 증상이 마치 바이러스 균이 생물체에 들어가서 행하는 것과 비슷하다는 것이다. 이들 프로그램은 컴퓨터의 운영체제 (OS)나 프로그램에 자기자신을 복제하는 특징을 가지고 있다. 즉, 유전인자(프로그램)을 갖고 있 으면서 컴퓨터 시스템이나 다른 프로그램에 자신을 복제하도록 만들어진 프로그램이다.
8.2 컴퓨터 바이러스의 특징
컴퓨터 바이러스가 처음 등장할 때만 하더라도 지금처럼 컴퓨터 사용자들에게 많은 피해를 주 는 악성 프로그램이 아니고, 지루하고 힘겨운 컴퓨터 생활에서 조금이나마 피로를 풀 수 있는 오락형의 양성 프로그램들이 대부분이였다. 이것이 일명 '크랙커(필자는 해커와 크랙커를 분명히 구분하고 있다.)'라는 젊은 컴퓨터 매니아들에 의해 점점 악성 프로그램으로 변형되었다. 이들은 다른 사용자들의 귀중한 프로그램이나 중요한 자료를 파괴하여 기쁨을 느낌과 동시에 자신의 프 로그램 실력을 은근히 과시하기도 한다. 현재 발견된 바이러스들의 보여주는 것처럼 거의 모든 바이러스 프로그램들이 악성 프로그램이 며, 나름대로 각기 다른 코드를 가지고 있는 것 또한 특징이다. 그러나 이들 바이러스들의 기본적인 성격이나 증상은 거의 비슷하다.
8.2.1 자기 복제 살아있는 생물체
바이러스가 자신을 복제하는 것 처럼 컴퓨터 바이러스도 다른 시스템이나 소 프트웨어를 감염시키기 위해 자신을 복제할 수 있는 코드를 가지고 있으며, 기회가 오면 언제든 지 자신을 감염시킬 준비를 갖추고 있다.
8.2.2 저수준(Low - Level) 언어 사용
컴퓨터 바이러스는 하나의 프로그램이기 때문에 고급언어인 파스칼이나 C, BASIC 등과 같은 고 급 언어및 배치파일로도 작성이 가능하지만, 현재까지 발견된 바이러스들을 살펴보면 거의 모든 바이러스 프로그램들이 어셈블리 언어로 작성되어 있다는 것을 볼 수 있다. 이처럼 바이러스 프 로그램들이 고급 언어를 사용해 프로그램을 제작하는 것보다 저급 언어인 어셈블리 언어나 기계 어를 이용해 프로그램을 작성하는 것은 이들 언어가 시스템을 쉽게 조작할 수 있는 장점이 있기 때문이다.
8.2.3 다양한 변종
새로운 바이러스가 나오게 되면 뒤이어 그것을 모방한 잡종 바이러스가 다양하게 나온다. 예를 들어 국내에서 가장 많이 알려진 (c) 브레인 바이러스는 브레인 - B, 휴스턴 브레인, 클론 브레 인, 슈 바이러스, 죠크 바이러스 등 다양한 변종 바이러스들을 가지고 있다.
8.2.4 지능화 및 악성화 바이러스
프로그램들의 양상은 갈수록 더욱 지능화 되고 읶으며 더욱 파괴적인 악성 프로그램 으로 변해가고 있다. 초창기만 하더라도 거의 피해를 주지 않던 양성 바이러스에서 벗어나 심각 한 피해를 끼치는 악성 바이러스로 점차 발전하고 있다.
8.2.5 운영체제 파괴
컴퓨터 운영체제 파일내에 기생하면서 시스템의 운영체제를 파괴하는 바이러스로서, 컴퓨터 시 스템을 사용하는 사용자에게 뿐만 아니라 여러 사용자들에게 막대한 피해를 입히는 악성 프로그 램이다. 대표적인 것으로는 국내에서 제작된 LBC 바이러스가 있다. 8.2.6 데이타 파괴 사용자 프로그램이나 실행파일에 기생하면서 데이타를 파괴하는 바이러스이다. 이 유형은 공공 기관이나 연구소, 회사 등에서 사용하는 귀중한 자료를 파괴함으로써 커다란 인적, 물적, 시간적 손실을 초래한다. 예를 들어 dBASE 바이러스는 애쉬톤 테이트사의 dBASE 데이타 파일만 파괴하는 특징을 가지고 있다.
8.3 바이러스의 유형
8.3.1 기종에 따른 분류
컴퓨터는 크기 및 성능을 기준으로 대형 컴퓨터, 미니 및 마이크로 컴퓨터, 개인용 컴퓨터 등 으로 나누어진다. 따라서 컴퓨터 시스템의 기종에 따라 컴퓨터 바이러스를 분류할 수 있다. 일반 적으로 대형 컴퓨터 바이러스는 네트워크와 연결이 되어 있으므로 이 네트워크를 통해 바이러스 가 침투하는 경우가 많다. 대표적인 바이러스 프로그램으로는 크리스마스 메시지 바이러스와 버 클리 유닉스 바이러스가 여기에 속한다. 지금까지 밝혀진 대형 시스템 바이러스는 주로 양성 바 이러스가 대부분이지만, 앞으로는 악성 바이러스가 출현할 가능성이 높아지고 있어 그에 따른 예 방책이 시급한 실정이다. 미니 컴퓨터 기종에서는 아직 정확히 보고된 바이러스가 없으나 LAN을 통한 바이러스의 감염이 예상되고 있다. 또한 유닉스 운영체제의 사용자가 증가하면서 유닉스 운영체제를 사용하는 학교 나 회사나, 연구소 등을 대상으로 컴퓨터 바이러스가 크게 확대될 가능성이 높다. 개인용 컴퓨터는 누구나 쉽게 사용할 수 있고 시스템이 보안이 허술하기 때문에 가장 많은 바 이러스가 발생하고 있는 실정이다. 현재 국내에서 가장 많이 보급되고 있는 IBM PC 호환기종은 전세계적으로 바이러스 프로그램의 온상이 되어 있는 실정이다. 그밖에도 매킨토시나 아미가 기 종 등을 대상으로 한 바이러스 프로그램들도 많이 발견되고 있다.
8.3.2 로스 그린버그 분류
로스 그린버그란 유명 백신 프로그램 제작자로서, 그가 만든 백신 프로그램으로는 플루샷 플러 스라는 프로그램이 유명하다. 그는 바이러스 프로그램을 크게 3가지로 분류를 했는데, 이는 다음 과 같다.
8.3.2.1 벌레 프로그램
이 바이러스 프로그램은 컴퓨터에는 직접적인 영향을 주지 않으면서 자기 존재만을 확인시키는 특징을 가지고 있다. 단순히 자기 자신을 다른 시스템에 전염시키고 자신의 존재를 확인시킨다는 것 말고는 시스템에 어떠한 피해를 주거나 그밖의 영향을 미치지 않는다. 자기 존재를 확인시키기 위한 방법으로 일정한 시기에 화면이나 프린터에 자신의 메시지를 출 력하는 방식을 사용하고 있다. 예를 들면, 쿠키 바이러스란 프로그램은 일정한 시기에 화면에 다 음과 같은 메시지를 표시한다. I want to cookie !! 그리고 위의 메시지는 컴퓨터 사용자가 Cookie라고 입력하기 전까지 계속해서 표시된다. 이 바 이러스는 컴퓨터의 사용이 갑자기 중단된다는 점 말고는 시스템에 별 영향을 주지 않는다.
8.3.2.2 컴퓨터 바이러스
벌레 프로그램과는 달리 시스템에 들어가 치명적인 피해를 주는 프로그램을 말한다. 이 유형의 바이러스들은 여러 가지 경로를 통해서 시스템에 침투하며, 일정한 잠복기를 가진 후 시스템에 치명적인 피해를 준다는 특징을 가지고 있다. 종류에 따라서 감염경로나 잠복기, 그리고 피해의 정도가 다르지만, 어떠한 형태로든 시스템에 피해를 준다. 감염 경로는 부트 섹터를 이용하는 경우가 가장 많고, 종류에 따라서는 파일에 의해서 감염되 는 것도 있다. 요즘에는 일단 부트 섹터에 의해서 시스템에 침투한 바이러스는 계속해서 램에 상 주해 있다가 어떤 파일이 실행되면 해당 파일에 침투한다. 그렇게 해서 감염된 파일은 또다시 다 른 파일에 바이러스를 감염시킨다.
8.3.2.3 트로이 목마 프로그램
트로이 목마 프로그램은 고대 그리스 신화처럼 허점을 노리고 만들어진 프로그램이다. 벌레 프 로그램이나 바이러스 프로그램이 바이러스 예방 프로그램에 의해서 쉽게 발견되고 퇴치된다는 약 점을 피하기 위해서 특정 프로그램에 바이러스 프로그램을 삽입한 후 이를 공개적인 광장을 통해 배포하는 것이다. 특히, 이러한 프로그램은 바이러스의 감염 여부를 확인해주는 스캔(SCAN)과 같 은 프로그램에 의해서도 발견되지 않기 때문에 일반 사용자들로서는 바이러스의 감염 여부를 도 저히 확인할 수 없다. 트로이 목마 프로그램은 대부분 통신 서비스 업체나 온라인 BBS를 통해서 전달된다.
8.3.3 파괴 시점에 따른 분류
파괴 시점에 따른 분류에는 시한 폭탄형 바이러스와 논리 폭탄형 바이러스로 분류된다. 시한 폭탄형 바이러스는 일정한 날짜가 되면 파괴를 시작하는 것으로, 이에 속하는 대표적인 바이러스 가 '13일의 금요일' 바이러스이다. 논리 폭탄형 바이러스는 프로그램 내에서 계산하다가 어떤 일정한 값에 도달하거나 또는 프로 그램을 일정한 회수만큼 사용했을 때 파괴를 시작하는 것으로, '러하이' 바이러스가 여기에 속한 다.
8.4 많이 알려진 바이러스들
8.4.1 AIDS 바이러스
확장자가 .COM 인 실행파일만을 감염시키거나(COMMAND.COM 제외) .EXE 파일과 동일한 이름으로 .COM 파일을 만들어 여기에 바이러스를 숨긴다. 이와 같은 감염경로를 가지고 있는 이 바이러스 의 증상은 'Your computer now has AIDS'라는 메시지를 출력하거나 'Your computer in infected with.. AIDS Virus Ⅱ..' 라는 메시지를 출력하는 것과 같은 증상을 보인다.
8.4.2 브레인 바이러스
플로피 디스크와 하드 디스크의 시스템 영역을 감염시키는 이 바이러스는 우리나라에서 최초로 발견된 컴퓨터 바이러스의 하나로 전 세계적으로 가장 많이 퍼져있다. 이 바이러스에 감염되면 메모리의 크기가 7KB 만큼 줄어들며 감염된 디스크에 3개의 불량 클러스터가 발생한다. 증상으로 는 감염된 시스템 영역에 특정한 메시지를 기입하는 것을 제외하고는 특별한 파괴활동은 하지 않 는다.
8.4.3 어둠의 복수자(DARK AVENGER) 바이러스
파일의 확장자가 .EXE 나 .COM 인 파일 중에서 파일의 크기가 1775 바이트 이상인 실행형 파일 과 오버레이 파일 등을 감염시킨다. 감염된 .COM 파일은 1800 바이트만큼 파일의 크기가 증가하 며, .EXE 파일은 1880∼1815 바이크만큼 파일의 크기가 증가한다. 어둠의 복수자 바이러스는 'The Dark Avenger...' 라는 메시지를 포함하고 있다. 증상은 16반의 주기로 실행될 때마다 디스 크의 한 섹터를 파괴한다.
8.4.4 DIR Ⅱ 바이러스
플로피 디스크와 하드 디스크 및 모든 실행형 파일을 감염시킨다. DIR Ⅱ 바이러스는 파일에 기생하는 것이 아니고 파일이 실행될 때 우선 자기 자신을 실행시킨 후 파일을 실행시킨다. 따라 서 이 바이러스에 감염된 파일의 크기는 증가하지 않는다. DIR Ⅱ 바이러스는 감염 작업을 위해 디스크 입·출력 디바이스를 사용하기 때문에 굉장히 빠른 속도로 파일을 감염시킨다. 이 바이러 스는 1024 바이트의 크기를 가진다. 이 바이러스는 불가리아에서 만든 것으로 추정하고 있다. 증상으로는 감염된 디스크에 있는 하나의 클러스터가 파괴되며 감염된 파일을 정상적으로 복사 되지 않는다.
8.4.5 13일의 금요일
바이러스 확장자가 .COM인 실행형 파일을 감염시킨다(COMMAND.COM 파일 제외). 감염된 파일은 512 바이 트만큼 파일의 크기가 증가한다. 13일의 금요일 바이러스는 여러 가지 변형 바이러스를 가지고 있다. 증상은 감염된 파일이 13일의 금요일에 실행되면 파일을 삭제한다.
8.4.6 예루살렘 바이러스
확장자가 .COM과 .EXE인 실행형 파일과 실행가능한 오버레이 파일을 감염시킨다. 예루살렘 바 이러스에 감염된 .COM 파일은 813 바이트 만큼 파일의 크기가 증가하며, .EXE 파일은 1808∼1823 바이트 만큼 파일의 크기가 증가한다. 확장자가 .EXE인 파일은 중복되어 감염될 수 있다. 예루살 렘 바이러스는 여러 개의 변형 바이러스를 가지고 있는데 이들 모두가 국내에 많은 피해를 입힌 것으로 추정된다.
8.4.7 LBC 바이러스
플로피 디스크와 하드 디스크의 시스템 영역을 감염한다. LBC 바이러스는 국내에서 만들어진 것으로 추정되고 있는데 그 이유는 바이러스가 'Virus program message Nijh to LBC'라는 잘못된 영어 메시지를 가지고 있기 때문이다. LBC 바이러스는 KOREA 바이러스라고도 부른다. LBC 바이러 스는 메모리에 상주하며 2KB 만큼 메모리의 크기가 줄어든다. 이 바이러스는 LBC - Ⅱ와 같은 변 형 바이러스도 가지고 있다. 증상으로는 하드 디스크로 부팅이 되지 않으며 시스템이 하드 디스 크를 인식하지 못한다.
8.4.8 미켈란젤로 바이러스
플로피 디스크와 하드 디스크의 시스템 영역을 감염시킨다. 유럽에서 만든 것으로 보도되고 있 는 이 바이러스는 메모리에 상주하고 있으며, 메모리의 크기를 2KB 만큼 줄인다. 미켈란젤로 바 이러스는 3월 6일 바이러스하고도 부른다. 증상으로는 미켈란젤로의 생일인 3월 6일에 디스크의 모든 데이타를 파괴한다.
8.4.9 돌(STONE) 바이러스
플로피 디스크와 하드 디스크의 시스템 영역을 감염시킨다. 또한 실행이 가능한 파일들도 감염 시킨다. 돌 바이러스는 여러개의 변종이 있는데 첫번째 종류는 플로피 디스크와 하드 디스크의 시스템 영역을 감염시키며 메모리를 2KB 만큼 줄인다. 두번째 종류의 돌 바이러스에 감염된 .COM 파일은 916 바이트 만큼 파일의 크기가 증가한다. 첫번째 돌 바이러스의 증상은 시스템을 부팅시킬 때 1/8의 확률로 'Your PC is now Stone' 이라는 메시지를 출력한다.