| * 메일을 이용한 확산 |
|
|
웜들이 가장 많이 사용하는 방식으로 크게 메일을 읽기만 해도 감염되는 유형과 첨부파일을 실행했을때 감염되는 유형으로 나눌 수 있다. 메일을 읽기만 해도 감염되는 유형은 대부분 윈도우의 취약점을 이용한 것이다.
메일을 이용한 웜을 보면 메일의 HTML소스에 실행파일을 숨겨놓아 읽는 순간 해당 프로그램이 실행 되도록한다.
웜이 실행되면 메일을 읽기만 해도 확산되는 웜과 사용자가 첨부파일을 실행했을때 확산되는 웜은 이후 동작법은 동일하다.
(1)웜이 실행되면 자신을 윈도우 폴더나 윈도우 시스템 폴더에 웜을 복사한다. 이때 사용자가 의심스러워하지 않는 적당한 파일명으로 복사가 된다. 또, 어떤 웜들은 복사한 파일의 속성에 '숨김' 속성을 주기도 한다.
(2)컴퓨터가 재부팅 될때에도 다시 실행가능하게 하기 위해서 레지스트리에 웜을 등록한다.
(3)웜은 컴퓨터에 저장된 주소록이나 인터넷 익스플로어의 임시 저장공간에서 HTML파일을 조사하여 E-mail을 추출한다.
(4)추출된 E-mail 주소를 하드디스크에 저장한다.
(5)수집된 E-mail 주소로 웜을 첨부하여 메일을 발송한다. 간혹, 발신자를 임의적으로 수집된 E-mail 주소로 선택하기도 한다.
(6)웜 E-mail을 받은 사용자가 다시 메일을 읽거나 첨부파일을 실행할 경우 과정(1)을 다시 수행하게 된다. |
|
| |
|
|
| |
| * p2p(peer-to-peer)를 이용한 확산 |
|
|
P2P를 이용한 확산을 생각한다면 예전 MSN으로 확산되던 바이러스를 쉽게 유추했을지도 모르겠다.
갑자기 MSN에 등록된 나의 친구가 실행 파일을 주길래 저장한 뒤 실행했는데 알고 봤더니 웜이었던 기억이 있는가?
이런 유형의 웜은 이제 거의 사라진 상태이고 지금 이야기하고자 하는 P2P를 이용한 확산은 방법이 다르다.
먼저 P2P 프로그램들을 삼펴보면 KaZaA, Ovemet, 당나귀, 소리바다를 예로 들수 있다.
대체로 P2P 프로그램들은 다른 사람의 PC에 있는 파일을 내 PC로 저장할 폴더를 지정하는가 하면, 다시 내 PC에 있는 파일을 상대방에게 보여줄(즉, 공유할)폴더를 지정하게 된다. P2P를 이용한 확산을 시도하는 웜들은 바로 이점을 노린것이다.즉, P2P 프로그램에서 지정된 공유 폴더에 웜을 복사하는 것이다. 그리고는 다른 사용자들이 많이 검색하는 이름으로 파일 이름을 바꾸기만 하면 누군가에 의해서 검색되어 파일을 다운로드 해 가게 될 것이며 이를 실행한 사용자는 또 다시 웜이 감염되는 악순환을 반복하게 된다.
다시 정리하여 P2P를 이용하여 확산하는 웜의 동작을 살펴보자.
(1)웜이 실행되면 먼저 사용자가 사용하고 있는 P2P 프로그램을 검색한다.
(2)검색된 P2P 프로그램의 공유 폴더를 찾아 웜을 복사한다. 이때 적절한 파일명으로 복사된다.
예)Windows_Update.exe, Doom_lll.exe, X양_누드_동영상.wmv.exe 등등
(3)공유 폴더에 존재하는 웜을 다운로드 한 사용자가 웜을 실행할 경우 과정(1)을 다시 수행하게 된다. P2P를 이용해 확산을 하는 웜들은 웜 스스로 확산되는 것이 아니라, 사용자들이 불법 소프트웨어를 사용하겠다는 욕심 때문에 확산하게 되는 유형이다. 사용자들이 웜을 다운로드 하게 다시 그 웜을 다른 사용자가 다른 사용자에게 다운로드 받게끔 해두기 때문에 불법 소프트웨어를 사용하지 않는다면 이런 유형의 웜들에 대해서는 안전하게 된다. |
|
|
| |
|
|
| |
| * IRC(internet Relay chat)를 이용한 확산 |
|
|
IRC는 특정 주제로 전세계 사람들과 실시간 채팅을 할 수 있는 서버/클라이언트이다. IRC 사용자는 자신의 PC에 설치된 클라이언트 프로그램을 이용하여 IRC서버에 접속하고, 자신이 원하는 대화방(Channel)을 만들거나 다른 사람이 만든 대화방에 참여할 수도 있다. 또한 특정 사람들에게 자신의 PC에 저장된 파일을 전송할 수 있는데, 웜은 이를 이용하여 자신을 확산시키는 것이다.
그럼, 웜에 감염된 사용자가 자신이 직접 보내지도 않을 파일을 어떻게 전송되는 것일까? 그것은 간단하다. IRC 클라이언트 프로그램은 사용자의 편의를 주기 위해 사용자가 IRC 서버에 접속했을때 실행하는 공통적인 명령어들을 스크랩트를 이용하여 자동으로 실행하도록 도와준다. 웜은 이 명렁어들을 기록한 파일을 수정하여 IRC 서버에 접속했을 떄 다른 사용자들에게 파일을 전송하게 된다는 것이다. |
|
| |
|
|
| |
| * MS 네크워크를 이용한 확산 |
|
|
우리가 업무상으로 흔히 사용하고 있는 공유 폴더도 웜의 확산 경로가 될 수 있다.
사용자에 따라 특정 폴더를 공유하는 경우도 있으며, 드라이브 전체를 공유하는 경우도 있다. 또한 가끔씩은 프린터를 공유해 사용하기도 한다. 하지만 대부분의 사용자들은 이런 공유 폴더의 위험성을 모른 체 누구나 접근할 수있는 폴더를 생성해낸다. 그리고 이런 공유 폴더들을 읽기와 쓰기가 모두 가능하도록 만들어 두어 웜의 확산을 돕고 있다.
만약, 해당 공유 폴더를 접근 제어가 가능하도록 암호를 포함하였더라도 웜에 감염된 사용자가 전에 접근하여 암호를 저장해두었다면, 암호가 없는 공유 폴더와 마찬가지로 무방비 상태가 되는 것이다.
최근의 웜들은 암호를 포함하고 있는 공유 폴더라도 사전을 대입시켜 암호를 찾아내기도 하므로, 쉬운 암호를 포함하는 것도 문제가 될 수 있다. 그리고 프린트를 통하여 알수 없는 문자열들이 출력되는 경우도 해당 프린트가 암호가 없이 공유된 경우가 대부분이다. 만약 특정 사용자의 PC에 웜이 감염되었다면 다음과 같은 방법으로 다른 사용자의 PC를 감염 시킬 것이다.
(1)특정 IP나 해당 네트워크상의 PC에 공유된 폴더가 있는지 확인한다. |
|
| |
|
|
| |
|
