올해 초에 등장한 가짜 저작권 위반 경고 메시지
사실 이번 웜이 출현하기 전 지난 한두 달간 해외 비트토렌트 커뮤니티를 시끌벅적하게 만든 또 다른 악성코드인 ‘Rogue:W32/DotTorrent’를 알아볼 필요가 있다. 개인정보 유출을 목적으로 만들어진 이 악성코드는 토렌트 사용자들의 컴퓨터에 침입한 후 트로이 목마를 실행해 이러한 경고 메시지를 띄웠다:
전혀 존재하지 않는 단체인 ICPP는 자신들을 스위스에 위치해 있는 안티P2P 단체라고 칭하며, 마치 미국의 RIAA, MPAA등과 협력한다는 듯이 각 단체들의 로고까지 맬웨어에 포함했다. 현재는 폐쇄 되었지만 심지어 허위 공식 사이트까지 제작 하는 등 대단한 근성(?)을 보였다. 어떻게 보면 우스꽝스럽기까지 한 이 신종 사기는 바이러스 검사 프로그램을 가장한 악성코드들과 비슷한 예로 볼 수 있겠다. 위 그림에서 보이듯이 해당 경고 메시지는 합의금으로 400달러 (한화 약 45만원)를 지불할 것을 요구 했고, 또한 이러한 명목으로 이름, 주소, 신용카드번호 등의 개인정보를 탈취하려고 시도했다.
신종 웜 ‘WORM_PITUPI.K’
그렇다면 앞서 언급한 사례와 이번에 등장한 신종 웜의 관계는 무엇일까?
일단 이번 사건이 흥미로운 점은 악성코드의 복제 및 전달 과정이다. 기존 비트토렌트를 통해 전송되던 웜들은 각종 소프트웨어 크랙, 시리얼 키젠, 프로그램 파일등으로 위장해 전송되기 일쑤였다. 하지만 이러한 방법에는 한 가지 문제점이 있는데, 바로 한 번 지정된 악성코드의 파일명은 바뀌지 않는다는 점이다. 따라서 특정 소프트웨어가 더 이상 공유되지 않는다면 악성코드도 함께 전송 될 우려가 없어진다.
하지만 신종 웜의 경우, 한 번 실행되면 TPB에 연결해 트래커에서 가장 인기있는 소프트웨어, 게임(각 카테고리에서 100위권)들의 정보를 이용해 스스로 파일명을 끊임없이 변경 하는 것으로 알려졌다. 또한, 한 번 실행할 때마다 200개의 복사본을 만들어 감염된 컴퓨터와 연결돼 있는 공유 폴더들에게 전송하는 것으로 알려졌다.
전문가들은 허위 경고 메시지 악성코드도 이러한 방법을 이용해 전송된 것으로 추정하고 있다.
혹시 내 컴퓨터도?
대부분 비공개 트래커들을 사용하는 비트토크 멤버들은 걱정할 필요가 비교적 적겠지만, 작년 만우절때 일어난 변종 컨피커 웜을 이용한 대대적인 공격, 그리고 7•7 DDoS 공격을 겪은 한국의 컴퓨터 보안 실태를 감안해 볼 때, 앞으로 이러한 사실을 유의하기 바란다. 만약 감염여부가 의심 된다면 치료방법은 밑의 링크들을 참조하면 된다(영어):
2010년 05월 17일 username 기자, ⓒ빗톡뉴스(bittalk.org)
참조 자료:
- http://www.f-secure.com/weblog/archives/00001931.html
- http://blog.trendmicro.com/pirate-wo...s-the-p2p-bay/
제가 작성한 글타래와 댓글은 언젠가 삭제 될 수도 있습니다.
선형 형태
