보도자료 2009-07-08

안철수연구소, DDoS 공격용 악성코드 전용백신 무료 제공

- ASEC, CERT 비롯 전사 비상 대응 체제 가동

- 개인은 물론 기업/기관서도 무료 사용..기존 V3 사용자는 최신 버전으로 치료

- 기업/기관은 DDoS 방어 통합보안 시스템, 보안관제 서비스 등 필요

글로벌 통합보안 기업인 안철수연구소(대표 김홍선 www.ahnlab.com)는 7일 저녁부터 국내외 웹사이트를 겨냥한 DDoS 공격이 발생함에 따라 ASEC(시큐리티대응센터)과 CERT(컴퓨터침해사고대응센터)를 비롯해 전사 비상 대응 체제를 가동하는 한편 DDoS공격을 유발하는 악성코드의 전용백신을 개발해 무료 제공한다.

이번에 많은 웹사이트를 다운시킨 악성코드는 마이둠 변종(Mydoom.88064, Mydoom.33764, Mydoom.45056.D)과, 또 다른 악성코드를 내려받는 다운로더(Downloader.374651), 공격 대상 웹사이트 목록을 담은 파일(BinImage/Host), 네트워크 트래픽을 유발하는 다수의 에이전트(Agent.67072.DL, Agent.65536.VE, Agent.32768.AIK, Agent.24576.AVC, Agent.33841, Agent.24576.AVD)들이다. 이들 악성코드가 설치된 PC는 이른바 ‘좀비 PC’가 되어 일제히 특정 웹사이트를 공격한 것이다. 공격 대상은 청와대, 국방부, 옥션, 백악관, 야후 등 국내 13개, 해외 22개 사이트로 코딩되어 있으나, 공격자에 의해 변경/추가될 수 있다. 

안철수연구소는 이들 악성코드를 진단/치료할 수 있는 전용백신(http://kr.ahnlab.com/dwVaccineView.ahn?num=81&cPage=1)을 개발해 개인은 물론 기업/기관에도 무료 제공 중이다. 개인용 무료백신 ‘V3 LIte’(http://www.V3Lite.com)를 비롯해 ‘V3 365 클리닉’(http://v3clinic.ahnlab.com/v365/nbMain.ahn), V3 Internet Security 2007/7.0/8.0 등 V3 제품군 사용자는 사용 중인 제품의 최신 버전으로 진단/치료할 수 있다.

안철수연구소 시큐리티대응센터 조시행 상무는 “사용자의 PC가 DDoS 공격에 악용되지 않게 하려면 평소 보안 수칙을 실천하는 것이 중요하다. 운영체계의 보안 패치를 최신으로 유지하고, 백신 프로그램을 설치해 항상 최신 버전으로 유지하고 실시간 검사 기능을 켜두어야 한다. 또한 이메일, 메신저의 첨부 파일이나 링크 URL을 함부로 열지 말고, P2P 사이트에서 파일을 내려받을 때 백신으로 검사하는 습관이 필요하다.”라고 강조했다.

또한 웹사이트를 운영하는 기업/기관에서는 DDoS 차단 기능이 있는 네트워크 보안 솔루션이나 보안관제 서비스를 이용해 피해를 최소화하는 것이 중요하다.

<좀비 PC 예방 대책 10계명>

DDoS 공격에 이용되는 악성코드에 감염되지 않으려면 PC 사용자는 다음의 보안 수칙을 지켜야 한다.

. 윈도 운영체계는 최신 보안 패치를 모두 적용한다. 

. 인터넷 로그인 계정의 패스워드를 자주 변경하고, 영문/숫자/특수문자 조합으로 6자리 이상으로 설정한다. 로그인 ID와 패스워드를 동일하게 설정하지 않는다. 

. 웹 서핑 때 액티브X '보안경고' 창이 뜰 경우에는 신뢰할 수 있는 기관의 서명이 있는 경우에만 프로그램 설치에 동의하는 '예'를 클릭한다. 잘 모르는 프로그램을 설치하겠다는 경고가 나오면 ‘예’ ‘아니오’ 중 어느 것도 선택하지 말고 창을 닫는다.

. 이메일 확인 시 발신인이 불분명하거나 수상한 첨부 파일이 있는 것은 모두 삭제한다.

. 메신저 프로그램 사용 시 메시지를 통해 URL이나 파일이 첨부되어 올 경우 함부로 클릭하거나 실행하지 않는다. 메시지를 보낸 이가 직접 보낸 것이 맞는지를 먼저 확인해본다.

. PtoP 프로그램 사용 시 파일을 다운로드할 때는 반드시 보안 제품으로 검사한 후 사용한다. 또한 트로이목마 등에 의해 지정하지 않은 폴더가 오픈되지 않도록 주의한다.

. 정품 소프트웨어를 사용한다. 인터넷을 통해 불법 소프트웨어를 다운로드해 설치하는 경우 이를 통해 악성코드가 설치될 가능성이 높기 때문이다.

. 외부 침입자가 나의 시스템을 불법적으로 사용하지 못하도록 공유 권한은 '읽기'로 설정해 놓고 사용한 후에는 공유를 해제한다.  

. 안철수연구소의 V3 제품군을 설치하면 모든 악성코드를 예방/진단/치료할 수 있다. 네트워크로 드나드는 사용자 시스템의 모든 트래픽 현황을 한눈에 볼 수 있어 웜 등 비정상적인 트래픽을 유발하는 악성코드의 접근 상태를 확인하여 신속하게 차단할 수 있다.

. 보안 제품은 설치 후 항상 최신 버전의 엔진으로 유지하고 부팅 후 보안 제품이 자동 업데이트되도록 하고 시스템 감시 기능이 항상 작동하도록 설정한다. <Ahn>

안철수연구소, 2차 DDoS 공격용 악성코드 전용백신 제공

- 완벽한 치료는 전세계 백신 중 V3 가 최초, 유일

- 1.25 인터넷 대란 이후 최고 수준 비상 대응 체제 가동

- 공격 스케줄러 해독 완료..24시간 단위 공격

글로벌 통합보안 기업인 안철수연구소(대표 김홍선 www.ahnlab.com)는 1차 전용백신을 무료 제공한 데 이어 8일 저녁부터 안철수연구소를 비롯한 국내 웹사이트를 겨냥한 2차 DDoS 공격이 발생함에 따라 2차 전용백신을 개발해 9일 새벽 2시부터 무료 제공 중이다.

이에 앞서, 안철수연구소는 2003년 1.25 인터넷 대란 이후 최고 수준의 전사 비상 대응 체제를 유지하고 일본 출장 중 급거 귀국한 김홍선 CEO를 중심으로 500여 전직원이 공익적 차원에서 국민적 안전을 위해 국가적 사이버 재난 사태에 총력을 기하고 있다.  

안철수연구소가 밤샘 분석 작업 끝에 악성코드를 해독한 결과 악성코드에 스케쥴러 기능이 설계돼 있었다. 이에 따르면, 기존 공격 대상 사이트 중 7개 사이트를 겨냥해 9일 18시부터 10일 18시까지 mail.naver.com, mail.daum.net, mail.paran.com, www.egov.go.kr, www.kbstar.com, www.chosun.com, www.auction.co.kr에 DDoS 공격을 하도록 코딩되어 있다. 공격 대상과 시간은 변종 등에 의해 수시로 변경될 수 있다.

또한 8일 18시부터 9일 18시에는 www.mnd.go.kr, www.president.go.kr, www.ncsc.go.kr, mail.naver.com, mail.daum.net, mail.paran.com, www.auction.co.kr, www.ibk.co.kr, www.hanabank.com, www.wooribank.com, www.altools.co.kr, www.ahnlab.com, www.usfk.mil, www.egov.go.kr를 공격하도록 설계되어 있었다.

이는 7일에 발생한 공격 대상에서 변경된 것으로, 공격 대상 목록을 담은 파일(uregvs.nls)을 악성코드에서 자체 생성하는 것으로 추정된다.

안철수연구소는 좀비 기능을 막기 위해 nls 파일을 차단하는 전용백신(http://kr.ahnlab.com/dwVaccineView.ahn?num=81&cPage=1)을 추가 개발해 개인은 물론 기업/기관에도 무료 제공 중이다. 개인용 무료백신 ‘V3 LIte’(http://www.V3Lite.com)를 비롯해 ‘V3 365 클리닉’(http://v3clinic.ahnlab.com/v365/nbMain.ahn), V3 Internet Security 2007/7.0/8.0 등 V3 제품군 사용자는 사용 중인 제품의 최신 버전으로 진단/치료할 수 있다.

현재 이번 DDoS 공격에 이용되는 악성코드를 완벽히 진단/치료하는 백신은 전세계에서 V3제품군이 유일하다. 국가적 사이버 대란이 있을 때마다 앞장서 대책을 제시해온 안철수연구소는 이번에도 앞선 기술력과 긴급대응체제로 진화에 앞장서고 있는 것이다. 안철수연구소는 변종 악성코드가 존재할 것으로 보고 변종 추적에 집중하고 있다.

안철수연구소 김홍선 대표는 “이번 DDoS 대란은 지속적으로 발생할 가능성이 높다. 공격 기지로 악용되는 개인 및 기업용 PC가 깨끗해져야 근본적으로 해결될 수 있다.”라며 “이번 사건으로 우리나라 정보보안 수준이 후진국 수준임이 드러났다. 개인은 물론 기업/기관 모두 정보보안의 중요성을 인식하는 계기가 되길 바란다.”라고 말했다. 

한편 DDoS 공격을 받는 쪽에서는 트래픽을 적절히 분산하고 유해 패킷을 차단하는 등의 조치로 웹사이트 다운을 막을 수 있다. 웹사이트를 운영하는 기업/기관에서는 DDoS 차단 기능이 있는 네트워크 보안 솔루션이나 보안관제 서비스를 이용해 피해를 최소화하는 것이 중요하다.

이번에 많은 웹사이트를 다운시킨 악성코드는 마이둠 변종(Mydoom.88064, Mydoom.33764, Mydoom.45056.D)과, 또 다른 악성코드를 내려받는 다운로더(Downloader.374651), 공격 대상 웹사이트 목록을 담은 파일(BinImage/Host), 네트워크 트래픽을 유발하는 다수의 에이전트(Agent.67072.DL, Agent.65536.VE, Agent.32768.AIK, Agent.24576.AVC, Agent.33841, Agent.24576.AVD)들이다. 이들 악성코드가 설치된 PC는 이른바 ‘좀비 PC’가 되어 일제히 특정 웹사이트를 공격한 것이다.

이 악성코드에 감염되면 PC내 일부 파일이 zip, zoo, arc, lzh, arj, gz, tgz 등의 확장자로 암호화되어 압축 저장된다. 또한 A~Z 드라이브의 물리적인 첫 시작 위치부터 ‘Memory of the Independence Day’라는 문자열이 저장돼 있어 정상적인 시스템의 MBR및 파티션 정보가 손상되는 증상이 발생한다. <Ahn>