컴퓨터 바이러스

컴퓨터 바이러스(computer virus)란 스스로 복제하여 다른 프로그램을 감염시키고 컴퓨터의 파일이나 데이터를 파괴하거나 속도 저하, 정보유출, 오작동 등을 일으키는 악성 프로그램이다. 정식 명칭은 컴퓨터 바이러스 프로그램(computer virus program)이다. 간단히 바이러스라고 한다. 멀웨어(malware)의 일종이다. 백신(vaccine) 프로그램을 사용하여 진단 및 치료할 수 있다.

개요

컴퓨터 바이러스(computer virus)는 스스로를 복제하여 컴퓨터를 감염시키는 컴퓨터 프로그램이다. 복제 기능이 없는 다른 종류의 악성 코드, 애드웨어, 스파이웨어와 혼동하여 잘못 쓰이는 경우도 있다. 바이러스는 한 컴퓨터에서 다른 컴퓨터로(일부 형식의 실행 코드로) 확산할 수 있다. 이를테면 사용자는 인터넷이나 네트워크를 통하여, 또는 플로피 디스크, CD, DVD, USB 드라이브와 같은 이동식 매체를 통하여 바이러스를 전파할 수 있다. 바이러스는 네트워크 파일 시스템이나, 다른 컴퓨터를 통해 접근하는 파일 시스템 상의 파일을 감염시킴으로써 다른 컴퓨터로의 확산 가능성을 높일 수 있다.

역사

1970년대에 인터넷의 선구자인 아파넷에서 크리퍼 바이러스가 처음 발견됐으며 이것이 최초의 바이러스로 기록되어 있다. 크리퍼는 실험적인 자기 복제 프로그램이었으며 1971년에 BBN에서 밥 토머스가 작성한 것이다. 크리퍼는 아파넷을 사용하여 TENEX 운영 체제를 사용하는 DEC PDP-10 컴퓨터들을 감염시켰다. 크리퍼는 아파넷을 통한 접근 권한을 얻었고 스스로를 "I'm the creeper, catch me if you can!"(나는 크리퍼다, 잡을 수 있다면 나 잡아봐라!)라는 메시지가 있는 원격 시스템에 복사시켰다. 뒤에 리퍼(Reaper)라는 프로그램이 개발되어 크리퍼 바이러스를 지우게 되었다.

개인용 컴퓨터에서 발견된 최초의 바이러스는 (c)브레인이라고 하는 부트 섹터 바이러스였으며 1986년에 파루크 앨비 형제가 만들었다. 1990년대 중반에 매크로 바이러스가 일상화되었다. 이 바이러스 대부분이 워드와 액셀과 같은 마이크로소프트 프로그램을 위한 스크립팅 언어로 기록되어 마이크로소프트 오피스를 통하여 문서와 스프레드시트를 감염시키며 퍼져나갔다. 워드와 액셀이 OS X에서도 사용할 수 있었으므로 이 대부분이 매킨토시 컴퓨터에도 퍼질 수 있었다.

2002년에 크로스 사이트 스크립팅을 사용하여 확산된 바이러스가 처음 보고되었으며 학술적으로는 2005년에 증명되었다.

최초의 바이러스

'이동'이 아니라 진짜 '복제' 개념이 들어간 최초의 바이러스는 '엘크 클로너(Elk Cloner)'라는 프로그램이다. 이는 1982년 경에 만들어졌는데, 놀랍게도 이를 만든 이는 당시 15세였던 리처드 '리치' 스크렌타라는 소년이었다. 이 Elk Cloner는 Apple II 시스템에만 감염되었으며 부팅용 플로피 디스크에 감염되는 일종의 부트 섹터 바이러스였다. Elk Cloner는 부팅된 이후 메모리에 남아있다가 만약 감염되지 않은 새로운 디스크가 컴퓨터에 들어오면 자신을 해당 디스크에 감염시켰다. 이런 식으로 Elk Cloner는 디스크에서 디스크를 통해 감염되는 프로그램이었다. Elk Cloner는 특별히 파괴적인 활동을 벌이지는 않았으며, 감염된 컴퓨터는(정확히는 플로피 디스크) 감염된 뒤 50번째로 부팅하면 다음과 같은 짧은 시를 출력했다.

• Elk Cloner: The program with a personality (엘크 복제자 : 자아를 가진 프로그램)

• It will get on all your disks (그것은 너의 모든 디스크를 헤집으며,)

• It will infiltrate your chips (네 칩 속을 드나들지)

• Yes, it's Cloner! (그래, 그것이 바로 복제자다)

• It will stick to you like glue (그것은 끈끈이처럼 너에게 들러붙고)

• It will modify RAM too (너의 램 또한 휘저어 놓지)

• Send in the Cloner! (복제자를 들여보내라!)

컴퓨터를 잘 모르는 이가 보기엔 마치 컴퓨터가 진짜 자아를 가져서 이런 메시지를 출력하는 것으로 여길지도 모른다. 한편 이 Elk Cloner는 실질적으로 별다른 피해를 주는 것은 없었고, 이 Elk cloner가 퍼져나간 범위도 개발자인 스크렌타의 주변 인물 정도였기 때문에 이것에 대한 백신이 개발된 적은 없다고 한다.

그렇다면 악의적 컴퓨터 바이러스가 세상에 퍼지게 된 경위는 무엇일까? 그 경위에는 여러 가지 설들이 있다. 대표적으로 자신의 능력을 과시하기 위해 만들었다는 설, 경쟁사 등에 타격을 주기 위한 상업적 목적으로 만들었다는 설, 소프트웨어의 유통 경로 등을 추적하기 위해 만들었다는 설 등이 대두된다. 그러나 이는 은밀하게 유포되는 바이러스의 특성상 정확하게 구분 짓기는 어렵고 복합적이고 전반적인 경위로 보아야 할 것이다.

종류

• 바이러스 : 대부분의 매체와 일반 최종 사용자는 뉴스에 보도되는 모든 악성코드 프로그램을 컴퓨터 바이러스라고 부른다. 바이러스는 다른 파일을 "감염"시키는 유일한 유형의 악성코드이다.

• 웜 : 웜은 컴퓨터 바이러스보다 훨씬 오래전인 메인프레임 시대부터 있었다. 이메일로 인해 1990년대에 유행했고 컴퓨터 보안 전문가들은 메시지 첨부 파일로 도착하는 악성 웜에 약 10년 동안 시달렸다. 효과적인 웜은 최종 사용자의 행동 없이 확산된다는 점에서 치명적이다.

• 트로이 목마 : 해커들은 컴퓨터 웜 대신에 트로이 목마 악성코드 프로그램을 선택했다. 트로이 목마는 정상 프로그램으로 가장하지만 악성 지침에 포함되어 있다. 컴퓨터 바이러스보다 역사가 길지만 그 어떤 유형의 악성코드보다도 현대의 컴퓨터를 더욱 자주 감염시키고 있다.

• 컴퓨터 웜 : 프로그램 복제가 아니라 네트워크를 통해 감염되는 경우이다.(숙주인 컴퓨터 내부에서만 증식을 하는 악성코드를 바이러스 라고 하며, 숙주 컴퓨터가 필요없이 네트워크상에서 계속 증식이 가능한 악성코드를 웜이라고 한다)

• 웜 바이러스 : 웜과 바이러스의 특징을 결합하여 프로그램에 기생하며 네트워크로도 감염시키는 경우이다.

• 하이브리드와 이국적인 형태 : 대부분의 악성코드는 전통적인 악성 프로그램들의 조합이며 트로이 목마와 웜의 일부를 포함하는 경우가 많고 바이러스가 포함될 때도 있다. 일반적으로 악성코드 프로그램은 최종 사용자에게 트로이 목마로 표시되지만 실행해 보면 웜과 마찬가지로 네트워크상의 다른 피해자를 공격한다.

• 랜섬웨어 : 데이터를 암호화하여 볼모로 잡고 암호 화폐로 몸값을 지불할 때까지 기다리는 악성코드 프로그램이 지난 수 년 동안 악성코드 중 큰 비중을 차지했고 그 비율은 여전히 증가하고 있다. 대부분의 랜섬웨어 프로그램은 트로이 목마이기 때문에 일종의 소셜 엔지니어링을 통해 확산되어야 한다. 다른 모든 유형의 악성코드 프로그램과 마찬가지로 예방이 가능하지만, 일단 실행되면 검증을 거친 정상적인 백업 없이는 피해를 되돌리기 어려울 수 있다.

• 파일리스 악성코드 : 파일리스 악성코드는 악성코드와 다르지는 않지만 익스플로잇 공격을 수행하고 버티는 방법에 대한 설명에 가깝다. 전통적인 악성코드는 파일 시스템을 이용해 이동하고 새로운 시스템을 감염시킨다. 현재 전체 악성코드 중 50% 이상을 구성하고 있으며 증가하고 있는 파일리스 악성코드는 파일 또는 파일 시스템을 직접 사용하지 않는 악성코드이다.

• 애드웨어 : 운이 좋다면 유일하게 마주친 악성코드 프로그램이 해킹된 최종 사용자를 원치 않고 잠재적으로 악의적인 광고에 노출시키는 애드웨어일 것이다. 일반적인 애드웨어 프로그램은 사용자의 브라우저 검색을 다른 제품 광고가 포함된 유사한 웹 페이지로 재전송할 것이다.

• 스파이웨어 : 스파이웨어는 사랑하는 사람의 컴퓨터 활동을 확인하고 싶어하는 사람들이 자주 사용한다. 물론, 표적 공격에서 범죄자는 스파이웨어를 사용하여 피해자의 키 입력을 기록하고 암호 또는 지적 재산에 접근할 수 있다. 애드웨어와 스파이웨어 프로그램은 일반적으로 제거가 가장 쉬우며, 그 이유는 다른 유형의 악성코드만큼 목적이 비도덕적이지 않기 때문인 경우가 많다. 악성 실행 파일을 찾아 실행되지 않도록 하면 그만이다.

• 브레인 바이러스 : 역사상 최초로 컴퓨터에 실질적인 피해를 입힌 컴퓨터 바이러스이다. 디스크를 부팅하는 시간이 평소보다 오래 걸리며 디스크의 내용을 읽어들이는 속도가 느려진다. 디스크의 볼륨 라벨이 '(c) Brain'으로 바뀐다.

• 예루살렘 바이러스 : 컴퓨터에 잠복해 있다가 13일의 금요일에 집중적으로 나타나는 바이러스다. EXE, COM 등의 확장자가 있는 실행프로그램을 파괴하는 것이 특징이다.

• 비엔나 바이러스 : 1987년 오스트리아 비엔나에서 만들어진 것으로 추정되는 컴퓨터 바이러스. 제작자는 알려지지 않았으나 비엔나 고등학교에 재학 중이던 학생이 만들었다는 루머가 있다. 진단명은 DOS.Vienna. 메모리 비상주 파일 바이러스로, 최초로 안티 바이러스 프로그램에 의해 치료된 바이러스인데, 증상을 보면 그럴 수밖에 없는 파괴적인 바이러스이다.

• 스톤드 바이러스 : 진단명은 DOS.Stoned. 국내에서는 '돌 바이러스'로 알려져 있으나, Stoned는 (대마초, 즉 마약에) 취한 상태를 의미한다. 감염된 저장 장치로 부팅을 하면 바이러스가 메모리에 상주한다. 이후, 다른 저장 장치로 부팅을 하거나 접근하면 해당 저장 장치의 부트 섹터에 전파된다. 감염된 저장 장치로 부팅할 때 1/8 확률로 비프음과 함께 Your PC is now stoned! LEGALIZE MARIJUANA! 라는 메세지가 출력된다.

• 폭포 바이러스 : 80년대 말~90년대 초를 풍미했던 컴퓨터 바이러스. 독일에서 처음 발견된 바이러스로 사상 최초로 자신을 은폐하는 프로그램 암호화 기법을 도입한 바이러스이기도 하다. 감염된 파일을 실행하면 램에 올라가며, 램에 올라간 후 5분이 지나면 화면에 있는 글자가 하나씩 화면 아래로 떨어진다. 그냥 놔두면 글자가 전부 아래로 추락한다.

• 다크 어벤저 바이러스 : 원산지는 불가리아로, 도스 시절 최악의 바이러스를 꼽으라고 하면 DIR-II 바이러스와 함께 1, 2위를 다투는 무시무시했던 바이러스이다. 감염 속도와 증상이 장난이 아닌 데다가 심지어 안티 바이러스 프로그램을 삭제하는 역공격까지 가한다. 증상은 일단 자신을 복제해 실행 프로그램을 감염시켜 1,800바이트를 늘리고, 감염된 프로그램이 16번째로 실행되면 다른 파일을 지우거나 시스템을 망가뜨린다.

• LBC 바이러스 : 1989년 8월에 나온 국산 컴퓨터 바이러스. 국산 최초라고 알고 있는 사람들이 많으나 사실 정확히 따지면 최초는 아니다. 정확히 최초는 '벌꿀 바이러스'라고 불리는 바이러스인데, 화면 위쪽에 화살표 모양이 좌우로 왔다갔다하며 신경 쓰이게 하는 것 외에는 아무 증상도 없던 바이러스. 게다가 등장 자체는 LBC보다 빨랐지만 사설 네트워크에서만 퍼진 지라 제대로 발 견보고가 된건 1990년이었다.

• 조쉬 바이러스 : 부트 섹터에 감염되어 메모리 6KB를 차지한다. 매년 1월 5일이 되면 부팅 시 화면이 파랗게 변하면서 한가운데에 하얀 글자로 Type "Happy Birthday Joshi"! (Happy Birthday Joshi라고 입력해줘!) 라는 메시지가 출력되고 부팅이 일시 정지되지만 Happy Birthday Joshi를 입력하면 다시 정상적으로 부팅된다. 제작자는 인도 뭄바이에 살던 마나브 조쉬(Manav Joshi)라는 소프트웨어 엔지니어. 실제 생일이 1월 5일이며, 아마 전 세계의 많은 사람들이 자기 생일을 축하해주길 바라는 마음에 만든 바이러스인 듯 하다. 어쨌건 현대의 파괴적이거나 사용자의 정보를 캐가는 악성 바이러스와 비교하면 지나치게 귀여운 컨셉이라고 할 수 있다.

• DIR-II 바이러스 : 도스 시절 다크 어벤저 바이러스와 함께 도스 시절 최악의 바이러스를 꼽으라면 1, 2위를 다투던 최악의 바이러스였다. 이것 역시 원산지는 불가리아로, 다크 어벤저와 함께 불가리아가 바이러스 제작소라는 악명을 얻는 데 공헌했다. 이 바이러스는 버그가 있는데, 바로 도스 5.0 이상에선 제대로 작동하지 않는다는 점이다. 하지만 오히려 이 버그가 증상을 악화시키는 계기가 되어 원래대로라면 별로 파괴적이지 않았던 증상이 치명적인 증상으로 변했다. 자신을 복제해 감염 파일에 써넣는 다른 바이러스들과는 달리 특이한 방법의 감염을 사용했던 것도 특징이다.

• 미켈란젤로 바이러스 : 이 바이러스는 작동되는 순간 디스크의 맨 처음에 위치한 섹터 100개를 null 값으로 채워버리고, 첫 번째 섹터(섹터 0)에 있어야 할 하드 디스크 MBR이나 플로피 디스크 부트 섹터를 딴 곳으로 날려버리면서 부팅 불가 상태로 만들어 버린다. 미켈란젤로 부오나로티의 생일인 3월 6일에 발동된다고 하여 미켈란젤로 바이러스로 불렸다. 이게 참 잡기가 힘든 것이, 이 바이러스 자체는 3월 6일이 아니라면 메모리가 2KB 줄어드는 것 외에는 아무 증상도 나타나지 않는다. 그래서 자기가 바이러스에 걸린 지도 모른 채 쓰고 있다가 3월 6일만 되면 컴퓨터가 순살당하는 사례가 잦았기 때문에 항상 3월 6일만 되면 긴장해야 했다.

• 카지노 바이러스 : 처음 COMMAND.COM 파일을 감염시킨 뒤 시스템 날짜가 1월/4월/8월 15일일 경우 부팅할 때마다 메시지가 나온다. 이 바이러스는 진짜로 FAT를 파괴하며, 그리고 램에 백업해 놓았다는 것 역시 사실이다. 램에 저장해 두었기 때문에 컴퓨터를 껐다 켜면 FAT테이블은 그대로 날아가 버리므로 이 바이러스의 제안대로 하드디스크를 놓고 바이러스와 대결을 해야 하는 SF 소설 같은 기묘한 상황이 펼쳐진다.

• 안젤리나 바이러스 : 스톤드 바이러스의 변종이다. 플로피 디스크나 하드 디스크의 부트 섹터에 자신을 덮어씌우고 정상적인 부트 섹터를 딴 곳으로 날리는 식으로 감염되며 기본 메모리를 1KB 줄인다. 감염된 부트 섹터 내에는 Greetings for ANGELINA!!!/by Garfield/Zielona Gora라는 문자열이 암호화되어 저장되어 있다.

• CIH 바이러스 : 진단명 Win95/CIH. 1999년 4월 26일, 전 세계의 수많은 PC를 파괴하면서 사람들에게 컴퓨터 바이러스가 얼마나 무서운지 인식시켜 준 바이러스이다. 이 바이러스는 컴퓨터 내부의 모든 실행 파일을 감염시키는데, 종래의 바이러스와는 달리 파일 속에서 빈 공간을 찾아 덮어쓰는 방식을 썼기 때문에 감염되어도 파일 용량의 차이가 발생하지 않는다. 작업 관리자를 보면 바이러스가 실행되고 있다는 것을 알 수 있다. 그리고 감염이 완료된 실행 파일이 실행되면 CIH 바이러스가 같이 시작되며, 그리고 그 날짜가 4월 26일이면 바이러스가 컴퓨터를 파괴한다. 여담으로, 바이러스 코드의 용량은 고작 1KB이다.

바이러스 증상

다음 증상이 지속적, 또는 갑자기 발생하면 바이러스 감염을 의심해볼 수 있다.

• 컴퓨터가 평소와 달리 심하게 느려지는 경우
• 아예 부팅이 되지 않는 경우
• 특정 응용 프로그램의 실행이 평소보다 더디게 진행되는 경우
• 특정 파일 등의 정보(크기, 이름 등)가 지속적으로 변하는 경우
• 기타 평소 발생하지 않은 의심스러운 증상이 발생하는 경우
• 이상한 파일(예: wosfawr.exe, iliawtzg.exe등)이 생성된 경우

그리고 몇몇 바이러스들은 증상이 심해지거나 본격적인 증상이 발동되면, 제작자의 메세지나 장난성 그래픽 효과가 튀어나오기도 한다. 이는 바이러스 제작자가 스스로를 과시하기 위한 용도, 혹은 모종의 메세지를 주기 위해서일 가능성이 크다.

대안

바이러스를 예방하기 위해선 여타 다른 악성코드들과 다를 것 없이, 우선 안티 바이러스 소프트웨어를 활성화하고, 항상 주기적으로 업데이트하며 윈도우 보안 업데이트를 설치해야만 한다. 또한 의심스러운 사이트나 프로그램 등은 실행 전 충분한 경계가 요구된다. 대부분의 안티 바이러스 소프트웨어는 이러한 바이러스들을 감지하고 치료할 수 있는 능력을 가지고 있다. 또는 웹사이트 등의 경우 바이러스 토탈 등으로 검사하는 것도 좋다. 주기적으로 컴퓨터의 임시 파일을 정리하는 것도 도움이 될 수 있다.

하지만 요즘 백신도 잡아내지 못하는 바이러스도 종종 등장하고 있는데, 시스템 파일 중 하나로 위장하고 원래 시스템 파일은 먹통으로 만드는 바이러스도 있다. 시스템 파일은 삭제하기도 힘들고 잘못 건들면 컴퓨터를 먹통으로 만들기도 하니 치료에 주의해야 한다.

참고자료

• 〈컴퓨터 바이러스〉, 《위키백과》
• 〈컴퓨터 바이러스〉, 《나무위키》
• Roger A. Grimes, 〈"다 같은 바이러스가 아니다"〉, 《IT월드》, 2018-07-26

같이 보기

• 멀웨어
• 백신

이 컴퓨터 바이러스 문서는 보안에 관한 토막글입니다. 위키 문서는 누구든지 자유롭게 편집할 수 있습니다. [편집]을 눌러 이 문서의 내용을 채워주세요.

개발 : 프로그래밍, 소프트웨어, 데이터, 솔루션, 보안 □■⊕, 하드웨어, 컴퓨터, 사무자동화, 인터넷, 모바일, 사물인터넷, 게임, 메타버스, 디자인 보안 CVE • CWE • 관리자권한 • 관리적 보안 • 권한 • 권한관리 • 금융 분산원장기술 보안규범 • 기밀 • 기밀성 • 기술적 보안 • 누설 • 누출 • 누출금지정보 • 니모닉 • 데이터베이스 암호화 • 디지털 워터마킹 • 레인보우 테이블 • 루트킷 • 무결성 • 물리적 보안 • 백신 프로그램 • 버그 바운티 • 보안 • 봇 • 봇넷 • 블랙리스팅 • 블랙박스 • 블록체인 보안 • 비밀 • 비회원 권한 • 사고 • 사용자권한 • 사회공학 • 생체인증 • 시큐어코딩 • 신뢰실행환경 • 암호 • 암호키 • 예방 • 유출 • 이중인증(2FA) • 인증 • 일회용 비밀번호(OTP) • 잠금장치(시건장치) • 접근 • 접근권한 • 접근제어 • 접근차단 • 정보보호관리체계 • 침입방지시스템 • 침입탐지시스템 • 컴퓨터 바이러스 • 킬 스위치 • 통합위협관리(UTM) • 패치 • 페이로드 • 핀(PIN) • 해킹사고 • 화이트박스 • 회원권한 • 효율성 취약점 공격 51% 공격 • OWASP • 그라인딩 공격 • 네트워크 공격 • 누킹 • 디도스 • 디엔에스 스푸핑(DNS스푸핑) • 랜섬웨어 • 레베톤 • 레이스 공격 • 롱레인지 공격 • 리플레이 공격 • 리플레이 프로텍션 • 멀웨어(악성코드) • 모의해킹 • 무차별 대입 공격 • 미라이 봇넷 • 백도어 • 버그 • 버퍼 오버플로 • 벡터76 공격 • 부채널 공격 • 블랙해커 • 블록보류 공격 • 블록체인 해킹 • 사이트 간 스크립팅(XSS) • 사이트 간 요청 위조(CSRF) • 사전공격 • 셸쇼크 • 스누핑 • 스니퍼 • 스니핑 • 스미싱 • 스파이웨어 • 스푸핑 • 시빌공격 • 아이피 스푸핑(IP스푸핑) • 암호화폐 거래소 해킹 • 암호화폐 해킹 • 애드웨어 • 에스큐엘 인젝션(SQL인젝션) • 에이알피 스푸핑(ARP스푸핑) • 원격파일삽입 • 웜 • 웹셸 • 이클립스 공격 • 인젝션 • 제로데이 공격 • 중간자 공격 • 지능형 지속 공격(APT) • 취약점 • 침해사고 • 크래킹 • 크립토락커 • 크립토재킹 • 키로깅 • 트로이목마 • 패스워드 크래킹 • 페니스펜드 • 포맷스트링 공격 • 피니 공격 • 피싱 • 해커 • 해커원 • 해킹 • 혹스 • 화이트해커 개인정보보호 가명 • 개인정보 • 개인정보보호 • 개인정보보호법 • 성명 • 실명 • 유럽연합 일반개인정보보호법(GDPR) • 익명 양자보안 광자분리공격(PNS) • 복제 불가능성 원리 • 양자보안 • 측정 후 붕괴 보안 솔루션 V1 • V3 • ZAP • 내PC지키미 • 노턴안티바이러스 • 디아모 • 랩스플러스 • 레드마인 • 레드캐슬 • 맥아피 • 버그질라 • 빅룩 • 빅룩와스 • 빅룩퓨저 • 샤크라 • 소나큐브 • 스패로우 • 스팸스나이퍼 • 시큐브토스 • 시큐어디비 • 아베스트 • 야스카 • 엔스토커 • 엔프로텍트 • 와플즈 • 웹필터 • 제큐어디비 • 제큐어웹 • 지라 • 카스퍼스키 • 파인드벅스 • 피엠디(PMD) 위키 : 자동차, 교통, 지역, 지도, 산업, 기업, 단체, 업무, 생활, 쇼핑, 블록체인, 암호화폐, 인공지능, 개발, 인물, 행사, 일반