『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 3번 제 목:들어가는 말 올린시각:95/11/17 17:15 읽음:1464 관련자료 없음 ----------------------------------------------------------------------------- 제 목 : 들어가는 말 ----------------------------------------------------------- '컴퓨터 바이러스 프로그램(computer virus program)'들에 대한 전반적인 내용을 설명하기 전에 우선적으로 먼저 짚고 넘어가야 할 점이 있다. 컴퓨터 바이러스 프로그램(이하, 컴퓨터 바이러스)이라는 것은 우리가 컴퓨터를 사용하는 원래의 목적과는 전혀 관계없는 것이 라는 점이다. 우리가 컴퓨터를 사용하는 이유는 그것이 사람이 하고자 하는 일들을 보다 신속하고 정확하게 처리해 줄 수 있을 뿐 아니라, 새롭고 창조적인 일을 할 수 있는 여건을 만들어 제 공하기 때문이다. 그러나 컴퓨터 바이러스는 이러한 일들과는 전혀 상관없을 뿐만 아니라 오히려 작업을 지연시키거나 작업 결과를 완전히 파괴해 버리기도 한다. 즉, 우리 모두의 발전을 위한 노력을 좌절시키 므로 우리 모두의 퇴보를 조장하는 것이다. 또한, 컴퓨터 바이 러스에 의한 피해는 여기서 그치지 않는다. 컴퓨터 바이러스를 퇴치하기 위한 백신 프로그램 (anti-virus program)을 개발하기 위해서는 실력있는 프로그래머들이 투입되어야 한다. 만약, 컴 퓨터 바이러스들이 없었다면 이런 유능한 프로그래머들이 다른 방면에서, 우리 모두에게 도움이 되는, 유익한 프로그램을 개발 하는 창조적인 일에 투입될 수 있었을 것이다. 즉, 컴퓨터 바이러스들과 백신 프로그램들간의 반복적인 전쟁은 프로그래머들의 반복적인 두뇌 소모전일 뿐이다. 컴퓨터 바이러스 프로그램 자체를 만드는 행위는 동기가 아무리 악의가 없고, 장난기에서 비롯되었다고 할지라도, 결과적으로는 대다수의 일반 컴퓨터 사용자들에 대한 커다란 범죄행위를 저지 르는 것이라는 점을 인식해야 할 것이다. 1994년부터 더욱 악의적인 모습을 보이며 급증하고 있는 한국산 컴퓨터 바이러스의 경우는, 이제 더 이상 방치해서는 안될 형편 에까지 이르렀다. 빈약한 국내 소프트웨어 환경에서 힘을 모아 외국 제품들에 대항하기도 벅찬 시점에서 한국산 컴퓨터 바이러 스및 제작자는 우리 나라의 전반적인 국가 경쟁력을 약화시키고 있는 일종의 매국노이다. 본 연구소에서는 우리 나라 국익 수호 차원에서 앞으로 강력하게 법적인 대응을 할 예정이다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 4번 제 목:컴퓨터 바이러스의 정의 올린시각:95/11/17 17:15 읽음:1934 관련자료 없음 ----------------------------------------------------------------------------- 제 목 : 컴퓨터 바이러스의 정의 ---------------------------------------------------------- '컴퓨터 바이러스(computer virus)'라는 말이 신문이나 TV 등 각종 대중매체를 통해 널리 알려지면서, 여러 가지 잘못된 개념 들이 일반인과 컴퓨터 사용자 사이에 통용되고 있는 것 같다. 초창기에 비해서는 많이 개선된 면을 보이고 있지만 아직까지도 어떤 분들은'컴퓨터를 사용하는 사람에게 감염되는 신종 바이러 스성 질환이 발견되었나 보다'라고 생각하는 경우도 있으며, 또 어떤 분들은 '컴퓨터의 기계 자체에 서식하는 바이러스가 있어 컴퓨터의 전원을 끄더라도 없어지지 않으며 바로 이러한 것들이 디스켓에 묻어 다른 컴퓨터로 옮겨가는 것이다.' 라고 생각하는 경우도 보았다. 이렇게 잘못된 개념들을 갖게 된 이유는 여러 가지 원인들이 있 겠지만, 가장 큰 이유는 '바이러스'라는 명칭때문일 것이다. 본 란에서는 컴퓨터 바이러스에 대한 정확한 개념을 설명하고, 이 해를 돕기 위해 컴퓨터 바이러스들의 일반적인 간단한 동작 원 리와, 다른 프로그램에 감염되는 과정을 간단한 표를 이용하여 설명하도록 하겠다. 또한, 컴퓨터 바이러스와 자칫 혼동하기 쉬 운 '트로이 목마(Trojan horse)프로그램'에 대해서는 본 포럼의 21-1-3번 란에 보다 상세한 내용을 실었다. 1) 컴퓨터 바이러스의 정의 컴퓨터 바이러스란 컴퓨터를 다루는 사용자나 컴퓨터 자체에 감 염되는 생물학적인 의미의 바이러스가 아니라, 컴퓨터 자체에서 실행되는 프로그램(program)의 일종이다. 그러나 이 프로그램들은 다른 프로그램들과는 달리 사용자 몰래 자기 자신을 다른 곳에 복사(copy)하는 명령어들을 가지고 있다. 바이러스라는 이름이 붙게 된 가장 큰 이유는 생물학적인 바이 러스가 자기 자신을 복제하는 유전인자를 가지고 있는 것처럼 컴퓨터 바이러스들도 자기 자신을 복사하는 명령어들을 가지고 있기 때문이다. 따라서 컴퓨터 바이러스라는 말보다는 '컴퓨터 바이러스 프로그램(computer virus program)'이라는 말이 보다 정확한 표현이 될 것이다. 또한, 컴퓨터 바이러스들은 자기 복사 능력 이외에도 실제 바이 러스와 비슷하게 부작용(side effect)을 가지고 있는 경우가 많 다. 즉, 감기 바이러스가 인체내에서 증식만 하는 것이 아니라 감기를 일으키듯이 컴퓨터 바이러스들도 자기 자신을 복사하는 명령어들의 조합만을 가지고 있지 않고, 하드 디스크에 저장된 귀중한 자료들을 지워버리는 등의 해악을 끼치는 일을 수행하는 명령어들을 포함하고 있는 경우가 많다. 일반적으로 컴퓨터 바 이러스들이 경계의 대상이 되는 이유는 사용자몰래 자기 자신을 복사하기 때문이 아니라 컴퓨터 바이러스들이 갖고 있는 부작용 때문이다. 그러나 모든 컴퓨터 바이러스가 이런 부작용을 갖고 있는 것은 아니며, 자기 복사 능력만을 가지고 있는 것들도 많다. 결론적으로, 컴퓨터 바이러스의 정의를 내리자면 '사용자 몰래 다른 프로그램에 자기 자신을 복사하는 프로그램' 이라고 할 수 있으며, 조금 더 상세하게 표현하자면 '컴퓨터의 프로그램이나 실행 가능한 부분을 변형하여, 여기에 자기 자신 또는, 자기 자 신의 변형을 복사하는 명령어들의 조합'이라고 할 수 있다. 여기서 실행 가능한 부분들로는 오버레이(overlay), 장치 구동 기(device driver), 부트 레코드(boot record) 영역, 운영체제 (operating system) 등을 들 수 있다. 또한 여기서 자기 자신의 변형이란 용어를 사용한 이유는 컴퓨터 바이러스에 따라서 자기 자신을 그대로 다른 곳에 복사하는 것이 아니라 자기 자신을 일 부분 변형시켜서 다른 곳에 복사하는 컴퓨터 바이러스들도 있기 때문이다. 2) 동작 원리 컴퓨터 바이러스들의 개념에 대한 이해를 돕기 위해, 컴퓨터 바 이러스의 기본적인 동작 원리를 간단한 표로 설명하면 다음과 같다. * 컴퓨터 바이러스의 동작 원리 +-----------------+ | 실행 시작 | +-----------------+ ↓ +-----------------+ | 다른 프로그램의 | | 감염 여부 검사 | +-----------------+ | ↓ ∧ / \ +-------------------+ / \ 아니오 | 컴퓨터 바이러스를 | 〈 이미 감염? 〉-----→ | 복사 | \ / +-------------------+ \ / | ∨ | | 예 | | ←-------------------------+ ↓ +--------------------+ | 원래 프로그램 실행 | +--------------------+ 컴퓨터 바이러스에 감염된 프로그램을 실행시키면, 컴퓨터 바이 러스들도 일반 프로그램들과 마찬가지로 컴퓨터의 기억장소에서 실행된다. 컴퓨터 바이러스는 또한 사용자 몰래 다른 프로그램 이 감염되어 있는지를 확인한다. 만약, 프로그램이 이미 감염되었다면 그대로 놓아 두고, 감염되 지 않았다면 자기 자신을 복사한다. 컴퓨터 바이러스의 실행이 끝나면 원래 프로그램을 실행시킨다. 따라서 사용자의 입장에서 보면 원래의 프로그램들이 정상적으로 실행되기 때문에 컴퓨터 바이러스에 감염된 것을 모르고 지나치기 쉽다. 바로 이런 경로 를 거쳐 새로 감염된 프로그램들은 다음에 실행되면 동일한 과 정을 거쳐 다른 프로그램을 감염시킬 수 있게 되는 것이다. 따라서 만약에 하나의 프로그램이 감염되었다면, 사용자가 모르 는 사이에 컴퓨터의 다른 프로그램들에 컴퓨터 바이러스가 확산 되는 것이다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 5번 제 목:트로이 목마와 웜 올린시각:95/11/17 17:16 읽음:1629 관련자료 없음 ----------------------------------------------------------------------------- 제 목 : 트로이 목마와 웜 ----------------------------------------------------------- 컴퓨터 바이러스는 여러가지 나쁜 영향을 미치는 악성 프로그램 (malicious program)이지만, 이러한 종류의 악성 프로그램들이 모두 컴퓨터 바이러스는 아니다. 개인용 컴퓨터에서 문제가 되 는 악성 프로그램을 크게 두 가지로 나눠 보면 컴퓨터 바이러스 와 트로이 목마(Trojan horse) 프로그램으로 나눌 수 있다. 대형 컴퓨터에서는 이들 이외에 벌레(worm) 프로그램이라는 것 이 존재하지만 일반 개인용 컴퓨터들에서는 문제가 되지 않기 때문에 제외하는 것이 바람직하다고 생각된다. '트로이 목마 프로그램'이란 자기 복사 능력은 없이 고의적인 부작용만 가지고 있는 프로그램을 말한다. 트로이 목마 프로그 램은 고의적으로 포함되었다는 점에서 보면, 프로그래머의 실수 로 포함된 프로그램의 버그(bug)와는 질적으로 틀리다. 또한 트 로이 목마 프로그램은 자기가 포함되어 있는 프로그램 내에서만 존재하고, 다른 곳으로 자기 자신을 복사하지 않는다는 점에서 컴퓨터 바이러스와 틀리다. 따라서 임의의 프로그램을 실행시켰을 때 하드 디스크의 파일들 을 지우지만, 다른 프로그램에 복사되지 않으면 이러한 경우는 컴퓨터 바이러스가 아니라 트로이목마 프로그램이다. 부작용의 유뮤와 관계없이 자기 복사 능력이 있으면 컴퓨터 바이러스이며, 자기 자신의 복사 능력 없이 부작용만을 가지고 있으면, 트로이 목마 프로그램임을 판단할 수 있을 것이다. 컴퓨터 바이러스와 트로이 목마 프로그램을 구별해야 하는 가장 큰 이유는, 사용자 입장에서 대처 방법이 전혀 달라지기 때문이 다. 컴퓨터 바이러스는 다른 프로그램에도 감염될 수 있기 때문 에 만약 한 프로그램안에서만 해당 컴퓨터 바이러스가 발견되면 다른 프로그램들도 모두 검사해 봐야만 한다. 그러나 트로이 목마 프로그램은 한 프로그램 안에서만 존재하기 때문에 해당 프로그램들만 지워버리면 문제가 해결된다. 따라서 컴퓨터에서 이상한 일이 발생했을 때는 컴퓨터 바이러스와 트로 이 목마 프로그램을 반드시 구별해야 할 필요가 있다. 트로이 목마 프로그램의 공통적인 특징은 사람들의 호기심을 자 극하는 내용이거나, 또는 기존의 유명 프로그램에 대한 새로운 소식이나 샘플 프로그램(sample program)의 가면들을 쓰고 있는 경우가 많다. 그 중에서 알려진 것으로는 RCKVIDEO.EXE이다. 이 프로그램을 실행시키면, 마돈나가 나와서 노래부르는 모습을 보 여준 다음 디스크의 모든 파일들을 지운 뒤 "You are stupid to download a video about rock stars."(너는 가수에 대한 비디오 파일을 가져 올 정도로 멍청하다)라는 내용의 파일만을 남겨 둔 다. 또다른 종류로는 SEX-SHOW.EXE가 있는데, 이것 역시 성적인 음란한 장면들을 보여 주면서 모든 파일들을 지운다. 결론적으로 말하자면, 트로이 목마 프로그램의 정의는 '자기 복 사 능력 없이 부작용만을 일으킬 목적으로 만들어진 프로그램' 이라 명명할 수 있으며, 더 정확하게는 '컴퓨터 프로그램 내에 사용자 몰래 고의적으로 포함되어 자기 자신을 복사하지 않는 명령어들의 조합'이라고 할 수 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 6번 제 목:다른 운영체제의 컴퓨터 바이러스 올린시각:95/11/17 17:16 읽음:1284 관련자료 없음 ----------------------------------------------------------------------------- 제 목 : 다른 운영체제의 컴퓨터 바이러스 ----------------------------------------------------------- 그동안 IBM-PC에서 사용할 수 있는 운영체제로는 도스(DOS)밖에 었지만 하드웨어의 성능이 강력해짐에 따라 여러 가지 운영체제 들이 등장하였다. 그 중에서도 윈도우와 OS/2는 많은 사용자들 에게 인정을 받아 하나의 표준으로 자리잡아 나가고 있다. 컴퓨 터 바이러스 제작자들이 이런 많은 사용자들을 놓칠 리가 없다. 지금까지 발견된 윈도우용 바이러스로는 3가지가 알려져 있다. 1. WinVir14 바이러스 2. 경련 바이러스(Twitch virus) 3. 컴퓨터 폭동 바이러스(Cyber Riot virus) 'WinVir14' 바이러스는 최초의 윈도우용 바이러스이며, 내부에 윈도우용 바이러스 버전 1.4(Virus For Windows v1.4)라는 말이 존재해서 이러한 이름이 붙여지게 되었다. 이것은 아주 단순한 것으로, 윈도우 기능들은 사용하지 않고, 도스의 기능만을 사용 하고 있으며, 윈도우에 상주하지 않고 한번씩 실행될 때마다 한 디렉토리에 있는 모든 윈도우용 프로그램들을 감염시킨다. 따라 서 윈도우용 프로그램들만 감염시키기는 하지만, 엄밀한 의미에 서는 도스 바이러스에 가까운 것이다. '경련' 바이러스는 두번째 발견된 윈도우용 바이러스로 이것은 WinVir14 바이러스보다 한층 진보하여, 윈도우의 기능들을 사용 하고 있고 윈도우에 상주한다. 그러나 윈도우의 기능들을 직접 가로채지는 않고 1분마다 1개의 파일씩 감염시키는 방법을 사용 한다. '컴퓨터 폭동' 바이러스는 가장 최근에 발견된 것으로 최초의 본격적인 의미의 윈도우용 바이러스라고 할 수 있다. 이 바이러 스는 윈도우 프로그램의 실행 기능 그 자체를 가로채며, 프로그 램이 실행될 때마다 그 프로그램을 감염시킨다. 따라서 도스의 상주형 바이러스와 거의 유사하다고 할 수 있다. 또한 이것은 4월 29일과 5월 1일사이에는 LA 경찰들에게 구타를 당한 로드니 킹(Rodney King)을 기념하는 의미에서 하드 디스크 자료들을 파괴하는 특징적인 증상을 가지고 있다. 윈도우용 컴퓨터 바이러스들은, 초기에는 아주 단순한 기능만을 가졌지만 점차 윈도우 환경에서 완벽하게 동작하고 있고 앞으로 문제를 일으킬 수 있는 여지를 가지고 있다. 2) OS/2용 바이러스 OS/2용 바이러스가 95년 1월 최초로 발견되었다. 'OS/2 Vir_1' 바이러스라는 이름이 붙여진 이 OS/2용 바이러스는 컴퓨터 바이 러스 제작키트로 유명한 미국의 캘리포니아의 팰콘/스키즘 그룹 (Phalcon/Skism group)에서 만든 것이다. 이것은 아주 단순한 겹쳐쓰기형 바이러스이기 때문에 바이러스 그 자체로는 큰 문제를 일으키지는 않을 것으로 예상되지만, 비 밀리에 유통되고 있는 바이러스 제작 잡지인 '40Hex'에 소스 프 로그램이 공개되었기 때문에, 앞으로는 OS/2도 컴퓨터 바이러스 의 침입으로부터 결코 안전할 수만은 없을 것이다. 3) CD-ROM 바이러스 CD-ROM은 일반적인 컴퓨터에서는 쓰기가 가능하지 않기 때문에, CD-ROM 사용중에 컴퓨터 바이러스에 감염되는 일은 절대로 있을 수 없다. 하지만, 반대로 CD-ROM 제작 과정에서 실수로 컴퓨터 바이러스에 감염된 파일이 포함된 경우라면 일반 사용자들이 파 일을 지울 수 없기 때문에, CD-ROM 자체를 폐기하는 방법외에는 다른 제거 방법이 없다. 지금까지 3종의 CD-ROM에서 컴퓨터 바이러스가 발견되었다. 1. 금지된 주제(Forbidden Subject) 2. 소프트웨어 저장고, 2뮤 모음집 (Software Vault, Collection 2) 3. 올빼미 #10(Night Owl #10) '금지된 주제(Forbidden Subject)'라는 CD-ROM은 외국에서 비밀 리에 유통되고 있는 것으로 알려진, 컴퓨터 바이러스 제작 잡지 '40Hex'의 자료들을 모아놓은 것으로, 의도적으로 해킹 방법 및 컴퓨터 바이러스의 제작 방법을 넣어 놓은 것이다. '소프트웨어 저장고 2번째 모음집 (Software Vault, Collection 2)'과 '올빼미 #10(Night Owl #10)'에는 제작자의 실수로 각각 PS-MPC.수학시험 바이러스(PS-MPC.Math-test virus)와, 타락 바 이러스(Lapse virus)에 감염된 파일이 저장되었다. 1994년에 들어서 국내에서도 다양한 종류의 CD-ROM 제작이 활발 해지고 있고, 컴퓨터 잡지의 각종 부록으로 등장하는 일도 많아 지고 있다. 지금까지의 경우를 보면 컴퓨터 잡지의 부록 디스켓 에서 컴퓨터 바이러스에 감염되어 배포되었던 사례가 있었기 때 문에, CD-ROM에서도 이러한 일이 생기지 말라는 법은 없을 것이 다. 해당 CD-ROM 제작자의 주의를 바란다.