2분기 중 클라우드상 악성 S/W 탐지·차단 횟수, 연 90억회 달해

트래픽 증가·계정 절취 트로이목마, 2분기 중 활개

[보안뉴스 온기홍=중국 베이징] 중국에서 지난 제2분기 중 탐지된 새 악성 프로그램 수는 5억개를 크게 웃돌면서 지난해 같은 기간에 비해 무려 112% 폭증한 것으로 나타났다. 또 ‘트래픽 증가’형 트로이목마와 ‘계정 절취’ 트로이목마는 2분기 중 중국에서 가장 활개를 친 악성 프로그램으로 드러났다.

◆ 지난 2분기 악성 프로그램 대폭 증가

중국 유명 온라인 보안솔루션 회사인 치후360는 최근 발표한 ‘제2분기 중국 PC 인터넷접속 보안 보고’에서 자사 ‘인터넷보안센터’가 2분기 중 탐지한 새 악성 프로그램 수는 5억2,700만개에 달했다고 밝혔다.

이는 지난해 같은 기간의 2억4,800만개에 견줘 112.5% 폭증한 것이다. 또 올해 제1분기의 3억9,800만개에 비해서는 32.4% 늘었다. 지난 4~6월 중 하루 평균 탐지된 새 악성 프로그램 수는 579만1,000개에 달한 셈이다.

지난 2년 간 상황을 보면, 새로 늘어난 악성 S/W 수는 상반기에 지속적으로 하락했다가 하반기 들어 다시 오르는 추세를 보였다. 이와 달리 올해 제2분기에는 악성 S/W 수가 큰 폭으로 증가하면서 이전과 다른 흐름을 띠었다.

월별 새 악성 프로그램 수를 보면, 4월에 1억4,000만개, 5월 1억5,000만개에 이어 6월에 2억3,800만개로 지속적으로 늘었다. 지난해의 경우, 4월에 8,200만개, 5월 8,700만개, 6월 7,900만개가 각각 탐지됐다.

지난 2분기 중 ‘360 인터넷보안센터’가 합산한 악성 프로그램에 대한 클라우드 탐지·차단 횟수는 연 90억7,000만회를 기록해, 지난해 1분기(연 76억4,000만회)에 비해 18.7%, 2분기(연 66억회)에 비해서는 37.4% 각각 증가했다.

월별 클라우드 탐지와 차단 상황을 보면, 4월에 연 24억1,000회(2012년 4월 19억6,000만회), 5월 연 23억8,000만회(21억4,000만회)를 기록했고, 6월 들어서는 연 42억8,000만회(25억회)로 급등했다. 이 기간 하루 평균 이용자 보호를 위해 차단한 악성 프로그램 공격은 연 9,967만회에 달했다.

치후360은 “지난 2분기 중 새로 늘어난 악성 프로그램 수와 탐지·차단 규모를 볼 때, 악성 S/W의 비정상적인 폭증에 대해 경계심을 가져야 한다”고 당부했다.

          ▲ 2013년 제2분기 중국 내 클라우드 탐지·차단량 기준 악성 S/W 톱20

◆ 2분기 탐지·차단량 기준 악성 S/W 톱20

치후360의 인터넷보안센터는 지난 2분기 동안 클라우드 탐지·차단 수가 많은 상위 20위 안의 악성 프로그램을 선정했다.

이들 상위 20위 이내 바이러스의 행위와 특징을 보면, 먼저 1위로 뽑힌 ‘Trojan.Win32.Liuliangbao’는 트래픽(접속량) 패키지로 트래픽을 계속 늘린다. 이 트래픽 패키지는 클라우드 탐지·차단량이 톱20 가운데 약 40%의 비중을 차지해, 2분기 ‘트로이목마의 왕’이라고 할 만 하다고 360인터넷보안센터는 밝혔다.

이런 악성 프로그램은 이용자 컴퓨터를 조작해 사전에 지정된 웹사이트나 웹페이지 광고를 방문하게 한다. 해커들은 이를 통해 웹사이트나 광고의 방문량을 늘릴 수 있고, 웹사이트 개발자는 상업적 이익을 편취하게 된다.

트로이목마를 이용해 많은 허위 웹사이트 트래픽이나 광고 클릭량을 편취하는 것은 많은 중소 웹사이트와 개인 웹사이트의 ‘운영 잠재규칙’인 상황이라고 치후360은 지적했다.

이와 관련, 일부 웹사이트의 클릭량 가운데 80%에서 많게는 100%는 각종 트래픽을 늘리는 트로이목마 프로그램에 의한 것이라는 설명이다. 이 같은 트로이목마 프로그램 하나는 종종 여러 웹사이트에서 동시에 트래픽을 증가시키는 역할을 한다.

이어 2위인 ‘Backdoor.Win32.Rbot’는 백도어 프로그램으로 포트를 열어 해커의 명령을 수신하며, ‘Trojan.Win32.FakeLPK’(3위)의 경우 LPK 악성 프로그램이다.

또 ‘Trojan.Win32.Downloader’(4위)는 웹브라우저 홈페이지를 몰래 바꾸고 바이러스 프로그램을 내려 받는다. 바이러스 프로그램 ‘Trojan.Win32.Killav’(5위)는 상용 백신 프로그램을 찾아 내어 종료 시킨다. 6위를 차지한 ‘Worm.Win32.AutoRun’는 웜 바이러스 관련 S/W이며 네트워크 감시·제어에 쓰인다.

아울러 ‘Trojan.PSW.Win32.Genome’(7위)는 온라인게임 계정을 훔치며, 8위인 ‘VirusOrg.Win32.Alman’는 감염형(Win32)의 감염 소스 문건이다. 9위의 ‘Worm.Win32.bat’는 악성 bat 문건으로 바이러스를 추가해 자체적으로 활동을 개시한다. 웜 바이러스인 ‘Worm.Win32.NetSky’’(10위)는 스팸 메일을 발송한다.

또한 ‘Dropper.Win32.Agent’(11위)는 바이러스 프로그램 드로퍼이고, ‘Worm.win32.Auoit’(12위)는 바이러스 프로그램을 배포하면서 C드라이브에 바이러스 문건을 만들고 U드라이브를 감염시킨다. 악성 부팅 드로퍼인 ‘Dropper.Win32.Gepcha’(13위)의 경우, 부팅 가동 항목을 추가한다고 치후360은 설명했다.

14위의 ‘Trojan.Win32.HDC’는 트로이목마 프로그램으로서 가동 항목을 추가하고 온라인에서 배치 문건을 얻는다고 치후360은 밝혔다. 이어 ‘Trojan.Win32.StartPage’(15위)는 맬웨어 NSIS 설치 패키지로 홈페이지를 고정시키며, 악성 프로그램 ‘RootKit.Win32.Agent’(16위)는 네트워크 데이터 패키지를 가로챈다. 

이와 함께 ‘Application.Adware.Win32.Leyi’(17위)는 맬웨어 ‘Leyi’ 플레이어 프로그램으로서 몰래 설치된 이후 확산을 시작한다. 역시 ‘Application.Adware.Win32.NsisLeyi’(20위)도 맬웨어 ‘Leyi’ 영화음악 설치 패키지이며, 바이러스 프로그램을 가지고 있다.

18위에 오른 ‘Trojan.PSW.Win32.DNF’의 경우, 한국산 유명 온라인게임 ‘던전앤파이터(DNF)’의 계정을 훔치고 가동 항목을 추가한다. 19위인 ‘Trojan.Win32.FakePlug-in’도 ‘던전앤파이터’의 계정을 훔치는 것으로 드러났다.

◆ 온라인게임 계정 절취 트로이목마 활개

이번 톱20을 놓고 볼 때, ‘트래픽 증가’형 트로이목마와 ‘계정 절취’ 트로이목마는 지난 2분기 중 중국에서 가장 활개를 친 악성 프로그램인 것으로 나타났다.

실제로 톱20 가운데 11개의 악성 프로그램(비중 55%)은 계정 절취 트로이목마이거나 이와 밀접한 관계가 있는 것들이다. 이들 악성 프로그램은 3, 4, 5, 7, 8, 9, 11, 14, 16, 18, 19위를 차지했다. 이 가운데 일부는 특정 응용(애플리케이션)이나 온라인게임을 겨냥해 계정을 훔치고, 또 일부는 이용자의 컴퓨터를 감염시킨 뒤 더 많은 계정 절취 프로그램을 컴퓨터에 내려 받는 것으로 나타났다.

360인터넷보안센터는 “일부 악성 프로그램은 부팅 프로그램을 감염시키고 가동 항목을 변조하며, 여러 악의적인 처리 파일이나 링크 파일 등을 배포하는 수법을 통해 최종적으로 이용자 계정을 훔쳤다”고 설명했다.

360인터넷보안센터의 모니터링 결과, 최근 90% 이상의 ‘계정 절취’ 트로이목마가 겨냥하고 있는 것은 온라인게임 계정인 것으로 드러났다. 이와 관련해 중국에서 인기가 많은 한국산 온라인게임 ‘던전앤파이터(DNF)’을 노린 계정 절취 트로이목마와 불법 자동사냥 프로그램은 지난 1분기에 이어 2분기에도 악성 프로그램 차단량 기준 톱20에 들었다.

360인터넷보안센터는 “많은 게이머들은 보안 프로그램의 위험 안내를 종종 무시하고 이들 악성 프로그램을 그냥 통과시킴으로써 자신의 컴퓨터 보안에 심각한 위협을 초래한다”고 지적했다. 게다가 최근 중국에서도 여름 방학 기간을 맞아 게이머들의 게임 이용이 더욱 활발해지고 있는 가운데 게임 계정 절취 트로이목마가 한층 더 활개를 칠 것으로 예상되고 있다.

◆ “백도어 바이러스 활동 재개 경계해야”

한편 지난 2000년대 초 중국에서도 널리 퍼졌다가 최근 여러 해 동안 잠잠했던 ‘백도어’ 바이러스가 지난 2분기 동안 늘어난 것도 눈길을 끈다.

톱20 중 ‘Backdoor.Win32.Rbot’이라는 백도어 바이러스는 2위에 올랐다. 이 바이러스에 대한 클라우드 탐지·차단량은 연 2억1,700만 회에 가까웠다. 360인터넷보안센터는 “이런 현상은 인터넷 보안 영역에서 예사롭지 않은 일이다”며 “보안솔루션 업체와 누리꾼들은 이에 대한 고도의 경계가 필요하다”고 강조했다.

또한, 2분기 톱20 중 17위와 20위에 오른 악성 프로그램들은 악의적 광고 전파 프로그램이었다. 이들은 영화·음악 플레이어 안에 악성 광고를 넣거나, 설치 패키지 안에 다른 악성 프로그램을 묶어 넣기도 한다. 이들 다른 악성 프로그램도 악성 광고를 배포할 수 있다. 이두 개의 악성 프로그램은 지난 1분기에도 톱20 순위에 들었으며 최근에도 활개를 치고 있다고 360인터넷보안센터는 밝혔다.

치후360은 “트래픽 증가와 악성 광고 발송 S/W가 통상 이용자에게 직접적인 손해를 끼치지 않고, 트래픽 증가 트로이목마도 이용자에게 쉽게 발각되지 않기 때문에 일부 보안 S/W는 이들 트로이목마를 통과시키기도 한다”며 “하지만 이들 프로그램은 이용자를 괴롭히고 나아가 보안 위험까지 안긴다”고 지적했다.

[중국 베이징 / 온기홍 특파원(onkihong@yahoo.co.kr)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>