1위 ‘ADWare.Win32.Clicker’, 24억2154만회 공격 저지

[보안뉴스 온기홍=중국 베이징] 지난해 중국에서 정보보안업체가 탐지해 차단한 PC 관련 악성 프로그램 톱10 가운데 60% 가량은 스팸 광고를 띄우는 애드웨어(Adware, 광고 전송 프로그램)인 것으로 밝혀졌다. 정보보안업체가 보안 소프트웨어(S/W)를 써서 가장 많이 저지한 악성 프로그램도 애드웨어였다.

중국 정보보안업체 치후360는 자사 360인터넷정보센터(이하 센터)가 지난해 자체 보안 S/W를 이용해 탐지·차단한 수량이 많은 PC 악성 프로그램 톱10을 뽑아 공개했다. 톱10은 △ADWare.Win32.Clicker △Virus.Win32.FakeLPK △Rootkit.Win32.Rwm △ADWare.Win32.Acad(NotPe) △Trojan.Win32.DDOS △ADWare.Win32.MultiDL △Virus.Win32.Fakelinkinfo △Trojan.Win32.GameHacker △Virus.Win32.FakeFolder △Trojan.Win32.Inject 차례였다.

지난해 중국 컴퓨터 사용자에게 가장 많은 피해를 준 악성 프로그램은 애드웨어 ‘ADWare.Win32.Clicker’인 것으로 드러났다. 360인터넷정보센터가 이 애드웨어를 발견해 차단한 횟수는 24억2,154만여회를 기록해, 톱10 전체의 약 절반을 차지했고 2위 ‘Virus.Win32.FakeLPK’ 보다도 두 배 넘게 많았다. 1위와 2위의 차단량 합계는 톱10 전체의 70%에 가까울 만큼 높았다.

톱10 가운데 애드웨어는 1위, 4위(차단량 3억6,194만여회), 6위(차단량 2억1,490만여회) 등 3개였다. 이들 세 가지 애드웨어에 대한 저지 횟수는 29억8,739만여회로 전체의 60% 가량을 차지했다.

이들 ‘PC 악성 프로그램 톱10’의 악성 행위를 살펴보면, 1위에 오른 ‘ADWare.Win32.Clicker’는 팝업창을 숨기는 수법으로 컴퓨터 백그라운드에서 악의적으로 트래픽을 늘리는 것으로 드러났다. 컴퓨터 보안 패치가 완전히 이뤄지지 않으면 웹페이지 상의 트로이목마에 감염될 수 있다고 정보보안 전문가들은 지적했다.

차단 횟수가 10억회가 넘은 2위 ‘Virus.Win32.FakeLPK’는 LPK 감염으로, 시스템이 프로그램 자체 디렉터리 DLL를 우선 추가하는 특성을 통해 자신을 활성화한다고 센터는 설명했다. 또 자기 복제를 끊임없이 진행해 컴퓨터를 감염시킨다. ‘Linkinfo’ 감염인 7위의 ‘Virus.Win32.Fakelinkinfo’도 이와 똑같은 악성 행위를 벌인다.

이어 3위의 ‘Rootkit.Win32.Rwm’의 경우 이용 가능한 드라이브로, 악성 S/W는 이 드라이브를 이용해 자기를 은폐하게 된다고 정보보안 전문가들은 밝혔다. 그 코드가 특별 권한 모드에서 실행되기 때문에 컴퓨터에 큰 해를 끼칠 수 있다고 전문가들은 강조했다.

애드웨어인 4위의 ‘ADWare.Win32.Acad(NotPe)’는 PC 사용자의 브라우저 홈페이지를 수정하고, 악성의 허위 광고 웹페이지 화면 등을 띄운다.

5위를 차지한 ‘Trojan.Win32.DDOS’는 디도스(DDoS) 목마. 이에 감염된 PC는 해커가 제어하는 좀비 컴퓨터로 전락한다고 센터는 밝혔다. 해커는 좀비 컴퓨터를 이용해 디도스 공격을 개시할 수 있다. 공격 과정에서 사용자 PC에서는 네트워크 속도가 느려지고 인터넷 접속이 끊기는 현상이 일어나게 된다.

차단량 6위에 오른 ‘ADWare.Win32.MultiDL’는 애드웨어인데, 이런 유형의 S/W를 설치한 뒤엔 통상 자체 활성화 기능이 추가된다고 센터는 설명했다. 시스템이 기존 프로세스를 실행하는 데 발맞춰, 이 애드웨어는 백그라운드에서 여러 유형의 광고를 내보낸다.

온라인게임 트로이목마인 ‘Trojan.Win32.GameHacker’(차단량 8위)는 게임 정보를 훔쳐서 해커가 사전에 만든 수신 주소로 보낸다. 해커는 사용자 계정 안의 게임 머니와 장비 아이템을 처리해 이득을 챙기는 것으로 드러났다.

9위의 ‘Virus.Win32.FakeFolder’는 허위 파일 폴더 아이콘으로 컴퓨터 사용자를 유인하며, 활동 시작 뒤 감염 모드를 활성화한다. 이어 각 파일 폴더 아래 자기 복제를 끊임없이 진행하는 것으로 밝혀졌다.

끝으로 10위의 ‘Trojan.Win32.Inject’는 시스템 정상 프로세스에 원격 주입되며 ‘EIP’를 수정해 자신이 사전에 준비한 악성 코드를 실행한다고 센터는 밝혔다. 이런 특성은 컴퓨터 사용자가 ‘작업 관리자’에서 이 바이러스의 활동을 끝낼 수 없게 만든다.

[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>