바이러스 뉴스

[동향 소식 p.98–99] 떴다! 월드컵 바이러스 외 1건

• 떴다! 월드컵 바이러스p.98

  5월은 가정의 달, 그러나 컴퓨터에게는 요주의 바이러스가 등장하는 달이기도 하다. 16일에 나타날 가능성이 높은 월드컵 바이러스가 바로 그것.

  한국산 파일 바이러스의 일종인 월드컵 바이러스는 메모리 상주형으로, EXE, COM 파일을 감염시키며, 파일의 크기를 2098바이트씩 증가시킨다. 매년 5월 16일 이외에도 10월 27일에도 나타나는데, 다음과 같은 메시지가 출력되는 것이 특징이다.

  Worldcup KOREA!!

• 97년 1/4분기 바이러스 동향p.98–99

  97년 1/4 분기동안 발견된 새로운 컴퓨터 바이러스는 총 72종으로 96년 1/4분기 대비 60% 증가세를 보이고 있다.

  [표1] 96, 97년 1/4 분기 바이러스 발견 현황(단위 : 종)

  96년: 1월 12, 2월 9, 3월 24, 합계 45

  97년: 1월 20, 2월 24, 3월 28, 합계 72

  그리고, 컴퓨터 바이러스 총 72종 가운데, 국산 바이러스가 49종으로 68.1%를 점유하여 바이러스의 신토불이 바람은 여전한 것으로 나타났다(화면1 참조). 종류별로는 매크로 바이러스 3종을 포함한 파일 바이러스가 67종, 부트 바이러스가 4종, 부트/파일 바이러스가 1종으로, 파일 바이러스가 대부분을 차지하고 있다(그림2 참조).

  국산 바이러스 강세 여전

  97년 1/4분기에 발견된 바이러스 72종 가운데 68.1%를 차지한 국산 바이러스는 작년 1/4분기(30종)에 비해 63.3% 증가한 49종이 발견되었다. 1/4분기에 발견된 국산 바이러스들은 이미 널리 알려져 있는 '시스터보', '한국변형 매독', '회오리' 바이러스뿐만 아니라, 아직 V3 Pro 97, V3+ 이외의 다른 백신으로도 검색조차 되지 않는 새로운 다형성 바이러스 'FCL' 바이러스도 등장했다. 또한 'NRLG', 'PS-MPC' 시리즈와 마찬가지로, 제작 툴킷이 공개되어 있는 'IVP' 변형 바이러스가 13종이나 발견되었다.

  변형 바이러스 일색

  1/4분기에 새로 발견된 72종 가운데 변형 바이러스는 53종(73.6%)으로 집계돼 '건재'를 과시하고 있다. 'NRLG' 변형 24종— 바이러스 원형은 외국산이나 발견되는 변형은 모두 국산이다.—을 비롯해 대표적인 국산 바이러스인 '시스터보', '한국변형 매독' 바이러스의 변형이 각각 4종, '미니 3', '한국변형 흡혈귀', '회오리' 바이러스 변형이 각각 1종씩 발견되었다. 또한, 'VCL' 변형 3종(모두 외국산), 'PS-MPC' 변형 2종(국산 1종, 외국산 1종)이 발견되었다.

  한 가지 재미있는 특징은 'IVP' 바이러스 변형이 다수 등장했다는 사실이다. 'IVP(Instant Virus Production)'는 외국의 바이러스 제작 그룹인 YAM(Youngsters Against Mcafee)에서 제작한 바이러스 제작 툴 킷으로, 이것이 처음 공개된 것은 95년이다. 그동안 많이 발견되지 않았던 'IVP' 바이러스 변형이 올해 들어 갑자기 양산되는 이유는 2월 중순경 누군가가 통신망에 툴킷을 올려 놓았기 때문인 것으로 추측된다.

  이러한 변종 바이러스가 계속 늘어나는 것은 바이러스 소스 및 바이러스 제작 프로그램을 아무런 문제의식 없이 사설 BBS의 자료실이나 서적 등을 통해 무분별하게 공개하고 있기 때문이다. 바이러스 소스 및 제작 툴 킷을 공개하는 행위는 바이러스 제작을 부추기는 무책임한 행동으로, 많은 사람들의 피해를 불러온다는 점에서 반드시 근절돼야 한다.

  [표2] 88~97년까지 1/4분기 국내 컴퓨터 바이러스 발견 현황(단위 : 종)

  국산 바이러스: 89년 3, 90년 8, 91년 5, 92년 10, 93년 17, 94년 41, 95년 81, 96년 152, 97년 1/4분기 49

  외국산 바이러스: 88년 1, 89년 3, 90년 20, 91년 16, 92년 7, 93년 17, 94년 35, 95년 47, 96년 73, 97년 1/4분기 23

  부트 바이러스: 88년 1, 89년 4, 90년 8, 91년 5, 92년 5, 93년 10, 94년 13, 95년 18, 96년 8, 97년 1/4분기 4

  파일 바이러스: 89년 2, 90년 18, 91년 15, 92년 11, 93년 23, 94년 60, 95년 105, 96년 188, 97년 1/4분기 67

  부트/파일 바이러스: 90년 2, 91년 1, 92년 1, 93년 1, 94년 3, 95년 5, 96년 29, 97년 1/4분기 1

  총계: 88년 1, 89년 6, 90년 28, 91년 21, 92년 17, 93년 34, 94년 76, 95년 130, 96년 225, 97년 1/4분기 72

  월별 1인자는 '시스터보' 'IVP' '우주여행'

  1월은 '시스터보' 바이러스가, 2월은 'IVP' 바이러스가, 3월은 '우주여행' 바이러스가 특히 기승을 부렸다.

  1월에 발견된 '시스터보II.2021' 바이러스—다른 백신은 'FCL.1852', 'Systurbo.Nop.2044' 등으로 진단—는 한국산 파일 바이러스로 기존의 '시스터보.1747' 바이러스를 변형하였고, '회오리' 바이러스의 기법을 일부 차용했다. HW, V3, F-, J2, T2, TK, TV, TB, WC, CO, DE, VI, FI, GI, RA, FE, MT, BR, WI 같은 이름으로 시작하는 파일은 감염시키지 않으며 매년 12월 25일 감염된 파일을 실행하면 CMOS의 데이터를 삭제하고, 1997년 12월 3일에는 CMOS 데이터를 지운다. 내부의 암호를 풀어보면 다음과 같은 문자열이 존재한다.

  [FCL virus] Nice Meet You See Again No WORK LAW

  2월에 발견된 'IVP.765' 바이러스는 COM. EXE 파일 모두를 감염시키며, 파일 크기를 765바이트 증가시킨다. 감염된 파일을 실행하면 다음과 같은 메시지를 출력하기 때문에 일명 '첫사랑' 바이러스라고도 불린다.

  [First Love MBC Saturday &Sunday PM 7:55] Seong Chan-woo, Seong Chan-hyuk, Seong Chan-ok, Seong Duk-bae, Lee Hyo-kyung, Park Shin-ja, Kang Suk-hee

  3월의 '우주여행.1120(Cosmos.1120)' 바이러스는 COM 파일만 감염시키며, 파일 크기를 1120바이트 증가시키는 외국산 파일 바이러스이다. 1500~54000바이트 사이의 COM들을 한 번에 6개씩 감염시키며, 매시 52분 0초에서 52분 20초 사이에 감염된 파일을 실행하면 화면에 많은 별들이 나타나면서 시스템이 다운된다. 이때 화면에는 이미 고인이 된 유명한 천문학자 칼 세이건을 추모하는 것으로 보이는 문자열이 다음과 같이 출력된다.

  To Carl Sagan, poet and scientist, this little Cosmos. (Spanska 97)