시스템 날짜 변경 증상
2006년 4월 19일 오전부터 시스템 날짜가 1900년, 1924년, 1953년 등 과거로 바뀌는 증상을 호소한 사용자가 갑자기 증가했다. 동시에 여러 사용자가 증상을 호소하는 것으로 보아 새로운 악성코드일 가능성이 높았으며, 증상을 호소하는 시스템 중 하나를 확인한 결과 수상한 파일을 찾아 내었다. 분석 결과 해당 시스템 의날짜를 변경한 파일은 인터넷에서 시스템에 사용자 몰래 파일을 다운로드 하는 Win-Trojan/Downloader.225597였다.

다운로더가 원인
다운로더(Downloader)는 인터넷을 통해 파일을 다운로드하는 프로그램이다. 다운로더는 최근 프로그램에서 지원하는 자체 업데이트 기능으로 볼 수 있다. 하지만, 악성코드나 스파이웨어로 분류되는 다운로더는 대체로 설치된 제품과 독립적으로 실행되며 사용자에게 동의나 통보 없이 실행 파일을 다운로드 해 시스템에 설치한다.

사용자 모르게 프로그램을 설치하는 것도 문제지만 다운로드 된 파일이니 설치된 프로그램이 대부분 사용자들에게 원하지 않는 광고 기능을 출력하는 애드웨어(Adware)라는 점이 사용자들에게 더 큰 피해를 주고 있다.

상당수 프로그램 개발사들은 자신의 프로그램이 일부 손상되거나 삭제되었을 때 사용자 통보 없이 인터넷에서 다운로드 해 재설치하는 기능을 추가하고 약관에 포함시켜 문제가 없다고 한다. 하지만, 이렇게 사용자가 지워도 다시 살아나는 프로그램에 대해 끝없이 스파이웨어 논쟁이 발생하고 있다.

스파이웨어 퍼뜨리기
추가 분석을 통해 이 다운로더가 다른 다운로더인 Win-Trojan/Downloader.28672.Q를 다운로드 하는 것으로 확인되었다.

이 트로이목마는 한국산 애드웨어를 설치하는 것으로 밝혀져, 결국 이 다운로더의 목적은 한국에서 제작된 애드웨어를 사용자 모르게 배포하기 위해서였던 것으로 보인다. 보통 애드웨어 제작 업체와 배포 업체는 분리되어, 제작 업체는 배포 업체들에게 책임을 전가하고 있지만 결국 누워서 침 뱉기가 아닐까 싶다.

사건의 교훈
사실 이번 날짜 변경 증상은 다운로더의 버그로 추정된다. 애드웨어(Adware)의 오동작으로 시스템에 문제가 발생한 일은 이번이 처음이 아니다. 이전에도 윈도우 시스템에서 오동작을 일으키는 애드웨어인 Win-Trojan/SystEntry.32768.B와 Win-Trojan/Hotra 등이 발견되었다.

이전의 사건은 애드웨어 자체의 버그로 인해 발생했다면 이번 사건은 애드웨어를 사용자 몰래 퍼뜨리기 위해 작성된 프로그램의 문제로 발생했다.

애드웨어를 사용자 몰래 컴퓨터에 설치하기 위해 만들어진 악성코드들은 시스템 속도 저하 등의 심각한 문제를 일으킬 수 있다.

애드웨어 제작사들이 자신들의 프로그램이 스파이웨어로 분류되어 억울하다고 생각하기 전에, 진정으로 고객들을 위한다면 자신들의 프로그램이 사용자에게 불편을 주지 않도록 수정해야 할 것이며 자신들의 프로그램 배포를 위해 고용된 배포 업자들을 통해 어떻게 배포되고 있는지도 확인 해야 하지 않을까 싶다. 앞으로도 돈을 목적으로 급조된 애드웨어와 이를 배포하기 위해 제작된 악성코드의 버그로 시스템에 문제가 발생하는 일은 잦아 질 것으로 보인다.
[글: 차민석ⅠASEC 주임연구원 (jackycha@ahnlab.com)/제공: 안철수연구소]