타인의 PC를 도용해 대량으로 음란 스팸메일을 보내는 `주본` 웜은 기존의 웜이나 바이러스와는 차이가 있다. 일반적으로 웜이나 바이러스는 문자로서 의미가 없는 제목의 메일을 대량으로 발송하거나 MS 패치 등 특정 용도의 메일처럼 가장하는 경우가 대부분인데, 주본 웜은 타인의 PC를 도용하는 수법으로 음란메일을 대량으로 발송한다는 것이 특징이다.
특히 이 웜은 국내 주요 포털의 이메일 주소를 사용해 메일을 받은 사람이 일반 스팸메일로 착각해 Active-X 설치에 동의하면 PC가 감염된다. 그러면 곧 다른 사람에게 대량으로 음란메일을 보내는 특징이 있어, PC보안과 스팸메일에 대해 잘 아는 사람이 영업을 목적으로 스팸메일을 발송하는 웜을 만들어 유포시켰을 가능성이 높은 것으로 전문가들은 보고 있다.
주본 웜은 백신업체에 따라 Win32주본(W32.Jubon@mm, 시만텍), 아이웜주본(I-Worm.Jubon, 카스퍼키). 윈32/주본웜(W32/Jubon.worm, 맥아피), 윈트로이언시스트엔트리(Win-Trojan/SystEntry.32768, 안연구소) 등으로 불리기도 한다. 이 웜은 지난달 들어 집중적으로 국내외 주요 바이러스 업체들에 신고됐다.
그럼에도 이 웜의 존재가 부각되지 않은 것은, 주요 백신업체들이 시스템을 마비시키는 등 직접적인 피해를 주지 않는 저위험군 바이러스로 분류하거나 일부에서는 아예 광고용 스파이웨어(애드웨어)로 간주해 바이러스에 포함하지 않고 있기 때문이다.
이 웜에 감염되면 자동으로 바이러스 제작자가 지정한 웹사이트에 접속해 해당 사이트에 있는 음란 스팸메일을 내려받아, 감염된 PC를 마치 숙주처럼 활용해 다음ㆍ야후ㆍ한미르ㆍ엠파스(empal.com, hanmail.com, daum.net, yahoo.co.kr, kebi.com, hanmir.com) 등의 국내 주요 포털에 등록된 이메일 사용자에게 무작위로 메일을 발송한다.
또 발송된 스팸메일을 클릭하면 또다시 Active-X 설치 팝업창이 뜨고 네티즌이 무의식적으로 동의하면 다시 감염돼 음란메일을 대량으로 발송하게된다.
국내 바이러스 업체인 뉴테크웨이브가 분석한 결과, 주본 웜에 감염되면 www.bestweb.tv나 www.tv/kr-def-8e91e5a26c29/cgi-bin/glob.cgi?domain=callxxx.tv 등 사이트에 접속한 뒤, 자동으로 `여고생과단란아가씨들의스트립쇼몰카` 등 음란 스팸메일을 대량 발송하는 것으로 확인됐다.
정확한 피해상황은 파악되지 않고 않지만 올 들어 스팸메일의 IP추적시 일반 초고속인터넷 사용자들의 IP가 나오는 경우가 급증하고 있으며, 25만∼100만대의 PC가 이같은 방식의 스팸메일 발송에 도용된 것으로 추정된다고 한 스팸메일 방지업체 관계자가 전했다.
특히 이 웜에 감염되면 접속하는 사이트가 해외에 서버를 둔 한국어 사이트로 국내 주요 포털업체의 이메일로 스팸메일을 발송하고 있는 점을 감안할 때 한국인이 음란사이트 영업을 위해 이 웜을 만들어 유포했을 가능성이 높다는 분석이 가능하다.
뉴테크웨이브 관계자는 "주본은 스팸메일 발송을 목적으로 제작된 웜이며 관련기관에서 조사를 해봐야 알겠지만 한국인이 제작한 것이 거의 확실한 것으로 보인다"고 말했다. 현재 한국정보보호진흥원(KISA)을 비롯한 보안당국에서 이에 대한 조사를 진행하고 있는 것으로 알려졌다.
문제는 이 웜에 대응하기가 쉽지 않다는 것이다. 일반 바이러스나 웜과는 달리 사용자가 Active-X 설치에 무의식적으로 동의하면 감염되고, 감염된 이후에도 시스템에는 별다른 이상이 없이 스팸메일만 발송하기 때문에 감염됐는지를 알기가 어렵다는 것. 신고된 웜 외의 변종이 발생하면 백신만으로는 차단이 어렵다는 지적도 나오고 있다. 따라서 별도의 스파이웨어 체크프로그램을 배포하는 등 적극적인 대응이 필요하다는 게 전문가들의 지적이다.
이와관련, KISA측은 "이같은 방식을 포함한 몇 가지 악성 스팸메일 유포기법을 확인했다"며 "현재 다각도로 대응책을 마련하고 있다"고 말했다.
특히 이 웜은 국내 주요 포털의 이메일 주소를 사용해 메일을 받은 사람이 일반 스팸메일로 착각해 Active-X 설치에 동의하면 PC가 감염된다. 그러면 곧 다른 사람에게 대량으로 음란메일을 보내는 특징이 있어, PC보안과 스팸메일에 대해 잘 아는 사람이 영업을 목적으로 스팸메일을 발송하는 웜을 만들어 유포시켰을 가능성이 높은 것으로 전문가들은 보고 있다.
주본 웜은 백신업체에 따라 Win32주본(W32.Jubon@mm, 시만텍), 아이웜주본(I-Worm.Jubon, 카스퍼키). 윈32/주본웜(W32/Jubon.worm, 맥아피), 윈트로이언시스트엔트리(Win-Trojan/SystEntry.32768, 안연구소) 등으로 불리기도 한다. 이 웜은 지난달 들어 집중적으로 국내외 주요 바이러스 업체들에 신고됐다.
그럼에도 이 웜의 존재가 부각되지 않은 것은, 주요 백신업체들이 시스템을 마비시키는 등 직접적인 피해를 주지 않는 저위험군 바이러스로 분류하거나 일부에서는 아예 광고용 스파이웨어(애드웨어)로 간주해 바이러스에 포함하지 않고 있기 때문이다.
이 웜에 감염되면 자동으로 바이러스 제작자가 지정한 웹사이트에 접속해 해당 사이트에 있는 음란 스팸메일을 내려받아, 감염된 PC를 마치 숙주처럼 활용해 다음ㆍ야후ㆍ한미르ㆍ엠파스(empal.com, hanmail.com, daum.net, yahoo.co.kr, kebi.com, hanmir.com) 등의 국내 주요 포털에 등록된 이메일 사용자에게 무작위로 메일을 발송한다.
또 발송된 스팸메일을 클릭하면 또다시 Active-X 설치 팝업창이 뜨고 네티즌이 무의식적으로 동의하면 다시 감염돼 음란메일을 대량으로 발송하게된다.
국내 바이러스 업체인 뉴테크웨이브가 분석한 결과, 주본 웜에 감염되면 www.bestweb.tv나 www.tv/kr-def-8e91e5a26c29/cgi-bin/glob.cgi?domain=callxxx.tv 등 사이트에 접속한 뒤, 자동으로 `여고생과단란아가씨들의스트립쇼몰카` 등 음란 스팸메일을 대량 발송하는 것으로 확인됐다.
정확한 피해상황은 파악되지 않고 않지만 올 들어 스팸메일의 IP추적시 일반 초고속인터넷 사용자들의 IP가 나오는 경우가 급증하고 있으며, 25만∼100만대의 PC가 이같은 방식의 스팸메일 발송에 도용된 것으로 추정된다고 한 스팸메일 방지업체 관계자가 전했다.
특히 이 웜에 감염되면 접속하는 사이트가 해외에 서버를 둔 한국어 사이트로 국내 주요 포털업체의 이메일로 스팸메일을 발송하고 있는 점을 감안할 때 한국인이 음란사이트 영업을 위해 이 웜을 만들어 유포했을 가능성이 높다는 분석이 가능하다.
뉴테크웨이브 관계자는 "주본은 스팸메일 발송을 목적으로 제작된 웜이며 관련기관에서 조사를 해봐야 알겠지만 한국인이 제작한 것이 거의 확실한 것으로 보인다"고 말했다. 현재 한국정보보호진흥원(KISA)을 비롯한 보안당국에서 이에 대한 조사를 진행하고 있는 것으로 알려졌다.
문제는 이 웜에 대응하기가 쉽지 않다는 것이다. 일반 바이러스나 웜과는 달리 사용자가 Active-X 설치에 무의식적으로 동의하면 감염되고, 감염된 이후에도 시스템에는 별다른 이상이 없이 스팸메일만 발송하기 때문에 감염됐는지를 알기가 어렵다는 것. 신고된 웜 외의 변종이 발생하면 백신만으로는 차단이 어렵다는 지적도 나오고 있다. 따라서 별도의 스파이웨어 체크프로그램을 배포하는 등 적극적인 대응이 필요하다는 게 전문가들의 지적이다.
이와관련, KISA측은 "이같은 방식을 포함한 몇 가지 악성 스팸메일 유포기법을 확인했다"며 "현재 다각도로 대응책을 마련하고 있다"고 말했다.
