올해 2월 말 서울중앙지검 첨단범죄수사부는 한 백신 업체 대표를 불구속기소했다. 혐의는 그 회사가 제공하는 백신 프로그램이 컴퓨터의 단순 텍스트 파일을 `악성 코드`라고 속여 치료 명목으로 126만 명에게서 92억여 원을 갈취했다는 것이다. 그 업체 대표는 결제율을 높이기 위해 자사의 백신 프로그램이 검출하는 악성 코드 숫자를 늘려 정상 파일이거나 컴퓨터에 아무런 영향도 없는 단순 텍스트 파일을 악성코드 프로그램으로 검출되게 했다. 이를 통해 2005년 7월 중순부터 2007년 6월 말까지 2년간 125만9828명을 상대로 298만5743회에 걸쳐 92억4985만원을 챙겼다.

이 업체는 많은 사용자가 바이러스나 스파이웨어에 대한 기본 지식이 부족하다는 점을 악용해 정상 파일이거나 컴퓨터에 아무런 영향도 없는, 단순 텍스트 파일에 불과한 이른바 `트래킹 쿠키`를 악성 코드로 분류하여 막대한 돈을 챙겼다.

정상적인 컴퓨터를 악성코드에 감염되었다며 치료를 가장해 비용 결제를 유도하는, 이른바 ‘가짜 백신(허위 백신, 허위 안티스파이웨어라고도 함)가 출현한 것은 어제 오늘의 일이 아니다. 국내에서는 2003년 말 등장했다. 보안 업체들이 애드웨어를 보안 제품에서 진단한 후 광고 수익이 급감하자, 애드웨어 제작 업체들이 다른 돈벌이 수단으로 가짜 백신을 제작, 배포하기 시작한 것이다. 이것이 2004년 매우 큰 수익을 거두자, 너도나도 뛰어들어 붐을 이루게 되었다.

해외 허위 안티스파이웨어도 국내와 비슷한 시기에 처음 등장해 지속적으로 제작되고 있다. 경찰의 대대적인 단속으로 점차 줄어들고 있는 국내와는 달리, 해외 악성코드 더욱 기승을 부리고 있다. 올해 1월~10월에 발견된 가짜 백신 138개 중 국산은 9개인 데 반해 외산은 129개에 달한다.
외산 가짜 백신이 최근 폭발적인 증가세를 보이는 이유는 돈벌이가 된다는 인식이 널리 퍼져 있고 가짜 백신을 손쉽게 제작할 수 있는 툴이 보편화했기 때문으로 분석된다.

최근 가짜 백신은 Antivirus XP 2008, Vista Antivirus 2008, WinX Security Center, WinXDefender, XP Protector 2009 등 백신으로 오해하기 좋은 이름을 지어 유포되고 있다(그림 1~4). 초기의 가짜 백신은 단순히 결제를 유도하는 방식이었는데, 요즘은 자신을 은폐한 후 스팸 메일 등을 통해 전달되는 등 지능화하고 있다.

이런 가짜 백신이 설치되는 방법은 몇 가지가 있다. 첫째, 사용자가 특정 웹사이트에서 동영상을 보기 위해 ‘Play’ 버튼을 클릭하면 동영상 코덱이 없다며 파일을 다운로드하는데(그림 5~7), 이때 가짜 백신을 다운로드하기 위한 인스톨 파일이 설치된다. 가짜 동영상 코덱이 설치되면 시스템의 보안 설정을 변경하거나 시스템이 감염되었다는 메시지 등 경고 창을 보여주고 가짜 백신의 설치를 유도한다. 가짜 동영상 코덱이 배포되는 웹사이트는 보통 해킹당한 서버나 악성코드의 배포를 목적으로 한다.



가짜 백신이 설치되는 둘째 방법은 사용자가 특정 웹사이트에 접속했을 때 악성코드를 진단하는 것처럼 속이고(그림 8), 허위 결과를 보여주는(그림 9) 방법이다. 이때 어느 버튼이든 누르면 보안 경고 창이 뜨고(그림 10), 사용자가 ‘실행’ 또는 ‘저장’을 누르면 가짜 백신이 설치된다.

Antivirus XP 2008은 외국에서 5~6월에 이슈가 되었고, 국내에는 이보다 조금 늦은 7~8월에 이슈가 되었다. 기존 가짜 백신은 단지 시스템이 감염되었다는 허위 경고 메시지를 보여주고 유료 사용을 유도했다. 하지만, AntivirusXP2008은 악성코드를 통하여 복합적으로 사용자에게 불편을 끼치면서, 현재까지 제작되는 가짜 백신에 큰 영향을 주고 있다.

설치가 완료되면 바로 프로그램이 실행되어 검사를 시작한다. 사실은 아무것도 감염이 되지 않았음에도 수천 개의 파일이 감염되었다고 보여준다. 사용자가 치료하겠다고 버튼을 클릭하면, 등록되지 않았다며 웹페이지를 보여주며 비용 결제를 유도한다.

첫째, 윈도 보안 패치를 주기적으로 해야 한다. 실제 취약점(exploit)을 사용해서 설치되는 가짜 백신의 경우 웹페이지를 보는 것만으로도 설치될 수 있으므로 보안 패치는 무엇보다 중요하다.

둘째, 신뢰할 수 없는 액티브X는 설치하지 말아야 한다. 가짜 백신은 주로 액티브X로 설치되기 때문이다. 게시물을 보고자 할 때 액티브X 설치를 요구할 경우 배포하는 곳을 알아보는 것이 좋으며, 믿을 만한 회사가 아니라면 설치하지 않는 것이 바람직하다. 액티브X 보안 경고 창이 실행되었을 경우 해당 액티브X를 배포하는 곳에 대한 정보가 링크되어 있으므로 반드시 클릭해서 확인해야 한다.

셋째, 프로그램을 설치할 때는 프로그램의 목적과 제작사가 분명한지 확인을 하고, 설치 시에는 진행 과정에서 다른 프로그램(악성코드나 스파이웨어)을 같이 설치하는지 주의 깊게 살펴야 한다.

넷째, 보안 제품 사용을 생활화해야 한다. V3 365 클리닉처럼 안티바이러스, 안티스파이웨어, 방화벽 기능이 있는 통합보안 제품을 사용하는 것이 여러 모로 안전하다. 가짜 백신이 설치되는 것을 예방할 수 있을 뿐 아니라 이미 설치된 가짜 백신을 가장 효과적으로 제거할 수 있기 때문이다. 안철수연구소는 대부분의 가짜 백신을 진단/삭제할 수 있는 전용 백신을 무료 제공 중이다. http://kr.ahnlab.com/dwVaccineView.ahn?num=75&cPage=1

위와 같은 기본 수칙들을 지키고 주의한다면 가짜 백신의 해를 입지 않을 것이다. 실로 위험천만한 가짜 백신이 난무하고 있는 이때 사용자의 더욱 적극적인 자세가 필요하다.

*도움말 : ASEC(시큐리티대응센터) 연수생 박현철