피해가 적었으니 참 다행입니다.
3차 공격에 앞서 악성코드 중에 좀비 PC의 시스템을 파괴할 수 있는 파일이 있으니 걱정된다는 리포트를 하고 저는 새벽 출근을 위해 일찍 잤습니다.
새벽에 나오니 회사가 난리가 났더군요.
밤 10시까지만 해도 그 실행파일이 어떻게 실행이 될 지 몰랐었는데요.
11시쯤 10일 0시를 기해 활동을 시작한다는 조건이 있다는 걸 찾았다고 합니다.
그래서 저는 아침뉴스로 안전모드 부팅 - 날짜변경 - 인터넷접속 - 백신 치료 를 하시라는 내용을 만들었습니다.
그런데 시간이 지나도 실제 피해사례는 그다지 들리지 않았습니다.
실행조건이 '10일 0시 이후'밖에 없다면 30여건 밖에 피해사례가 없진 않을텐데 말이죠.
사실 제가 처음부터 이런 생각을 했던 건 아닙니다. --;;;
커피로 졸린 눈을 달래고 있을때 한 똘똘한 후배가 전화를 해선 이런 이야기를 하더군요.
이 현상을 보면서 자기는 '링 바이러스'가 생각났다면서 이 악성코드가 '링'같은 성질을 지니고 있는게 아닐지 가설을 세웠다는 거죠.
'링'을 안 본 저는 추가 설명을 들어야했고, 그제서야 궁금증이 생기기 시작했습니다.
진짜...왜 그랬을까...
하드디스크의 부팅 섹터를 손상시키는 실행파일이 실행되기 위해선 또다른 조건이 필요했습니다.
사용자의 pc에 또 하나의 파일이 필요했던 겁니다.
msvcr90.dll이란 파일이었는데요.
이 파일은 프로그램을 만들 때 사용하는 비주얼 C++ 2008이란 툴로 만들어진 파일입니다.
결국 이 툴로 개발된 프로그램을 컴퓨터에 설치해서 msvcr90.dll이라는 파일이 컴퓨터에 깔려 있어야 시스템을 공격하는 조건이 충족된다는 뜻입니다.
비주얼 C++은 각종 프로그램 개발에 폭넓게 사용되는 툴인데요.
2008 버전은 최신 버전에 들어가죠.
그래서 이 버전을 이용해 개발된 프로그램은 윈도 비스타와 최근에 나온 게임 종류라고 합니다.
이런 프로그램을 사용하지 않는 대부분의 사용자들은 시스템 파괴 우려가 없었던 셈이지요.
왜 이런 일이 일어날까요?
.dll 이란 파일의 특성 때문입니다. dll이란 dynamic link library라는 말의 약자인데요. 소프트웨어 개발할 때 많이 사용합니다.
다른 프로그램들을 실행시킬 때 필요한 기능들을 갖고 있는 것이지요.
그런데 상위버전에서 만들어진 경우 하위버전에선 사용이 안 되죠.
따로 하위버전에서도 쓸 수 있도록 만들어놓지 않는한 말이죠.
이번 경우 악성코드를 만든 해커는 자기가 개발한 환경에서만 실행되는 코드를 짠 것으로 보입니다.
이걸 통해서 이번 공격에 사용된 악성코드를 만든 자가 적어도 비주얼 C++ 2008 이란 최신 개발 환경을 사용할 정도로 좋은 환경에서 작업했다는 건 추론해볼 수 있는 셈입니다.
참고로 각종 백신을 개발하고 있는 안철수연구소는 비주얼 C++ 2008 보다는 하위버전을 주로 사용한다고 합니다. ^^;;