[지디넷코리아]안철수연구소는 인터넷 익스플로러의 홈페이지를 변경하고 피해자의 PC에서 스팸 메일을 발송하는 트로이목마 시스엔트리(Win-Trojan/SystEntry.32768)가 12월 25일 첫 신고가 들어온 이후 지속적으로 확산되고 있다고 밝혔다.

기존 스팸 메일이 한 PC에서 발송하는 방식을 취한 데 비해 이번 '시스엔트리' 트로이목마는 감염된 모든 PC가 스팸 메일 발송에 이용된다. 따라서 피해자가 졸지에 스팸 발송자가 돼 버리기 때문에 명예를 훼손당하게 된다. 현재는 특정 메일 계정으로만 발송되지만 더욱 손쉽게, 더 많은 사용자에게 스팸 메일을 발송할 수 있도록 기능이 개선될 가능성도 있다.

또한 특정 서버에 올려진 웹사이트 주소(www.mybest.tv)를 홈페이지로 설정하고 사용자가 설정을 바꾸면 다시 이 사이트로 설정을 바꿔놓는다. 자사의 웹사이트를 홍보하기 위해 트로이목마를 제작했을 것으로 추정된다.

이 트로이목마는 다양한 스팸 메일 속 배너에 연결되어 있으며, 사용자가 배너를 클릭하면 '인증확인서를 설치하고 실행하시겠습니까?'라는 내용의 보안 경고 창이 뜨고 '예(Y)'를 클릭하면 트로이목마가 설치된다.

윈도우 폴더에 트로이목마 파일 ‘systementry.exe’가 설치되고 나면 특정 웹 사이트에서 systemAdv.exe 파일을 다운로드한다. ‘systemAdv.exe’ 파일은 특정 서버에서 주소록과 메일 제목, 보내는 사람, 보낼 내용 등을 받아와 스팸 메일을 발송한다.

이 트로이목마의 설치를 차단하려면 스팸 메일에 들어있는 배너를 클릭해서 보안 경고 창이 떴을 때 인증기관 이름이 명기되어 있지 않은 경우 '아니오(No)'를 클릭하면 된다. 이미 설치된 경우에는 V3 최신 버전으로 치료(삭제)한 후 설치파일 ‘okserverx control.cab’을 손수 지워야 한다.

단, 이 트로이목마는 특정 서버에 접속해 자동 업데이트되는 특성이 있으므로 백신 프로그램으로 진단되지 않더라도 홈페이지가 ‘www.mybest.tv’로 변경된 경우에는 ‘systementry.exe’, ‘systemAdv.exe’, ‘okserverx control.cab’ 등 세 개의 파일을 찾아 직접 지우는 것이 안전하다.

안철수연구소 시큐리티대응센터 조기흠 센터장은 "스팸 메일과 악성 코드가 결합된 새로운 형태이다. 이와 유사한 경우가 이어질 것으로 예상된다"며 사용자의 주의를 당부했다.