[지디넷코리아]보안 전문가들은 지난 16일 네트워크 웜이 MS 윈도 2000 운영체제가 동작중인 컴퓨터를 먹통으로 만들 수 있다고 경고했다.

미국 전역의 컴퓨터가 공격받고 있다. 케이블 뉴스 스테이션인 CNN을 비롯, 텔레비전 네트워크 ABC, 뉴욕 타임즈도 공격을 받고 있다. 일본 도쿄에 위치한 안티바이러스 업체인 트렌드 마이크로는 지난 주말 인터넷을 강타한 조톱(Zotob) 웜과 알봇(Rbot) 변종 등 다양한 웜의 공격을 받고 있다고 말했다.

이 웜들 모두 윈도 2000 운영체제의 PnP기능에 있는 보안 구멍을 악용, 공격을 진행하고 있다. MS는 지난 주 월간 패치의 일환으로 해당 버그를 수정해 배포했다. MS는 관련 문제에 대해 보안 등급을 ‘치명적(critical)’인 수준으로 매겼다.

트렌드 마이크로 안티바이러스 연구 그룹 책임자인 조 하트만은 "새로운 변종이 몇 분도 안돼 나타나는 것 같다. 그러나 변종에 의한 감염인지는 확실하지 않다"며 "아직은 감염 보고를 수집하고 있고 전세계에 걸쳐 보고가 있을 것"이라고 말했다.

트렌드 마이크로 측은 컴퓨터가 감염되면 껴졌다가 재부팅되는 증상이 반복된다고 말했다.

MS측은 공식 발표를 통해 웜 출현에 대해 조사 중이라고 밝혔다. MS는 알봇(Rbot) 변종인 'Worm_Rbot.CEQ'를 문제 유발 가능성이 있는 웜으로 분류하고 있다.

기업이 주요 공격목표
인터넷 보안 교육 및 연구 조직인 SANS 연구소의 연구소장 요하네스 율리히는 이런 다양한 웜들은 컴퓨터 사용자들을 대규모로 공격하기 보다는 각 기업이나 조직을 노린다고 말했다.

율리히는 "웜은 인터넷에 영향을 주는 것은 아니다"라며 "지난 주 MS가 내놓은 패치를 설치하지 않은 채 윈도 2000를 사용한 조직들은 상당한 타격을 받고 있다"라고 말했다.

시만텍 시큐리티 리스펀스(Symantec Security Response)의 제품 관리 책임자인 데이빗 콜은 웜이 기업내부에서 활동한다며, 예를 들어 이 웜은 윈도 2000 시스템이 설치돼 회사 방화벽 외부에서 사용된 랩톱이 웜에 감염된 채 기업으로 유입돼 결국 기업 네트워크로 들어올지 모른다고 말했다.

콜은 "웜이 조직 내에 들어오면 여기저기 쑤시고 다니면서 조직 내부를 혼란에 빠뜨릴 것"이라고 말했다.

뉴욕타임즈의 대변인 자신들은 이 바이러스의 공격을 받긴 했지만 뉴스 공급에는 지장 없다고 밝혔다.

이 대변인은 "뉴욕타임즈 웹 사이트 뿐만 아니라 신문 제작도 차질없이 진행될 것"이라고 말했다. 그는 신문사 내부 시스템은 ‘정상 동작중’이라고 덧붙였으나 웜이 신문사 내부 운영에 얼마나 영향을 주었는지에 대해서는 언급하지 않았다.

월트 디즈니의 ABC 뉴스와 타임 워너의 CNN은 자사의 내부 컴퓨터들이 공격을 당했다는 사실을 웹 사이트에 올렸다.

웜의 정체는 무엇인가?
최근 벌어진 감염 사태의 원인을 놓고 전문가들의 의견이 분분하다. 네트워크 위협을 추적하는 SAN 인터넷 스톰 센터는 지난 16일 벌어진 이번 사태는 계속 모습을 바꿔가며 새로운 희생자를 찾는 조톱(Zotob)이 원인이라고 주장했다. SANS는 웹 사이트에서 "그동안 발생된 TCP웜의 사례에 따르면 바이러스 발생 후 사흘째가 피해의 규모가 가장 크다"라고 말했다.

MS 측은 이번 보안 문제는 윈도 2000 이후에 나온 윈도우 XP와 윈도우 서버 2003에도 영향을 주지만 윈도우 2000를 사용중인 PC의 경우 원격 공격에 쉽게 노출된다고 말했다.

지난 2000년 선보인 윈도우 2000은 데스크톱용과 서버 버전으로 나뉘며 기업사용자를 위해 출시됐다. 이후 최신 버전이 나왔지만 여전히 윈도 2000은 널리 사용되고 있다. 에셋메트릭스(AssetMetrix)의 최근 연구에 따르면 2005년 1분기 동안 기업 PC 중 48%가 윈도우 2000을 사용하고 있다.

MS가 PnP 결점에 대한 패치를 내놓은 지 일주일도 안돼 이를 악용한 웜의 공격이 일어났다. 사용자들은 각자 시스템을 보호할 시간조차 없었다.

율리히는 많은 윈도 2000 사용자들이 패치 설치 전 테스트할 시간이 필요했기 때문에 발생 당시까지 시스템을 패치하지 않았을 것이라고 말했다.

콜은 윈도 PnP 결점을 악용하는 웜들이 몇 개 있으나 확산 범위는 제한돼 있다고 말했다. 그는 "블래스터(Blaster)나 슬래머(Slammer)같은 웜처럼 감염 비율이 갑자기 치솟거나 단계적으로 상승하는 경우는 감지되지 않는다"라고 말했다. 시만텍은 5가 최대인 쓰레트콘(ThreadCon)의 레벨을 레벨 1에서 2로 상향 조정했다.

트렌드 마이크로는 이번 웜 공격에 대해 경보 단계의 중간인 ‘황색 경보’를 발령했다. 하트만은 트렌드 마이크로가 조톱 하나만으로도 엄청난 수의 감염 사례를 발견했다고 전했다.

바이러스에 감염된 컴퓨터는 시만텍 등 안티바이러스 소프트웨어 업체가 내놓은 툴으로 제거가 가능하다. MS는 패치하지 않은 윈도우 2000을 사용하는 사람들 이들 도구로 제거해야 한다고 경고했다.@