[지디넷코리아]여러 바이러스 보안 업체가 소버웜이 제작자와의 통신에 이용하는 알고리즘을 해석했다고 발표했다.

2005년 11월, 소버 웜의 최신 변종은 자신을 연방 수사국(FBI)이나 중앙정보국(CIA)에서 보낸 이메일로 위장해 유저를 속여 코드를 실행시켜 대혼란을 야기했다. 바이러스 보안 기업은 원래 이 웜이 자신을 웹을 경유하여 업데이트 하는 방법을 알기 위한, 어떠한 수단이 존재하는 것에 깨닫고 있었다. 웜 제작자는 감염 머신을 컨트롤 하거나 필요에 따라서 웜의 행동 패턴을 변경하기 위한 목적으로 이 기능을 프로그램 하고 있었다.

핀란드의 바이러스 보안 업체 F-Secure는 이 웜이 이용하는 알고리즘을 해석해, 특정의 날짜에 웜을 확인하는 사이트의 정확한 URL를 산출할 수 있게 되었다고 말했다.

F-Secure의 CRO인 미코 히포넌(Mikko Hypponen)은 당국이 특정의 URL를 간단하게 액세스 불능으로 만들기 때문에 바이러스 제작자는 항상 같은 URL를 이용하는 것은 아니라고 설명하고 있다.

“소버는 난수를 사용해 URL를 생성하는 알고리즘을 이용하고 있다. 이러한 URL는 날마다 생성되지만 99%는 존재하지 않는다.(중략) 바이러스 작자는 임의의 날에 이용하는 URL를 미리 산출해 둘 수 있어 감염된 전체 머신 상에서 무엇인가를 실행하려고 생각했을 때에 적절한 URL를 등록하고, 프로그램을 업로드한다. 그 결과로 공격이 일어나는 것이다. 이 웜은 세상의 수많은 머신에서 동작하고 있다”라고, 히포넌은 자신의 블로그에 적고 있다.

F-Secure의 조사에 의하면 2006년 1월 5일, Sober 웜의 최신 변종에 감염한 모든 컴퓨터는, 업데이트 파일을 확인하기 위해 다음의 도메인을 열람한다고 한다.

http://people.freenet.de/gixcihnm/
http://scifi.pages.at/agzytvfbybn/
http://home.pages.at/bdalczxpctcb/
http://free.pages.at/ftvuefbumebug/
http://home.arcor.de/ijdsqkkxuwp/

히포넌은 위의 URL에의 액세스를 차단하고 감염 PC의 웜이 자동적으로 업그레이드 되지 않도록 관리자 등에 권하고 있다.

한편 트렌드 마이크로의 프리미엄 서비스 매니저 아담 비비아노(Adam Biviano)는 해당 URL를 차단하는 것도 유익하지만, PC의 안전성을 확보하는 것이 선결이라고 말하고 있다. @