[지디넷코리아]윈도우 사용자를 노린 신종 루트킷이 등장해 우려를 낳고 있다. 이 루트킷은 MBR(마스트 부트 레코드), 즉 파티션 테이블의 프라이머리 파티션 엔트리를 격납하고 있는 하드 디스크 드라이브의 선두 섹터에 숨게 된다.

베리사인 아이디펜스(VeriSign iDefense) 리서치에 의하면 이 루트킷은 기존 MBR에 겹쳐 쓰기하기 때문에 발견하기 매우 어렵다.

루트킷은 사용자들이 알 수 없게 컴퓨터의 관리자 권한을 취득을 목적으로 한 프로그램 또는 프로그램의 한 무리를 가리킨다.

트렌드마이크로 및 썬벨트는 특히 최종 사용자가 이용 가능한 모든 윈도우 업데이트를 시스템에 적용하고 있는 경우는 감염률이 낮은 것 같다고 지적한다.

아이디펜스에 의하면 이 MBR 루트킷의 실례는 2007년 12월에 최초로 보도되어 그 달 17일의 제1파에는 1,800대의 컴퓨터가, 19일의 제2파에는 3,000대의 컴퓨터가 감염되었다. 22일에는 코드가 급격하게 퍼져 아이디펜스는 7일까지 전세계에서 합계 5,000건의 감염 건수를 보도하고 있다.

현재의 루트킷의 코드는 이론적인 스텔스 루트킷에 관한 두 건의 발표를 참고로 하고 있는 것으로 보인다. 하나는 e아이 시큐리티(eEye Security) 연구원의 데렉 소더와 라이언 퍼르메(PDF 파일)에 의한 블랙 햇 USA 2005에서의 윈도우 NT에 관한 발표이며, 독립계 보안 연구자인 니틴 쿠마르와 비핀 쿠마르(PDF 파일)에 의한 블랙 햇 USA 2007에서의 윈도우 비스타에 관한 발표다.

이 발표에서 사용되고 있는 데모 코드와 실제의 MBR 루트킷 코드의 비교는 GMER의 사이트에 게재되어 있다. GMER는 루트킷을 검출하여 삭제하는 애플리케이션을 개발하고 있는 연구자의 닉네임이다.

감염은 사용자가 감염된 웹 사이트를 방문했을 때 발생한다. 감염된 사이트에는 몇 번의 실행을 호스팅 하고 있는 서버에 링크하는 아이프레임(IFRAME)이 포함되어 있다. 사용자의 기계가 어떤 실행에 따라 취약성을 안고 있는 경우에 감염된다.

● 마이크로소프트 JVM ByteVerify의 취약성(MS03-011)
● 마이크로소프트 데이터 접근 컴포넌트(MDAC)의 취약성(MS06-014)
● 마이크로소프트 인터넷 익스플로러의 VML의 취약성(MS06-055)
● 마이크로소프트 XML 코어 서비스의 취약성(MS06-071)

GMER에 의하면 이 루트킷을 검출하기 위해선 현재 MBR과 보존이 끝난 이미지를 비교할 필요가 있다. 비교한 결과가 동일하지 않은 경우 그 기계는 감염됐을 가능성이 높다. 루트킷을 삭제하려면 감염되고 있는 시스템의 MBR을 감염되지 않은 버전의 MBR에 복귀시켜야 한다. @