신종 웜 '마이둠' 가공스런 속도로 피해 확산

백신 프로그램 업데이트 필수, 2월14일 활동 중단

컴퓨터 보안업체인 안철수연구소(ahnlab.com)와 하우리(hauri.co.kr)는 27일 오전 발생한 신종 웜 '마이둠(MyDoom)'이 국내외에 빠르게 확산되고 있다며 주의를 당부했다.

***신종 웜 '마이둠' 국내외에 빠르게 확산**

안철수연구소와 하우리는 27일 'Hi', 'Test', 'Hello', 'Status' 등의 제목을 단 전자우편의 첨부파일을 통해 감염되는 신종 웜 '마이둠'이 국내외에 빠르게 확산되고 있다면서 각별한 주의를 당부했다.

'마이둠'은 국내뿐 아니라 전세계에서 급속히 확산되고 있어 27일(현지시각) 월스트리트저널(WSJ) 온라인판은 관련 업체의 정보를 인용해 "'마이둠'의 전파 속도가 지난해 여름 전세계를 강타했던 '소빅'의 기록을 돌파했다"고 밝혔다.

핀란드의 컴퓨터 보안업체 F-시큐어사도 27일 "`마이둠'이 전세계에서 발송되는 e-메일의 15%에 피해를 주고 있으며 전파속도가 줄어들 기미를 보이지 않고 있다"고 보도했다. F-시큐어측은 `마이둠'이 지금까지 적어도 30만대의 컴퓨터를 감염시켰으며 이같은 전파 속도는 지난해 나타났던 `소빅' 웜 바이러스 이후 가장 빠른 것이라고 주장했다.

글로벌 컴퓨터 보안업체 시만텍도 최고 위험등급 5등급 중 4등급의 위험등급인 '마이둠'이 전세계적으로 급속히 전파하고 있다고 경고했다.

'마이둠'은 임의로 조합한 전자우편 주소나 감염된 개인 컴퓨터의 주소록의 주소를 이용해 전파되며, 해킹 가능성이 있다고 보안업체들은 밝혔다. '마이둠'이 실행되면 시스템 날짜를 체크해 2004년 2월14일 이후에는 실행되지 않는다.

***백신 프로그램 업데이트 필수**

보안업체들은 '마이둠'에 대비하기 위해서 개인 컴퓨터의 V3나 바이로봇과 같은 백신 프로그램을 1월27일 이후 최신 것으로 업데이트하고, 업데이트 후 바이러스 검사를 꼭 할 것을 권고했다.

안철수연구소의 V3나 하우리의 바이로봇은 '마이둠'이 발견될 경우, 웜의 활동을 종료하고 자동 삭제한 후, 컴퓨터의 변경된 레지스트리 값도 자동으로 수정한다.

보안업체 관계자들은 대량의 메일이 폭주하는 것을 방지하기 위해서 '마이둠'으로 추정되는 제목을 포함한 메시지를 2월14일까지 필터링하는 것도 한 방법이라고 권고했다.

다음은 안철수연구소가 제공한 '마이둠'에 대한 기본적인 정보의 요약 정리.

① '마이둠'은 감염된 컴퓨터의 주소록 등에서 임의로 선택되거나 웜 내부의 문자열로 '보내는 이'와 '받는 이'를 정한 뒤 다음과 같은 제목으로 전파된다.(대소문자는 바뀔 수 있음)

- Hi
- Test
- Hello
- Status
- Mail Transaction Failed
- Server Report
- 제목없음 (빈 공란)
- Mail Delivery System
- 의미없는 영문 문자열
- Mail transaction failed.
- Partial message is available.
- The message contains Unicode characters and has been sent as a binary attachment.
- The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.

② '마이둠'은 매우 다양한 확장자를 가진 첨부파일과 함께 메일로 전파된다.

다음 이름의 EXE, SCR, ZIP, PIF 확장자를 가진 파일 (실행 파일은 22,528 바이트)

- Document
- body
- readme
- text
- message
- doc

예) text.scr , body.zip

위 내용에서 선택되어질 수 있으며 첨부된 웜의 확장자가 ZIP인 경우에는 압축 해제시 *.HTM.PIF 처럼 이중 확장자를 가진 경우 첫 번째 확장자와 두 번째 확장자와는 70칸 정도의 빈 공간을 가지는 경우도 있으며 이 경우 *.HTM 파일로 보여질 수 있으므로 주의를 요한다.

③ '마이둠'이 실행되면 웜은 컴퓨터의 특정한 포트들을 오픈해 외부로부터 의도하지 않은 접속을 유발할 수도 있다.