악성코드는 기기나 데이터에 해를 끼치는 악성 소프트웨어의 총칭입니다. 주요 종류와, 종류가 달라도 공통되는 방어법을 설명합니다(공격 절차는 싣지 않습니다).
악성코드의 종류
이름은 많지만, 어떤 종류가 있는지 대략 알아 두면 충분합니다. 방어법은 뒤에서 설명하듯 공통이기 때문입니다.
바이러스
정상 파일에 기생해, 실행되면 증식하며 감염을 퍼뜨린다. 단독으로는 움직이지 못한다.
웜
단독으로 자기 복제하며 네트워크를 넘어 자동으로 확산한다. 방치된 네트워크에서 폭발적으로 퍼진다.
트로이 목마
유용한 정상 소프트웨어로 위장해 침입한 뒤, 뒤에서 악성 동작을 한다. "스스로 설치해 버리는" 것이 특징.
랜섬웨어
파일을 암호화하고 몸값을 요구. 지금은 데이터 탈취를 동반한 이중 갈취가 주류(→전용 기사).
스파이웨어
눈치채이지 않고 숨어, 키 입력·인증 정보·열람 기록 등을 훔쳐낸다.
봇 / 봇넷
감염 기기를 원격 조종하고, 다수를 묶어 공격에 악용. 명령은 C2에서 도착한다(→C2).
실제로는 하나의 악성코드가 여러 성질을 함께 갖는 경우도 드물지 않습니다(예: 트로이 목마로 침입하고, 스파이웨어로 정보를 훔치고, 마지막에 랜섬웨어를 떨어뜨린다). 그렇기에 "이건 무슨 바이러스?"라는 분류에 시간을 들이기보다, 예방·탐지·복구의 방어를 굳히는 편이 실용적입니다.
악성코드, 바이러스, 랜섬웨어, 백도어의 관계
이 말들은 나란히 쓰이지만 같은 층위가 아닙니다. 악성코드가 총칭이고, 나머지 셋은 그 안의 종류나 기능입니다.
| 용어 | 뜻 | 구별하는 법 |
|---|---|---|
| 악성코드 | 악성 소프트웨어의 총칭 | 아래 셋을 모두 포함 |
| 바이러스 | 다른 파일에 기생해 퍼지는 악성코드 | 단독으로는 실행되지 않고, 숙주 파일이 실행될 때 퍼진다 |
| 랜섬웨어 | 파일을 암호화하고 몸값을 요구하는 악성코드 | 몸값 요구 메모로 스스로 드러난다 |
| 백도어(영문) | 인증을 우회해 다시 들어오기 위한 숨은 경로 | 악성코드로 심어질 수도, 설정이나 계정으로 만들어질 수도 있다 |
"안티바이러스"라는 이름은 역사적인 이유로 남아 있을 뿐, 실제 제품은 바이러스 외에도 훨씬 많은 것을 탐지합니다.
주요 감염 경로
악성코드는 갑자기 나타나는 것이 아니라, 거의 정해진 경로를 통해 들어옵니다. 여기서는 높은 수준의 경로만 제시합니다(구체적인 수법은 싣지 않습니다).
어느 쪽이든 "무심코 연다 / 오래된 채로 방치한다 / 출처를 확인하지 않는다"라는 사람과 운영의 틈이 경로입니다. 다음 방어로 대부분은 막을 수 있습니다.
방어법(종류가 달라도, 할 일은 같다)
종류마다 개별 대책을 외울 필요는 없습니다. 악성코드 전반에 통하는 세 가지 방어를 조합하는 것이 기본입니다.
감염을 막기: 업데이트·의심스러운 파일·MFA
OS와 소프트웨어를 꾸준히 업데이트해 알려진 취약점을 방치하지 않기. 짐작 가지 않는 첨부·매크로·링크를 열지 않기. 주요 계정은 다중 인증(MFA)으로 보호해, 인증 정보가 도난당해도 즉시 침입되지 않도록 하기(→ MFA 고르기).
탐지 층을 두기: 안티바이러스／EDR
OS 기본을 포함한 안티바이러스로 알려진 위협을 막고, 더 높은 방어가 필요하면 EDR로 "행위"를 감시해 미지의 것도 포착하기(→ EDR이란). 다만 탐지는 만능이 아니므로, 이것 하나에 의존하지 않기.
피해 제한하기: 최소 권한
일상 작업을 관리자 권한으로 하지 않기. 권한을 필요한 최소한으로 해 두면, 만일 실행되더라도 피해가 퍼지는 것을 억제할 수 있다(기기 한 대·계정 하나의 침해를 전체로 파급시키지 않기).
되돌릴 수 있게 하기: 백업
마지막 방어는 백업. 특히 랜섬웨어에는 오프라인／변조 불가능한 사본과 정기적인 복원 테스트가 결과를 좌우한다(→ 백업과 복구의 기본).
기존형 안티바이러스(알려진 것의 대조)
- 알려진 악성코드의 "지문(시그니처)"과 대조해 탐지
- 간편·경량이며, 널리 퍼진 위협에는 유효
- 미지·갓 만들어진 변종은 놓치기 쉬움
- "설치해 두면 안심"이라고 오해되기 쉬움
EDR(행위의 감시)
- 파일명이 아니라 의심스러운 행위(수상한 암호화·외부 통신)로 탐지
- 미지의 공격이나 "정상 도구의 악용"도 알아챌 수 있음
- 기록이 남아, 감염 후의 조사·봉쇄에 쓸 수 있음
- 그래도 예방(업데이트)과 복구(백업)의 대체는 되지 않음
본 사이트의 견해: 종류의 암기는 방어 전략이 아니다
공격자는 이름도 겉모습도 계속 바꿉니다. 그래서 "이번 달의 악성코드 이름"을 쫓아도 방어는 강해지지 않습니다. 모든 종류에 통하는 것은 예방·탐지·복구를 조합하는 것입니다. 본 사이트는 스스로에게도 같은 원칙을 적용합니다. 의존 패키지를 항상 업데이트해 감염을 막고, CVE를 기계 감시해 탐지하고, 구성을 재생성 가능하게 유지해 복구할 수 있게 합니다. 악성코드 대책도 특별한 것이 아니라, 이 기초의 연장선 위에 있습니다.
사례: Emotet
일본에서 특히 피해가 컸던 악성코드 중 하나가 Emotet입니다. JPCERT/CC(일본의 국가 CERT)는 2019년 무렵부터 거듭 주의를 환기했고, 한동안 잠잠하다가 2021년 11월부터 다시 활동이 확인되었습니다.
- 침입 경로
- 매크로가 들어간 Word·Excel 첨부, 암호가 걸린 ZIP 파일, 본문의 링크. 사용자가 매크로를 활성화하거나 링크를 열면 감염된다
- 감염 후
- 기기에서 메일 내용과 연락처를 훔치고, 그것을 이용해 실제 거래처를 사칭한 메일을 추가로 보낸다
- 퍼지는 방식
- 피해자의 거래처나 지인이 실제 사람의 답장처럼 보이는 메일을 받는다
- 확인
- JPCERT/CC가 확인 도구 EmoCheck를 공개했다
Emotet의 교훈은 아는 사람의 답장처럼 보이는 메일이라도 기본이 통한다는 점입니다. 첨부 파일의 매크로를 활성화하지 않고, 예상하지 못한 첨부는 다른 경로로 보낸 사람에게 확인하세요. 또 다른 예로 Coincheck NEM 유출 사고에서는 직원에게 보낸 메일 속 악성코드가 침입의 첫 단계로 보고되었습니다.
내 기기에서 확인하는 방법
Windows: 보호 기록과 검사
설정에서 Windows 보안 → 바이러스 및 위협 방지를 엽니다. 보호 기록에서 탐지 내역을 확인하고, 검사 옵션에서 전체 검사를 실행하세요. 아무것도 발견되지 않았는데 여전히 의심스럽다면, 같은 화면의 Microsoft Defender 오프라인 검사로 Windows를 시작하지 않은 상태에서 PC를 검사합니다.
자동 실행 항목과 확장 프로그램을 본다
작업 관리자의 시작 앱 탭과 브라우저의 확장 프로그램 목록에 설치한 적 없는 것이 없는지 확인합니다. 있다면 비활성화하고 삭제하세요.
스마트폰: 앱과 구성 프로파일
Android에서는 Google Play 프로텍트 검사를 실행하고, 출처를 알 수 없는 앱을 삭제합니다. iPhone에서는 설정 → 일반 → VPN 및 기기 관리에 모르는 프로파일이 없는지 확인하세요.
계정도 확인한다
이메일, SNS, 인터넷 뱅킹의 로그인 기록과 메일 자동 전달 규칙을 확인합니다. 기기에서 악성코드를 없애도 도난당한 비밀번호는 계속 쓸 수 있으므로, 별도의 안전한 기기에서 변경하세요.
"안티바이러스를 깔았으니 괜찮다"는 사실이 아니다
가장 흔한 실수는 탐지 소프트웨어 하나에 전적으로 의존하는 것입니다. 탐지는 반드시 일정 비율을 놓치므로, 그것을 빠져나간 뒤에는 아무것도 지켜 주지 않습니다.
효과가 있는 것은 방어를 조합하는 것입니다. 예방(열지 않기·업데이트하기)으로 수를 줄이고, 탐지(안티바이러스／EDR)로 잡고, 그래도 빠져나간 것의 피해는 복구(백업)로 되돌립니다. 어느 한 겹에 의존하지 않는 것이 악성코드 대책의 출발점입니다.
출처(1차 자료)
- JPCERT/CC, "Emotet 감염 재확산에 관한 주의 환기"(일본어) — jpcert.or.jp(감염 경로, EmoCheck)
- Microsoft Support, "Virus and threat protection in the Windows Security app" — support.microsoft.com(검사와 오프라인 검사)
다음으로 읽기
- "PC가 감염되었습니다" 팝업이 떴다면: 기술 지원 사기 화면을 닫는 법과 전화했을 때의 대처(영문)
- 용어집: 랜섬웨어란 (가장 피해가 큰 종류·이중 갈취) · C2(명령 제어)란 (봇이 조종되는 통신)
- 용어집: EDR이란 (행위로 미지도 탐지) · IOC(침해 지표)란 (감염의 흔적)
- 학습: 백업과 복구의 기본 (사고 후 복구하는 방법) · 보안 최소 체크리스트 (예방·탐지·복구의 기본)
- 사례: 코인체크 NEM 유출 사건(2018) (스피어 피싱으로 유입된 악성코드가 핫월렛 개인키를 탈취, 약 580억 엔 피해의 첫 단계)