분석보고서 09. 11. 06. 작성 악성봇분석과예방 (Analysis Malicious Bot & Protection) 작성자 : 영남대학교 @Xpert 이화진 ghkwls0308@ynu.ac.kr - 1 -
- 목차 - 1. About 봇... 3 1) 봇의정의 2) 봇의특징 3) 봇의동작원리 2. 악성 IRC봇... 4 1) 정의 2) 동작원리 3) 증상 3. 악성봇현황... 8 4. 예방방법... 10 5. 참고문헌... 11-2 -
1. About 봇 1) 봇의정의 악성봇 (Malicious Bot) 이란사용자의 PC를감염시켜, 감염된 PC와시스템을해커가마음대로조종할수있게하는악성코드의일종입니다. 봇이라는명칭은마치로봇과같이컴퓨터를외부에서조종한다는유래했습니다. 즉봇에감염된컴퓨터는악의적인제3자로부터여러명령을받아조종됩니다. 현재무수히많은봇유형이존재하고있으며매일새로운종이출현하고있는데특히변종이많고감염여부도일반인들이쉽게인지할수없어치료하기가쉽지않습니다. 2) 봇의특징 일반적으로윈도우시스템의취약점을악용하는악성봇은웜처럼자동으로전파되는특징을가지고있으며, 대개악성봇에감염된컴퓨터는특정사이트의서비스거부공격을비롯해불법프로그램을유포하거나, 스팸메일발송, 개인정보유출, 애드웨어및스파이웨어설치등에악용된다. 무엇보다악성봇에대한우려의목소리가높은것은악성봇프로그램의소스가해커들사이에서공유되거나제작자간에거래됨에따라수많은변종이양산되고있고, 또지능화되고있어사용자가적절한대응책을마련하는데어려움이있다는점이다. 3) 봇의동작원리 - 3 -
해커에의해제작된악성봇은윈도우와같은운영체제의취약점을가진 PC나바이러스백신등이설치되지않은 PC를대상으로삼게된다. 해커는 Botnet C&C(Command & Control) 라고불리우는서버를구축한후악성봇에감염될 PC를스캐닝해이중취약점패치가이뤄지지않았거나, 바이러스백신프로그램이설치되지않은 PC를감염시켜 BotNet C&C의명령즉, 해커의명령을받는 좀비 PC 로만들어버린다. 특히최근에는복잡한전파방법을이용하기보다는 MSN 등과같은인스턴트메신저를이용해봇을전파하거나운영체제가아닌응용프로그램의취약점을이용하는경우도증가하고있는것으로알려져있다. 또, 하나의취약점만을이용한전파방법에서진화해서동시에몇개의취약점을악용해전파하는등보다지능화되는추세를보이고있다는점이특징이다. 이좀비 PC에게공격자가중앙제어서버프로그램으로봇들에게명령을내리면수많은 PC가해당서버로접속을시도하거나악성트래픽을유발하는패킷을발생시켜전송하게되면서버가마비되는것이다. 2. 악성 IRC 봇 1) 정의 - 4 -
IRC(Internet Relay Chatting) 는일종의채팅서비스이며대화를위해서는 IRC 서버에접속해야한다. IRC서버에접속하는프로그램은 IRC클라이언트라부르며윈도우에서는 mirc가가장널리사용된다. 보통 IRC클라이언트에는스크립트를처리할수있는기능이있고 mirc 클라이언트에도막강한스크립트기능을포함하고있으며이를 IRC봇으로부르고있다. 2) 동작원리 악성 IRC봇은 IRC채널에서채널방장이접속자들에게특정명령을내릴수있고클라이언트들이해당명령을수행할수있는기능을악용한다. 이런명령을수행하기위해서는미리정해진 IRC서버, 채널, 명령어가필요하다. 보통접속서버주소는제작자가직접프로그램속에지정한다. 감염된컴퓨터는사용자몰래특정 IRC서버에접속해특정방에서대기하며방장의명령이오기를대기한다. 악성 IRC봇은여러사람이제작, 배포하는것으로보이며구버전의악성IRC봇은공격이내려지는채널이 IRC 서버관리자에의해폐쇄되는경우전파외에는다른일은하지못하는경우도존재한다. - 채널에접속시 (URL 을 mirc 의자동인사말기능을이용하여채널에접속시출력 ) - 5 -
- 채널에퇴장시 (URL 을채널에서퇴장시 1:1 채팅창을오픈 ) - 출력 URL 은조금씩다르며다르며웹사이트접속시사용자의시스템에루트에 ROL.VBS 파일을생성하고동영상을가장한웜을다운받아실행하게된다. 현재까지알려진파일이름은 Maram.avi.exe 이지만다른형태로도존재할수있다. - 인터넷익스플로러가보안패치되어있다면다음과같은메시지가인터넷익스플로러하단에 - 6 -
출력되면서감염되지않는다. - 파일을실행하면윈도우의 Command 폴더 ( 일반적으로 C: Windows Command ) 에다음과같은파일이생성된다. FORCAD.EXE 파일은실행되면컴퓨터를꺼버리는기능을한다. CMMGR32.COM 은부팅시자동으로실행되도록레지스트리를변경해등록된다. ASYCFIIT.COM 파일은텍스트파일로 mirc의환경설정파일이다. 나머지파일은백도어나웜에서사용하는데이터파일이다. - HKEY_LOCAL_MACHINE SOFTWARE Microsoft Windows CurrentVersion Run 에 Cmmgr32 생성 - 7 -
- 윈도우가시작될때마다 mirc 가실행되므로몇초간실행되는그림을볼수있다. 3) 증상 - 불필요한네트워크트래픽이발생한다. 다른시스템을감염시키거나네트워크를통한공격을위해네트워크트래픽이발생한다. - CPU 사용률이 100% 까지올라가면서컴퓨터가느려진다 3. 악성봇현황 전세계악성봇감염추정 PC중국내감염 PC 비율이 16.9% 에달하고있다. 전세계봇감염추정 PC는 9월에일평균 6만여대에서 10월에는 5만여대로 16% 감소했지만, 국내사정은오히려 9% 증가해봇감염율이 4% 가량늘어난것이다. - 8 -
한국정보보호진흥원 (KISA) 은월보에서 국내의경우 TCP/139, 80, 135 포트에대한감염시도트래픽이많았다. 허니넷에유입된웜들을분석한결과주로 Mybot, Sdbot 등이국내에서활발한활동을하고있었고, 봇의전파에사용된주요포트는 NetBIOS 관련포트인 445, 139, 135와웹관련 80포트, MS-SQL 관련포트인 1433 등으로지난달 Top5를차지한포트들이그대로주요포트로사용되고있다. 무엇보다악성봇의가장큰문제는악성봇프로그램의소스가해커들사이에서공유되거나제작자간에거래됨에따라수많은변종이양산돼사용자가적절한대응책을마련하기가어렵다는것이다. 악성봇의공격이심각한문제로대두될수밖에없는또하나의문제는공격의파괴력이엄청나다는것외에도감염여부를쉽게알아내기가힘들다는데있다. - 9 -
최근의악성봇은일반적인웜이나바이러스에감염후나타나는증상처럼 PC 사용과정에서의속도저하나접속장애등의문제를일으키지않기때문에일반사용자들이봇의감염여부를알아내기가쉽지않다는것이전문가들의공통된의견이다. 또최근에는악성봇이백신프로그램이나다른보안프로그램을공격해강제종료시키거나백신프로그램의업데이트를차단함으로써자신의존재를은폐하기도해사용자에게더욱위협적인존재가되고있다. 4. 예방방법 - 정보보호 5 대실천수칙실천하기 수칙1 자동보안패치설정하기수칙2 백신프로그램또는개인방화벽등보안프로그램을설치수칙3 컴퓨터의로그인패스워드는 8자리이상의영문과숫자로구성 3개월마다변경수칙4 신뢰할수있는웹사이트에서제공하는 ActiveX 프로그램설치하기수칙5 공인인증서 USB 저장등금융정보안전하게관리하기 보호나라웹사이트 (http://www.boho.or.kr) 를방문하여쉽고간단하게내 PC가악성봇에감염됐는지여부를확인해볼수있다. 보호나라웹사이트에접속하여 [PC 점검 ] ->[ 악성봇감염확인 ] 을클릭하면악성봇감염확인결과를바로알수있다. - 10 -
5. 참고문헌 - 보호나라 http://www.boho.or.kr/index.jsp - 안철수연구소악성코드분석가차민석님글 - 안철수연구소바이러스 / 스파이웨어 - 보안뉴스 www.boannew.com [ 월간시큐리티월드통권제147호 ] - IT전문블로그 www.blog.naver.com/itexpert 2007-11 -