바이러스 상식 16가지
'감기 바이러스에는 고춧가루를 뿌린 소주가 직효다'라는 민간요법을 듣고 실행에 옮겼다가 큰 곤욕을 치른 사람이 있듯, '컴퓨터 바이러스에는 하드디스크 포맷이 최고다'라는 뜬소문에 아까운 데이터를 몽땅 날린 사람도 있을 것이다.
컴퓨터 바이러스에 대한 비상식적인 이야기가 우리 주위에는 많이 있다. 바이러스의 공포에서 벗어나는 길은 바로 바이러스와 백신의 정체에 대해 제대로 아는 것이다.
1. 내 컴퓨터에서 바이러스의 안전 지대는 없다?
바이러스 증상의 화면을 본 한 초보자가 키보드를 타고 바이러스에 감염될 것을 염려한 나머지, 급히 샤워를 하고 나왔다는 웃지 못할 실화가 있다.
물론 컴퓨터 바이러스도 생물학적인 바이러스처럼 특정 대상에 침투, 기생하면서 주위로 확산된다. 하지만, 그 대상은 시스템에 국한되어 있으며, 이도 감염시키는 곳과 감염시키지 못하는 곳으로 구분된다.
그 감염 대상은 COM, EXE, SYS, DLL, OVR, SCR 등의 확장자명을 갖는 프로그램 파일, 마이크로소프트의 워드 문서처럼 매크로 기능이 있는 데이터 파일, 시스템 구동시 사용되는 부트 레코드와 하드디스크나 플로피디스크의 시스템 영역이다.
반면, 키보드나 모니터같은 하드웨어, 그래픽 데이터 파일, 매크로 기능이 없는 데이터 파일, 프로그램 파일이 아닌 소프트웨어 항목과 쓰기 방지가 된 디스크 등에는 바이러스 침투가 불가능하다.
온라인 서비스에 접속해 메시지만 읽거나, 문자 기반의 전자우편 메시지를 읽는 시스템도 바이러스에 감염될 염려가 없다.
2. 바이러스는 침투와 동시에 즉각적으로 활동한다?
컴퓨터 바이러스는 감염된 프로그램을 실행시키거나 감염된 부트 레코드로 시스템을 구동시킬 때 활성화된다. 따라서 감염된 프로그램을 실행시키지 않는다면 파일이나 시스템에 감염될 소지는 없다.
바이러스의 감염 유형은 크게 두 가지로 구분된다. 첫째, 비상주형 감염으로, 감염된 파일을 활성화시키는 경우다. 바이러스는 시스템이 다른 소프트웨어를 불러오기 전에 시스템을 제어하고, 감염 안된 파일을 찾아 감염시킨다.
또한 감염된 프로그램이 종료되면, 바이러스 감염 활동도 중지된다. 둘째는 메모리 상주형 감염으로, 재래식 램 상주 프로그램인 TSR(Terminate-and-Stay-Resident)과 거의 흡사한 특성을 보인다.
즉, 메모리에 상주해 시스템이 작동하면 활동하는 것으로, 감염된 프로그램이 종료되더라도 메모리를 지우기 전까지는 계속 감염 활동을 한다.
3. 바이러스에 감염되면 반드시 증상이 나타난다?
바이러스는 실행 조건이 활성화되면 바이러스 감염 증상이 나타난다. 이 증상은 바이러스의 종류에 따라 달라질 수 있는데, 주요 증상이라면 우선 시스템 속도 저하를 꼽을 수 있다.
바이러스가 정상적인 프로그램 실행 과정을 가로채서 자신을 실행시킨 후 해당 프로그램을 실행시키기 때문이다. 특히 부트 바이러스에 감염되면 부팅 속도와 디스크를 읽고 쓰는 속도가 느려지고, 파일 바이러스에 감염되면 프로그램 실행 속도가 현격히 떨어진다.
또한, 기억 장소에서 실행되는 바이러스는 감염되는 과정에서 메모리 크기를 줄이며, 파일 바이러스는 파일의 크기를 갑자기 늘리거나 파일 작성일을 변경시키는 흔적을 남긴다.
이 외에도 프로그램이 갑자기 실행되지 않거나 시스템이 다운되는 등 이상한 현상이 나타나면 바이러스에 감염되었는지 의심해 볼 일이다. 일부 바이러스들은 의도적으로 프로그램을 지우거나 하드디스크의 논리적 구조를 파괴해 인식하지 못하게 방해하기 때문이다.
심지어는 디스크의 부트 레코드 내용 및 FAT(File Allocation Table) 내용을 변경 및 파괴하고, 디스크의 볼륨 라벨을 변경시켜 불량 섹터를 만들기도 한다.
4. 백신 프로그램은 변형 바이러스를 진단하지 못한다?
백신 프로그램의 바이러스 진단은 사람들을 지문으로 구분하듯, 컴퓨터 바이러스가 가지고 있는 독특한 문자열인 '패턴'을 통해서 바이러스를 검색하는 과정이다. 이를테면 어떤 바이러스가 파일 내부의 특정 위치에 '12 34'라는 문자를 가지고 있다면, 백신은 이 특수 문자열이 해당 위치에 있는지를 검색해 바이러스의 유, 무를 확인한다.
따라서 바이러스의 패턴을 많이 확보할수록 보다 많은 바이러스를 진단할 확율이 높은 것으로 간주된다.
단, 백신 프로그램마다 진단 방법에 다소 차이가 있다. 국산 백신 프로그램인 V3Pro 의 경우, 바이러스의 실행 코드를 따라가면서 바이러스를 진단하기 때문에 검색 속도가 빠르다는 장점이 있다.
반면 대부분의 다른 백신 프로그램은 파일의 전체 혹은 일부를 검색해 특정 문자가 있는지 검사하는 방식을 채택하고 있는데, 이 방법은 검색 속도가 다소 떨어지지만 변형 바이러스를 쉽게 파악할 수 있다는 장점이 있다.
5. 바이러스 완벽한 '예방'은 없다?
'소 잃고 외양간 고치는' 식으로 바이러스에 감염된 후, 치료하기보다는 사전에 대처하는 것이 현명하다. 특히, 데이터의 중요성을 아는 사용자라면 치료가 불가능한 바이러스가 있음을 인지해 미리미리 바이러스를 예방해야 한다. 다음은 일반 사용자들이 손쉽게 바이러스를 예방할 수 있는 방법들이다.
① 새로운 프로그램을 사용할 때에는 항상 2∼3개 정도의 최신 버전의 백신 프로그램을 사용해 검사하고 정기적으로 모든 디스크를 검진한다.
② 중요한 프로그램이나 자료는 항상 백업한다.
③ 통신에서 셰어웨어나 공개 소프트웨어를 다운 받는 경우, 사람들이 잘 사용하고 있거나 등록된 지 1주일 이상 경과된 것임을 확인한다.
④ 비상시를 위해 쓰기 방지 탭이 붙여진 감염되지 않은 깨끗한 도스 디스켓을 준비해 둔다.
⑤ 'autoexec.bat' 파일에는 항상 최신 버전의 컴퓨터 바이러스 예방 프로그램과 디스크 시스템 영역 저장 프로그램을 실행시켜 놓는다. 노턴 유틸리티의 이미지(IMAGE)나 피시툴즈의 미러(MIRROR) 등이 해당된다.
⑥ 플로피디스크로 부팅시키는 것을 가급적 삼가한다. 이는 시스템의 바이오스 셋업 부팅 메뉴에서 'C: only'나 'C: A:'로 선택하면 된다.
⑦ 매크로 바이러스가 노리는 MS 워드의 'normal.dot'와 'personal.xls' 파일의 속성은 읽기 전용으로 바꾼다. 파일을 선택하고 마우스 오른쪽 버튼을 클릭해 뜬 팝업 메뉴에서 '등록정보' 항목을 이용하면 된다.
⑧ 워드 매크로 바이러스와 관련 있는 자동 매크로를 비활성화시킨다. 이는 자동 매크로를 실행시키지 않거나 키를 누른 상태에서 MS 워드 문서를 불러오면 된다.
6. 하드디스크 포맷은 바이러스를 제거하는 최상의 방법이다?
바이러스에 대한 막연한 두려움 때문에 하드디스크를 포맷해 바이러스를 제거하려는 사용자들이 많다. 하지만, 바이러스 중에는 감염 증상만 보일 뿐 시스템 파괴와는 무관한 바이러스도 많다.
따라서 하드디스크 포맷은 바이러스에서 해방되는 지름길이 아니다. 우선, 백신 프로그램을 구해 진단/치료하는 것이 좋고, 그래도 치료가 되질 않을 경우 포맷으로 완전히 하드디스크를 초기화시켜야 한다.
7. 백신 프로그램은 오진을 하지 않는다?
어떤 백신 프로그램에서 검색은 물론 치료까지 하는 바이러스를 다른 백신 프로그램에서는 진단조차 못하는 경우가 왕왕 있다. 이는 백신 프로그램들이 진단을 할 때 바이러스의 일부 정보만을 사용하기 때문인데, 정상적인 프로그램도 어떤 바이러스와 비슷한 코드를 갖고 있다면 바이러스에 걸렸다고 오진할 수 있다.
실제로 국내에 보급된 백신 프로그램 중 하나는 정상적인 유니윈 에뮬레이터 프로그램을 바이러스로 진단한 적이 있었다. 결국 사용자 입장에서는 백신 프로그램은 두 서너 개 확보하고 있는 것이 바람직하다.
8. 백신만 있으면 바이러스가 완벽하게 치료된다?
백신 프로그램은 컴퓨터 바이러스가 변형시킨 코드를 역으로 바꾸어 복구시키는 프로그램으로, 치료 방법은 바이러스 종류에 따라 달라진다. 부트 바이러스 중 원본 파일의 코드를 저장하는 바이러스라면 해당 부분을 읽어서 원위치에 겹쳐 쓰고, 따로 저장하지 않는 바이러스라면 본래의 코드 내용을 읽고 적는 식이다.
하지만, 시스템이 하드디스크로 부팅되지 않는다면 치료의 가능성은 희박하다고 볼 수 있다. 백신 프로그램이 치료를 위해 사용하는 부트 영역의 데이터가 이미 손상된 상태이기 때문이다.
반면, 파일 바이러스 중 정상적인 파일의 앞부분에 붙는 전위형 바이러스는 바이러스 코드를 지운 후 바이러스 뒤에 있던 본래 코드 내용을 읽고 저장해 바이러스를 제거하고, 파일 뒷부분에 붙는 후위형 바이러스는 바이러스를 지운 후 본래의 앞부분을 복구한다.
하지만, 겹쳐 쓰기의 경우, 즉 내부에 오버레이(Overlay)를 가지고 있는 파일은 치료 후에도 실행이 불가능하기 때문에 백신 프로그램으로 완벽한 치료를 바랄 수는 없다. 아울러 확장자명이 EXE인 파일에는 'EXE 헤더'라는 것이 있는데, 이 정보가 변형돼 바이러스에 감염되었다면 변형된 상태를 원래대로 바꾸어 복구할 수 있지만, 치료 후 프로그램이 실행되지 않는다.
9. CMOS 메모리와 CD-ROM 타이틀도 바이러스에 걸린다?
1994년 4월경에 발견된 Anti-CMOS 바이러스의 명칭 때문에 CMOS 메모리에도 바이러스가 침투하는 것으로 오해하는 사람들이 많다.
하지만, 시스템 정보를 저장하는 CMOS 메모리는 컴퓨터 바이러스가 존재하기에는 너무도 작은 64바이트 크기를 갖는 장소로, 바이러스 감염을 걱정할 필요는 없다.
또한 읽기만 하는 ROM(Read Only Memory)의 특성을 아는 사람들은 CD-ROM이 바이러스에 걸릴 위험이 없다는 사실을 잘 알 것이다. 즉, CD-ROM은 외부 바이러스에 의해 절대 감염되지 않는다. 하지만, CD-ROM이 바이러스에서 무관하다고는 볼 수는 없다.
최근 데이터를 CD-ROM에 백업 저장하는 사례가 증가하면서, 제작 과정에서 바이러스에 감염된 파일이 저장되는 경우가 종종 발생하기 때문이다. 이런 경우에는 쓰기가 불가능한 CD-ROM의 특성 때문에는 백신 프로그램으로도 치료가 불가능하다.
10. 바이러스가 활동하는 특정일에는 시스템 OFF가 최선이다?
일부 사용자들은 특정 바이러스의 활동일만 되면 지레 겁먹고 시스템을 사용하지 않는다. 예컨대 미켈란젤로 바이러스가 활동하는 3월 6일이면 시스템을 아예 켜지 않거나 활동 시간을 묻는 등 수선을 피우는 사람을 많이 본다. 하지만, 특정일 활동 바이러스란 특정일에 감염되는 바이러스가 아니라, 미리 컴퓨터에 잠복해 있다가 약속한 날에 특유의 증상을 보이는 바이러스이다.
결국, 미켈란젤로 바이러스에 감염되지 않은 시스템이라면 3월 6일이 되어도 아무런 피해가 없다. 물론 사전에 백신 프로그램으로 바이러스의 잠복 여부를 확인하는 준비가 필요하겠다.
11. 바이러스는 하드웨어에도 손상을 입힐 수 있다?
컴퓨터 바이러스는 소프트웨어의 일종이기 때문에, 소프트웨어적으로 가능한 일만 할 수 있다. 즉, 프로그램과 자료들을 지우거나 하드디스크를 인식하지 못하게 만들 수는 있어도, 컴퓨터의 기억장치에 물리적인 손상을 입히거나 하드디스크를 파괴할 수는 없다. 다시 정리하자면, 바이러스는 하드웨어를 손상시키는 것이 아니라, 소프트웨어적으로 데이터나 시스템 정보를 없애는 것이다.
12. 파일 속성을 읽기전용으로 설정하면 바이러스에 감염되지 않는다?
일부 파일 바이러스는 읽기전용 파일을 감염시킬 수 없지만, 대부분의 파일 바이러스들은 파일의 읽기전용 속성을 해제한 후, 감염시킨다. 결국 파일의 속성을 읽기전용으로 바꾼다고 하더라도 컴퓨터 바이러스 예방에는 도움이 되지 않는다.
13. 윈도 95의 도스 창에서 부트 바이러스 치료가 가능하다?
결론부터 말하자면, 도스 시스템에서 작동하도록 제작된 부트 바이러스는 윈도 95의 도스 창에서 치료가 불가능하다. 따라서 치료를 위해서는 '시작' 버튼의 '시스템 종료' 메뉴 중 'MS-DOS 모드에서 시스템 다시 시작'을 선택해 완전한 도스 창으로 나가야 한다. 이렇게 치료가 불가능한 이유는 윈도 95 자체에 부트 섹터를 보호하는 기능이 있어 백신 프로그램이 부트 섹터를 건드리지 못하게 막기 때문이다.
14. 바이러스도 운영체제를 가린다?
바이러스는 운영체제에 따라 활성 및 비활성의 기로에 서게 된다. 예를 들어 IBM 호환기종의 윈도 환경으로 만들어진 바이러스는 매킨토시상에서 실행 자체가 안되기 때문에 감염이 불가능하다. 또한 윈도 NT에서도 활성화가 못되는데, 만약 윈도 95와 동일한 도스 창에서 바이러스에 감염된 파일을 실행시켰다면 바이러스는 활성화되지만, 사용자가 도스창에서 나올 때에는 바이러스의 활동이 중단된다.
단, 이때 바이러스는 비활성화 상태로 메모리상에 존재하는 것이며, 도스창에서 감염시킨 파일들도 비활성된 상태로 존재할 뿐이다. 하지만 매크로 바이러스는 운영체제에 제약을 받지 않는다는 것을 기억해 둘 일이다. 이 매크로 바이러스는 워드나 엑셀 프로그램만 있다면 활성화되는 것으로, 운영체제의 영향을 받지 않는 희귀종이다.
15. E-mail 통해 바이러스에 감염되면, E-mail 프로그램도 감염된다?
그렇지 않다. 전자우편을 통해 바이러스에 감염되는 이유는 크게 두 가지인데, 송신자의 시스템 메모리가 바이러스에 감염된 상태에서 파일이 전송되었거나, 파일이 감염된 상태에서 전송될 경우이다.
즉, 파일에 의한 감염이므로 전자우편 프로그램이 바이러스에 감염될 리 없으며, 해당 파일을 실행시키지만 않는다면 바이러스의 위협을 피할 수 있다.
결국 사용자가 메일에 첨부된 파일을 다운받을 때, 자동 실행이 아닌 '다른 이름으로 저장'을 이용하고 백신 프로그램으로 진단하는 것이 가장 확실한 바이러스 예방책이다.
16. 부트 바이러스 채취는 불가능하다?
신종 바이러스에 감염된 경우, 바이러스를 채취해 바이러스 백신 제작자들에게 건네주는 것이 바이러스로부터 안전할 수 있는 방지책이다.
파일 바이러스에 감염된 경우, 감염된 파일을 그대로 제작자에게 보내면 된다. 하지만, 부트 바이러스의 경우 부트 섹터만을 따로 채취해야 한다. 다음은 부트 바이러스 채취법이다. 단, 대부분의 바이러스는 은폐 기법을 사용하므로 반드시 감염되지 않은 디스켓으로 부팅한 후, 채취해야 한다.
감염된 하드디스크를 플로피디스크에 옮겨 채취하는 방법
① 하드디스크로 부팅한다.
② A 드라이브에 포맷한 디스켓을 넣고 DIR 명령을 몇 번 실행한다.
③ 이 디스켓을 부팅시켜 기억 장소의 크기가 준 것을 확인한다.
④ 감염되지 않은 플로피 디스켓으로 부팅한다.
⑤ A드라이브에 감염된 디스켓을 넣는다.
⑥ 도스상에서 'debug.exe'를 실행한다.
⑦ -L 100 0 0 1 (B드라이브의 경우: -L 100 1 0 1)
-RCX
CX 0000
200
-NBOOT.COM --> 생성 파일 이름
-W
-Q
감염된 파티션 테이블을 직접 채취하는 방법
① 노턴 유틸리티의 'DISKEDIT.exe' 또는 'DE.exe'를 실행시킨다.
② 디렉토리 검사가 끝나면 키를 누른다.
③ 키를 눌러 'to file'을 선택하면, 파일명을 묻는데 'boot.com'이나 'boot.mbs' 등의 적당한 파일명을 적는다. 정상적으로 파일이 생성되면 약 512바이트의 크기를 갖는다.
Copyrights 1998[사이버기술교실_gabsun.com(구josuntech.com)] / 모바일 접속 주소 : [http://m.gabsun.com/]
[무단 전재-재배포 금지] TEL : 0505-336-1813 / FAX : 0505-339-1813 팩스[수신]
문의메일 : master@gabsun.com
본 웹사이트에 게시된 이메일 및 주소의 무단 수집을 거부합니다_위반할 시 정보통신망법에 의해 형사 처벌됩니다.
기술용어사전
