시만텍, 신종 ‘멜리사’ 매크로 바이러스로부터 사용자 보호
시만텍 안티바이러스 연구소 ,
문제 발생 후 한 시간 내 탐지 및 복구 솔루션 배포

PC 기반 서버 및 웍스테이션 플랫폼상의 모든 노턴 안티바이러스 (Norton AntiVirus) 사용자들은 최근 발견된 멜리사 (W97M.Melissa) 매크로 바이러스로부터 보호된다고 시만텍이 발표했다. 시만텍 안티바이러스 연구소 연구원들은 노턴 안티바이러스 고유의 ‘검색 및 송부’ 기능을 통해 문제 발생 후 한시간도 안돼 피해 고객들에게 완벽한 탐지 및 복구 솔루션을 제공했다. 곧이어 는 노턴 안티바이러스의 ‘라이브업데이트’ 기능을 통해, 또 시만텍 웹 사이트 (www.symantec.com)에서 모든 고객들에게 이 솔루션을 제공했다.
“멜리사 바이러스는 이메일을 통해 확산되기 때문에 훨씬 광범위한 피해를 일으킬 가능성이 있다. 기업에서 이메일과 인터넷이 계속 확산되는 추세이기 때문에 인터넷 게이트웨이와 방화벽 서버 뿐 아니라 이메일 서버까지 포함한 모든 단계에서 네트웍을 보호하는 것이 중요하다”고 시만텍 코리아 김한태 지사장은 말했다. 그는 또한, “이번과 같은 경우는 감염 확산 속도 보다 더 신속하게 치료법을 제공하는 것이 중요한데, 노턴 안티바이러스가 포함하고 있는 자동 검색 및 송부 기능을 통해 문제를 즉각적으로 감지하고 해결책을 제공할 수 있었다”고 덧붙였다.

멜리사 바이러스란?
W97M.멜리사는 워드 97과 워드 2000 문서들을 감염시킨다. 이 매크로 바이러스의 감염 경로는 평범하지만, 감염된 문서의 복사본들을 이메일을 통해 송신하는데 마이크로소프트 아웃룩 (Microsoft Outlook)을 이용한다는 점이 특이하다. 사용자가 감염된 문서를 열면, 그 바이러스는 그 사용자의 시스템에서 아웃룩을 시작할 준비를 한다. 아웃룩이 시작되면, 이 바이러스는 첨부된 감염 파일의 복사본과 함께 이메일을 그 사용자의 아웃룩 주소록에 올라 있는 사람들 (최대 50명)에게 보낸다. 이메일 제목에는 “‘사용자 이름’으로부터의 중요한 메시지 (Important Message From USERNAME )”이라고 적혀 있다. 사용자 이름은 마이크로소프트 워드에서 가져온 것이다. 이메일 메시지의 내용에는 “귀하가 요청하신 문서입니다…아무에게도 보여주지 마십시오( Here is that document you asked for…don’t show anyone else)”라고 적혀 있다.
멜리사에 감염된 것으로 가장 먼저 알려진 문서는 “list.doc”로 불리며, 성인 웹 사이트들의 목록을 포함하고 있다. 그러나 이 바이러스는 사용자가 마이크로소프트 아웃룩을 갖고 있지 않더라도 매크로 바이러스들의 일반적인 감염 메커니즘들을 이용해 사용자의 시스템상에 있는 다른 문서들도 감염시킨다. 따라서 모든 사용자의 시스템으로부터 새로운 문서가 다음과 같은 단계를 따라 다른 사람들에게 이메일로 전송될 가능성이 있다.

1.사용자가 멜리사 바이러스를 포함하고 있는 문서 1을 연다.
2.사용자가 아웃룩을 갖고 있지 않아도 멜리사는 그 사용자 시스템상의 새로운 문서 2를 감염시킨다.
3.사용자가 이전에 멜리사에 감염된 적이 없고 아웃룩을 갖고 있는 다른 사람에게 문서 2를 수동으로 이메일 전송한다.
4.그 사람이 감염된 문서 2를 그들의 시스템에서 열면, 그 문서가 아웃룩을 통해 50명에게 이메일로 전송된다.

사용자가 감염된 문서를 열거나 닫을 때, 이 바이러스는 우선 레지스트리의 키를 체크함으로써 자신이 전에 한 번 이런 대규모 이메일 전송을 한 적이 있는지 확인한다. 그런 적이 있는 것으로 확인되면 이 바이러스는 또다시 대규모 메일 전송을 시도하지는 않는다. 그러나 이 바이러스는 한시간에 한번씩, 정시에서 그날 날짜에 해당하는 분 (예, 매월 16일에는 매시 16분)에 트리거하는 제2 페이로드 (second payload)를 갖고 있다. 감염된 문서가 적절한 시간 (minute)에 열리거나 닫히면, 이 페이로드는 다음과 같은 문장을 그 문서에 삽입시킨다. “22점, 플러스 트리플 워드 스코어, 플러스 내 모든 편지를 사용했으므로 50점. 게임 끝. 나는 여기서 나간다.”

복구 노트
노턴 안티바이러스는 최신 바이러스 백신 파일을 가지고 이 매크로 바이러스를 탐지 및 복구할 수 있다. 고객들은 이 업데이트된 백신 파일을 ‘라이브업데이트’와 ‘검색 및 송부’ 기능을 통해, 또는 시만텍 웹 사이트 (www.symantec.com)에 접속하여 얻을 수 있다.

참 고