악성 코드: 바이러스, 웜, 트로이 목마, 랜섬웨어

악성 코드(악성 소프트웨어)는 피해를 주거나, 무단으로 접근하거나, 시스템을 방해하도록 의도적으로 설계된 모든 소프트웨어입니다. 악성 코드는 사이버 범죄자와 국가 지원 공격자가 사용하는 주요 도구입니다.

바이러스는 정상 프로그램이나 파일에 자신을 붙이는 악성 코드입니다. 확산하려면 사용자의 동작(감염된 파일 열기)이 필요합니다. 실행되면 자기 복제를 하며 파일을 손상시키거나 데이터를 훔치거나 백도어를 열 수 있습니다.

웜은 사용자의 상호 작용 없이 네트워크 전체로 퍼지는 자기 복제 악성 코드입니다. 웜은 네트워크 서비스의 취약점을 악용합니다. 대표적인 예로 WannaCry(SMB), Conficker, Morris Worm이 있습니다.

트로이 목마는 정상적인 소프트웨어로 위장합니다. 바이러스와 달리 스스로 복제하지 않으며 사용자가 설치해야 합니다. 설치되면 백도어를 만들거나 데이터를 훔치거나 추가 악성 코드(드로퍼)를 다운로드할 수 있습니다.

랜섬웨어는 피해자의 파일을 암호화하고 복호화 키의 대가로 금전을 요구합니다. 최근의 랜섬웨어 운영자는 암호화하기 전에 데이터를 유출하기도 하며(이중 갈취), 몸값을 지불하지 않으면 데이터를 공개하겠다고 협박합니다.

예: LockBit, REvil, Conti, WannaCry.

스파이웨어는 사용자 활동(키 입력, 스크린샷, 검색 기록)을 몰래 모니터링하여 공격자에게 전송합니다. 광고 소프트웨어는 원치 않는 광고를 표시하며, 무료 소프트웨어에 함께 포함되는 경우가 많습니다. 두 유형 모두 다른 악성 코드 유형과 결합될 수 있습니다.

루트킷은 운영 체제 커널이나 부트로더를 수정하여 자신의 존재와 다른 악성 코드의 존재를 숨깁니다. 루트킷은 자신을 찾는 데 사용되는 도구 자체를 무력화하므로 탐지하기가 매우 어렵습니다. 탐지하려면 오프라인 검사가 필요한 경우가 많습니다.

봇넷은 공격자(봇넷 운영자)가 원격으로 제어하는 감염된 장치(봇)의 네트워크입니다. 봇은 DDoS 공격, 스팸 캠페인, 자격 증명 무차별 대입, 암호화폐 채굴에 사용됩니다. 피해자는 자신의 장치가 침해되었다는 사실을 모르는 경우가 많습니다.

파일리스 악성 코드는 디스크에 파일을 기록하지 않고 전적으로 메모리(RAM)에 존재하여 기존의 파일 기반 백신을 회피합니다. PowerShell이나 WMI 같은 정상적인 시스템 도구를 사용하는 경우가 많습니다. 탐지하려면 메모리 분석과 행위 모니터링이 필요합니다.

일반적인 감염 경로:

• 피싱 이메일 첨부 파일
• 웹에서 내려받는 악성 파일
• 침해된 웹사이트를 통한 방문만으로 발생하는 다운로드
• 주차장에 USB를 놓아두는 방식
• 패치되지 않은 소프트웨어 취약점 악용

방어 계층:

• EDR — 행위 기반 탐지 및 대응
• 이메일 필터링 — 전달 전에 첨부 파일을 샌드박스에서 검사
• 패치 관리 — 악용 기회를 차단
• 최소 권한 — 악성 코드 피해 범위 제한
• 백업 — 랜섬웨어 복구를 위한 오프라인 사본

악성 코드에는 바이러스(사용자 동작 필요), 웜(자기 전파), 트로이 목마(위장한 소프트웨어), 랜섬웨어(몸값을 요구하며 파일 암호화), 루트킷(OS에 숨어 있음), 파일리스 악성 코드(메모리에 상주)가 있습니다. 방어에는 EDR, 이메일 필터링, 패치 적용, 최소 권한, 백업과 같은 다층적 통제가 필요합니다.