Y2K관련 바이러스·해킹 대책(안)

1. 추진 배경 및 목적

□ 지금까지 Y2K 오류에 대하여 각부처별 대책 마련을 시행하여 오고 있던 중, 최근 기승을 부리는 바이러스나 해킹이 새천년 1월 1일을 기하여 발생할 우려가 있다고 판단되어 대책을 마련하고자 함

□ Y2K오류와 상관없는 바이러스나 해킹이 2000년 1월 1일에 발생할 경우 언론은 Y2K재앙으로 오보하여 국민들에게 혼란을 줄수 있으므로 일반적인 바이러스·해킹 문제와 Y2K오류를 구분할 수 있도록 지침 등을 작성하여 충분히 홍보할 필요가 있음

※ 2000.1.1 예측되는 Y2K 보안문제점

문 제 점	내 용	비 고
Y2K 관련 악성바이러스	- Y2K거짓정보 바이러스 - 2000.1.1 동작바이러스 - 별개의 신종바이러스 - 해킹응용 신종바이러스	Y2K와 무관한 바이러스이며, 발생일이 아닌데 동작가능함
2000.1.1 해킹	2000.1.1 해킹시도 ※ 특히 시스템, 네트워크 오동작 유발 해킹 가능성	Y2K와는 별개 문제이며, 해킹공격에 더욱 주의 요망
Y2K 해결빙자 트로이목마 설치	Y2K 아웃소싱업체에서 향후 범죄 목적으로 설치	해당기관의 검토 필요 ※국내 아웃소싱 거의없음
기 타	Y2K관련 거짓정보 유포	정확한 판단 정보제공 필요

※ 트로이목마(Trojan Horse) : 정당한 프로그램으로 위장한 악성프로그램

□ 2000년 1월 1일을 전후한 해킹과 바이러스 문제에 대응방안을 수립하고 기존의 Y2K대응체제를 확대하여 구축·운영하고자 함

※Y2K 바이러스 : □99년 12월 31일∼ □2000년 1월 31일 기간에 출현하는 컴

퓨터바이러스로서 Y2K 문제해결 프로그램에 악영향을

미치는 악성 바이러스를 포함함

2. 현황

가. 국외 현황

□ 미국의 경우, Y2K 문제해결을 위하여 아웃소싱한 외국업체가 제출한 시스템내에 트로이목마, 백도어 프로그램을 고의적으로 설치하여 추후 정보유출 등 범죄적 목적으로 활용할 가능성이 검토됨

※ □99. 7. 16 USA Today 보도, 가트너그룹(□99. 4) 보고서 인용

백도어(Backdoor) : 트랩도어(Trapdoor)라고도 하며] 정당한 이용자를

속이는 불법 프로그램

□ 해외 업체들은 바이러스·해킹사고는 Y2K오류와는 별개의 문제로 취급하고 있으며, Y2K관련 출현가능한 바이러스·해킹 발생유형에 대한 조사·분석을 실시하고 있음

※ Virus Bulletine '99 국제회의(캐나다 밴쿠버, □99. 10. 1)

□ 미국 에너지성 산하 침해사고 대응기구인 CIAC에서는 거짓바

이러스 등의 거짓정보에 대한 유포현황을 조사·분석하고 있음

※ CIAC : Computer Incident Advisory Capability

※ Disney Hoax, Ghost, AOL4FREE, Join the Crew, A.I.D.S. Hoax등 30여종

나. 국내 현황

□ 안철수컴퓨터바이러스연구소 등 국내 백신업체에서도 Y2K오류와 바이러스는 별개로 대응하고 있으며 일반PC의 HW, SW 등의 Y2K오류를 먼저 해결 후 바이러스 대응이 필요함을 피력

□ 해킹기법을 이용한 트로이목마, Y2K문제를 가장한 신종 바이러스 등 Y2K 관련 컴퓨터바이러스가 국내 유입됨에 따라 국내 백신업체들이 이에 대응하는 백신SW를 개발·보급하고 있음

※ BackOrifice2000(7.13), PrettyPark(9. 9), Y2KCOUNT(9.29), EcoKys(10.11)등

3. Y2K관련 바이러스·해킹 문제점

□ Y2K 재앙을 해킹·바이러스사고로 오해하거나 단순 해킹·바이러스 문제를 Y2K재앙으로 호도하여 국민들이 혼란에 빠질 우려

□ Y2K오류, 해킹·바이러스 등에 대한 과장된 거짓정보가 유포될 경우 국민들이 혼란에 빠질 가능성

□ Y2K해결을 위하여 국내 주요 정부·공공기관·민간기관의 시스템 현황이 대외적으로 많이 공개되어 추후 해킹 등의 침투가 우려되고 시스템이나 네트워크의 오동작을 노리는 사이버테러 발생가능성

4. 추진 대책

가. 예방책

□ 해킹·바이러스 대응지침 및 대응SW 보급

- 전산 실무자대상 Y2K오류에 대한 현상과 해킹·바이러스 오

동작 현상을 구별할 수 있는 내용을 포함하여「해킹 및 컴퓨

터바이러스 안전운영 지침서」작성 및 배포

※ □99. 11 정부·공공기관, 교육기관, 중소기업, CONCERT 가입기관,

13대 Y2K중점 대상기관 등에 배포

- 해킹프로그램에 의한 공격시도를 포착하고 대응하는 정보보

호센터 개발SW인 스캔탐지기를 무상으로 배포

※ 13대 Y2K중점 대상기관 등

□ 대국민 홍보

- 바이러스 감염여부 점검목록, □99년 12월 및 □2000년 1월 출현

가능한 바이러스 목록 등 컴퓨터바이러스 예방 및 점검요령

작성 및 배포

※ Y2K 종합상황실의 10대 국민대처요령 홍보책자에 반영

- 컴퓨터바이러스 피해심각성을 알기쉽게 알려주고, 출현가능한

바이러스를 사전예보하며, 감염여부 확인과 예방을 위한 지침

등을 보여주는 PC 화면보호기 제작 및 보급

※ PC통신 및 인터넷망사업자 등을 통하여 전국민 대상으로 보급

나. 대응책

□ Y2K 관련 바이러스 및 해킹 비상대응체계 구성·운영

- 비상대응기간(□99.12.30∼□2000.1.31) 중에 Y2K관련 바이러스·

해킹사고 등 긴급상황 발생시에 신속히 대처하기 위해 비상

연락망을 구축하여 사고접수·기술지원 등 대응업무를 수행

하는 비상대응체계를 운영함

※ Y2K 관련 비상대응체계도

- 한국정보보호센터, 국내 백신업체의 바이러스 신고센터를 통

해 대국민으로부터 접수받은 국내에 유입된 Y2K 바이러스

샘플을 Y2K관련 바이러스·해킹방지 연구반의 전문가 등이

분석하고 한국정보보호센터의 바이러스 비상연락망을 통하여          신속한 대응방안 및 긴급경보 등을 배포하고 국내 피해집계

중앙분석 등을 수행함

※ 바이러스·해킹사고 발생시 긴급연락처(첨부 7) 참조

- Y2K를 위장한 바이러스·해킹사고 발생시 기존의 한국정보

보호센터 침해사고대응지원팀(CERTCC-KR)을 통하여 사고

원인분석, 피해 분석, 침입 경로 분석 등 기술지원

※ CERTCC-KR : Korea CERT Coordination Center,

CERT : Computer Emergency Response Team

- 국제침해사고시 FIRST, APSIRC와 연계하여 공동대응

※ FIRST : Forum of Incident Response and Security Teams,

APSIRC : Asia Pacific Security Incident Response & Coordination

- 검찰청·경찰청 수사조직과 연계하여 범죄성 바이러스·해킹

사고발생시 협력체계 구축

□ Y2K관련 바이러스·해킹방지 연구반 구성과 운영

- Y2K관련 바이러스·해킹문제 시험분석과 연구, 거짓정보 및

거짓경보 등을 신속히 조사·분석하여 사고예방을 위한 기술

지원 및 거짓정보 등 긴급상황시 대응방안을 마련함

※ Y2K 종합상황실, 한국정보보호센터 바이러스전담반, PC 통신사업자,

국내 백신업체, 백업 및 복구업체 등으로 구성됨(첨부 6 참조)

- 국내외 신종 출현 바이러스 및 해킹기법 등을 입수하고 대응

방안등을 시험분석·연구하여 최신 방지대책 등을 한국정보

보호센터 및 Y2K 종합상황실 홈페이지를 통하여 보급

※ Y2K관련 출현가능한 바이러스 유형분석 등(첨부1∼5 참조)

- Y2K중점 대상기관 및 공공기관을 대상으로 2000. 1. 1에 발

생가능한 바이러스 및 해킹사고에 대하여 요청시 취약점점검

및 해킹시도 탐지 등을 기술지원

- 의심스러운 Y2K, 해킹·바이러스 관련 정보를 조사 및 분석

하여 Y2K 종합상황실, 한국정보보호센터 홈페이지에 거짓정

보 및 거짓경보에 대한 분석자료를 신속히 등재하고 유관기

관 및 경보체계에 상황전파

□ Y2K관련 대국민 대상 백신SW 무상배포 및 복구지원

- Y2K관련 신종 바이러스 국내 유입에 긴급대응 하기 위하여

국내 백신업체의 협조하에 대국민 대상의 백신SW 무료공급

※ 비상대응기간동안에만 백신업체 홈페이지에 백신SW 무상배포 추진

- Y2K관련 바이러스·해킹방지 연구반의 백신업체 및 백업·

복구업체 등과 공동협력하여 요청시 데이터 및 시스템 복구

기술 지원

5. 추진 일정

□ □99. 10. 28	Y2K상황실과 실무협의 추진

□ □99. 11. 04    Y2K관련 바이러스·해킹 방지연구반 구성·운영

□ □99. 11. 12 ∼ 11. 13

Y2K 워크숍 개최

※ □Y2K 바이러스와 보안□ 주제발표 및 의견수렴

□ □99. 11. 30	Y2K관련 바이러스·해킹 대응방안 통보

※ 해킹·바이러스 대응지침서, 화면보호기 배포 및

대국민 Y2K 대응방안 홍보 등

□ □99. 12. 둘째주

Y2K관련 해킹·바이러스 가상 모의시험

※ Y2K관련 바이러스·해킹방지 연구반 공조체계

□ □99. 12. 20	Y2K관련 해킹·바이러스 비상대응체계 구성·운영

□ □99. 12. 31 ∼ □2000. 1. 31

Y2K관련 해킹·바이러스 비상대응체계 가동

첨부 1. 해외에서 고려되고 있는 Y2K관련 예상되는 각종위협

2. Y2K문제와 바이러스·해킹문제 구별가이드

3. 바이러스 대응 및 점검요령 방안

4. Y2K관련 출현가능한 컴퓨터바이러스 유형분석

5. 1999년 12월과 2000년 1월 활동가능한 바이러스 캘랜더

6. Y2K관련 바이러스·해킹방지 연구반 전문가 명단

7. 바이러스·해킹사고 발생시 긴급연락처

첨부1.  해외에서 고려되고 있는 Y2K관련 예상되는 각종위협

□ 컴퓨터바이러스

- 많은 밀레니엄바이러스가 출현될 것으로 예상되는데, PC가

2000.1.1 로 세트되면 □Happy New Millennium from XXX" 등과

같은 메시지가 나타나면서 시스템이 정지되거나 데이터가 삭제되

는 등의 피해를 입을 것으로 예상됨

※ 맥아피사는 이러한 문제를 해결하기 위해 □Millennium package"를 곧

출시예정

- PC의 시간을 사전에 조작하여 Y2K문제인 것처럼 조작가능

- 일반적으로 바이러스제작자들은 마이크로소프트사의 신제품이나

새로운 기능이 추가될 경우 취약성을 노리고 있으며, 윈도우2000

등이 새로운 목표로 예상되고 있지만 년말까지는 문제는 없을 것

으로 예측됨

- 멜리사, 일스플로러집 등 웜바이러스가 많아 전자메일을 이용하여

급속하게 유포되는 악성바이러스의 출현 가능성이 높고 2000.1.1

을 전후한 감염 우려

□ 해킹

- 해커들은 Y2K취약성이 노출될 수 있는 정보보호시스템이나 인터

넷서버 등을 공격할 것으로 예측되지만 특별하게 밀레니엄 해킹

도구가 나오지 않고 있으므로 평상시 해킹대응 기술을 잘 관리만

하면 대책을 세울 수 있음

- 특히 시스템이나 네트워크를 정지시킬 수 있는 서비스거부공격

등의 사이버 테러 공격이 예상되고 있음

- 새천년이 시작되기 전에 미리 네트워크 및 시스템에 대한 가상해

킹침투 등의 안전진단을 가능한 수행토록 하고 CERT 등 전문대

응기관의 새로운 정보 수집을 게을리 하지 말아야 함

□ 거짓정보(Hoaxes),연결전자메일(chain e-mails),거짓경보(false

warnings)

- 의심스러운 해킹·바이러스 정보를 받게되면 대부분 거짓일 가능

성이 높으며 CERT 등의 홈페이지에서 최신 정보를 수집할 수 있

어야 함

첨부2.  Y2K문제와 바이러스·해킹문제 구별가이드

가. Y2K 문제와 바이러스·해킹문제 구별요령

구분	피해 유형별 증상	해결방안
Y2K 문제	○ 하드웨어의 경우, RTC(Real Time Clock)의 두자리 연도처리로 인한 BIOS의 CMOS 세기정보 처리오류로 시간출력 오류 발생 ○ 소프트웨어의 경우, 두자리 연도처리로 인 해 정렬·검색·비교 연산 오류 및 오동작 ·무한루프·수행정지 현상 발생가능	- CMOS 세기정보(□20□) , RTC 연도정보(□00□) 교정 - Y2K 문제해결된 OS 업그레이드 및 패치 프로그램 설치, 응용 프로그램의 Y2K문제 해결
바이러스 문제	○ Y2K 거짓정보에 의한 바이러스 감염확산 ○ CIH 등 악성 바이러스에 의한 시스템· 데이터 파괴 및 Flash BIOS 파괴로 인한 시스템 부팅 불능 ○ 멜리사, ExploreZip 등 E 메일 자동전송 ○ PrettyPark, EcoKys 등 사용자 정보유출 ○ 시스템·프로그램 속도저하, 프로그램 오 류, 비정상적인 내용출력 등 단순 바이러 스에 의한 피해 증상 ○ 바이러스도 Y2K문제를 내포하고 있음	- 백업 등 바이러스 예방 및 백신SW 사용 ※ 2000.1.1 이전 주요정보 백업
해킹문제	○ 백오리피스2000 등 윈도우 트로이목마에 의한 피해발생 가능성 ○ UNIX 서버에서의 자료파괴·변조와 개인 정보유출, 악성 프로그램 설치 등	- 일반 해킹방지 방법 과 같이 보안설정과 패치를 통해 대응
구분 방안	○ Y2K 오류의 경우, 2000년이라는 년도와 관계된 시스템, 프로그램에 동작오류 발생 ○ 바이러스·해킹의 경우, 년도와 관계없이 시스템 파괴, 정보유출, E 메일 자동전송, 시스템 정지, 부팅불능, 자료변조, 루트권한 도용 등 피해증상이 나타남	※ 바이러스의 경우, Y2K 관련 출현가능한 유형을 분석하여 예방조치 ※ Y2KCOUNT 등 Y2K 위장, Back Orifice2000 등 Y2K 관련 해킹사고 에 대응함

나. Y2K문제와 바이러스·해킹문제 구별방안

1. 개요

□ Y2K 문제 발생시기를 기하여 예측되는 단순한 바이러스 및 해킹문제도 Y2K 문제로 과장되어 국가사회 및 국제적으로도 매우 큰 혼란을 야기할 가능성이 있으므로 Y2K 문제와 단순한 바이러스·해킹문제를 구별할 수 있는 지침을 작성할 필요성이 대두됨

□ 이에 따라 Y2K 문제와 바이러스·해킹사고 발생시 피해증상에 따라 Y2K문제, 바이러스·해킹문제를 명확히 구분하여 바이러스·해킹 안전운영 지침서 등에 이를 반영하여 대국민 홍보를 통해 긴급상황이 발생하였을 경우 각 사안에 따른 대응함으로서 신속히 대처할 수 있으리라 판단됨

2. Y2K 문제 발생시 현상

□ 하드웨어

- 현재 시판된 대부분의 PC는 RTC(Real Time Clock)라 불리우는 시계가 내장되어 있는데, 이 RTC가 두자리 연도 밖에는 처리하지 못하며 세기 정보를 별도의 CMOS에 저장함

- BIOS가 RTC의 두자리 연도를 참조하여 CMOS 내의 세기값을 보정 (RTC 연도가 00일 경우 CMOS 세기를 20으로 바꿈). 따라서, PC 하드웨어의 Y2K 문제는 BIOS의 CMOS 보정 여부에 달렸음

- 2000년이 되어도 CMOS 내 세기값이 20으로 바뀌지 않으면 연도를 1900년으로 인식하는 Y2K 문제가 발생함

- PC의 경우, ROM BIOS에서 날짜정보 처리시 시스템 날짜·시간출력에 오류 발생

※ '96년 이전에 제작된 486이하 PC기종에서 발생가능함

- UNIX 서버의 경우, OS 자체와 시스템 유틸리티의 날짜정보 처리시 시스템 날짜·시간출력에 오류가 발생하여 서버 와 시스템 시간을 이용하는 서비스에 오류 발생

※ getdate(), strptime() 시스템 명령어, date, get 등의 명령어를 포함한 시스템 유틸리티 등

- 네트워크 장비의 경우, 운영관련 OS 및 NMS 등의 내장 프로그램의 날짜정보 처리오류로 서비스에 문제가 발생

※ 라우터, 네트워크스위치, 게이트웨이, 브리지, 교환기 등

□ 소프트웨어

- 패키지 소프트웨어나 응용 프로그램에서 연도 처리시 두자리 연도만을 사용하도록 설계된 경우 정렬, 검색, 비교 등의 연산에 오류가 발생함

※ DBMS의 경우, "sysdate" 명령어 실행시 2자리 연도가 리턴문제 등

- 연도 오류가 사용 프로그램의 버그와 연결될 경우 오동작, 무한 루프, 수행 정지 등의 현상이 발생할 가능성도 있음

3. 일반적인 바이러스 감염증상

□ CIH 등 바이러스 피해증상

- 파일 변형·삭제, 하드디스크 파괴

- 시스템 다운

- Flash BIOS 파괴로 인한 부팅 불능

- 플로피/하드 디스크/CD-ROM 인식 불가

□ ExploreZip, PrettyPark 등 인터넷웜 피해증상

- E 메일 자동전송

- 개인정보 유출

□ 기타 단순 바이러스 피해증상

- 비정상적인 내용 출력

- 프로그램 실행 에러

- 일반 프로그램 실행 속도 저하

- 메모리 부족현상 발생

4. 일반적인 해킹사고 발생시 피해증상

□ PC의 경우

- 메모리의 가용량 감소

- 시스템의 비정상적인 다운

- E 메일 자동전송

- 비정상적인 포트통한 접속증가 및 개인정보 유출

□ UNIX 서버의 경우

- rm -rf * & 등의 명령어로 하드디스크 내에 모든 파일 및  디렉토리를 삭제

- 컴퓨터에 존재하는 상용 PC통신 ID를 이용하여 무료 사용

- 사용자들의 E메일 내용이나 디렉토리내 자료 열람, 빼내기

- 바이러스, 트로이목마, 백도어 등 악성 프로그램 설치

- 성적 조작, 홈페이지 내용 변조 등 주요 자료변조

5. Y2K 문제와 컴퓨터바이러스·해킹의 발생 차이점 인지 방법

□ Y2K 문제의 경우, 년도·시간에 관련된 데이터를 시스템이나 응용프로그램에서 사용할 때 날짜정보와 관련되어 시스템 및 프로그램 동작오류가 발생됨

□ 바이러스의 경우, 년도정보와 상관없이 디스크 및 데이터 파괴,시스템 정지, 시스템 부팅 불능, E 메일 자동전송, 사용자 정보 유출 등의 피해를 입힘

□ 해킹 문제의 경우, 공격목표 시스템 및 정보수집, 불법적인 컴퓨터 접근, 악성 프로그램 설치로 인한 비인가자의 불법 관리자 권한 획득, 시스템의 취약점을 이용하여 스니퍼·백도어 등의 해킹도구로 직접적으로 시스템에 피해를 입히거나

6. 기타사항

□ 최근 해킹기법을 이용한 신종 바이러스 출현으로 Y2K 발생기점에 해킹사고에 대처할 필요가 있음

※ Back Orifice2000(7. 13), PrettyPark(9. 9), EcoKys(10. 11) 등

□ 또한 Y2K문제를 가장한 신종 바이러스 유입에 따른 바이러스 사고에 대처할 필요가 있음

※ Y2KCOUNT(9. 29) 등

첨부3.  바이러스 대응 및 점검요령 방안

가. 컴퓨터바이러스 예방법

□ 정기적인 데이터 백업

- 중요한 데이터는 정기적으로 백업

□ 최신 버전 백신 프로그램 사용

- 백신 프로그램 사용시 항상 최신 버전으로 업데이트 하여 사용

□ 전자 메일 첨부 파일 검사

- 메일에 첨부된 파일은 반드시 백신 프로그램으로 검사한 후 사용

□ 정품 소프트웨어 사용

- 불법 복제 소프트웨어의 사용 금지

□ 정품 이외의 프로그램은 개발자(사)가 확실한 프로그램 사용

- 인터넷이나 PC 통신 자료실에 등록되어 있는 자료 중 필요할 경우 제작사나 제작자가 확실한 것만 사용

□ 자동감시기능 사용

- 백신 프로그램의 자동감시기능을 사용하여 시스템을 보호

□ 컴퓨터 바이러스 관련 정보 숙지

- 컴퓨터 바이러스 활동에 대한 달력 및 신종 컴퓨터 바이러스에 대한 정보를 통하여 감염예방

□ 비상시를 대비하여 복구디스켓 등을 생성

- 컴퓨터 바이러스 감염에 의한 문제 발생에 대비하여 항상 복구디스켓 준비

□ 백신SW의 Y2K문제 점검

- 바이러스 또한 Y2K문제를 내포하고 있으며, 이를 치료하는 백신SW도 우선적으로 Y2K문제를 해결한 이후에 사용

나. 백신SW 없이 바이러스 감염여부 확인방법

□ 프로그램 실행 에러

- 비정상적인 프로그램 실행 에러가 발생할 경우

□ 메모리 부족현상 발생

- 시스템의 사용가능한 메모리가 줄어들어 여분이 없어졌을 경우

□ 파일 변형 및 삭제

- 하드디스크에 정상적으로 존재하고 있던 파일 중, 본인이 삭제한 일이 없는 실행 파일이나 데이터 파일 등이 삭제되거나 변형된 경우

□ 일반 프로그램 실행 속도 저하

- 실행 및 부팅 속도가 눈에 띄게 떨어진 경우

□ 시스템 다운

- 시스템이 불특정하게 다운된 경우

□ 플로피/하드 디스크/CD-ROM 인식 불가

- 비정상적으로 저장매체가 인식되지 않는 경우

□ 비정상적인 내용 출력

- 시스템에 비정상적인 그림, 메시지, 소리 등의 출력

□ E 메일의 자동전송

- 전송하지 않은 E 메일이 자동으로 발송된 경우

첨부4.  Y2K관련 출현가능한 컴퓨터바이러스 유형분석

1. 유형

□ Y2K 관련 거짓정보를 이용한 컴퓨터바이러스 유형

- Y2K문제 해결프로그램, 오류메시지, 2000년 기념 축하카드·

화면보호기 등을 E메일을 통하여 Y2K 관련정보로 위장한 바

이러스 유포

※ Y2KCOUNT(MS사 E메일 위장 바이러스), Happy99(99년 신년기념),

WM97/ZMK(□98프랑스월드컵기념), W32/Fix(Y2K Bug Fix로 위장) 등

□ 2000년 1월 1일 동작가능한 컴퓨터바이러스 유형(변종 포함)

- 2000년 1월 1일에 활동하도록 제작된 바이러스의 유포

※ W97M/MMKV.A, W97M/Chantal(2000년 1월 1일 출현),

NRLG.946(매년 1월 1일 출현), 물고기부트, 소닉(매월 1일 출현) 등

- 기존의 특정일에 활동하는 바이러스 활동 개시일을 2000. 1. 1로

변경하여 변종의 바이러스를 제작·유포

※ 예루살렘바이러스(13일 금요일), CIH바이러스(매월 26일, 4월 26일)등

□ 새로운 형태의 신종 컴퓨터바이러스 유형

- Y2K와 별개로 새로운 형태의 신종 바이러스 개발·유포

※ 개인PC의 시스템날짜를 변경하여 공격하는 신종 바이러스 제작가능성 등

□ 해킹기법과 결합한 신종 컴퓨터바이러스 유형

- 감염된 수많은 시스템을 이용하여 2000년 1월 1일에 특정 사

이트에 대한 서비스 거부공격, 해킹 등을 수행하는 바이러스

※ 2000년 1월 1일에 감염된 모든 시스템에서 MS 사이트로의 DOS 공격가능

- 최근 사용자 정보 유출 기능이 포함된 웜 바이러스를 이용한

2000년 1월 1일에 감염된 시스템에 대한 2차적인 트로이목마

공격(시스템 파괴, 대규모 바이러스 메일 송신)

※ PrettyPark, Y2KCOUNT, EcoKys 등의 사용자 정보 유출 바이러스에

2차 공격용 트로이목마 프로그램을 추가한 바이러스 유형발생 가능

□  트로이 목마 프로그램을 이용한 2000년에 1월 1일의 대규모 공격

※ Y2K를 목표로 하는 새로운 버전의 Back Orifice 2000, NetBus Pro,

Deep Throat, Sub7 등의 출현 가능

2. Y2K 관련 4가지 유형별 컴퓨터바이러스 목록

유 형	바이러스 목록
Y2K 관련 거짓정보를 이용한 컴퓨터바이러스 유형	Y2KCOUNT, WM97/ZMK, Happy99, W32/Fix 등
2000.1.1. 동작하는 컴퓨바이러스 유형(변종포함)	W97M/MMKV.A, W97M/Chanta(2000.1.1 출현), NRLG.946(매년 1월 1일 출현), 물고기부트, 소닉(매월 1일 출현), 예루살렘 바이러스, CIH , FCL 등
새로운 형태의 신종컴퓨터바이러스 유형	새로운 바이러스 출현 가능
해킹기법과 결합한 신종 컴퓨터바이러스 유형	PrettyPark, Y2KCOUNT, EcoKys 사용자 정보유출 Back Orifice 2000, NetBus Pro, Deep Throat, Sub7 등의 트로이목마 프로그램

3. Y2K 관련 거짓정보를 이용한 컴퓨터바이러스 유형

바이러스 명	Y2KCOUNT
종류	웜(Worm) 바이러스
감염유형	MS에서 보낸 Y2K를 카운터해주는 프로그램인 것처럼 가장한 바이러스 파일인 □Y2KCOUNT.EXE□ 파일이 첨부된 E 메일을 통하여 바이러스 유포
감염증상	첨부파일을 실행시키면 시스템 파일들을 변경시키고, MS OutLook의 주소록을 참조하여 모든 사용자에게 바이러스 스크립트 파일인 "Y2KCOUNT.EXE"를 첨부시킨 E 메일을 보냄, 감염시스템의 login 이름, 사용자 이름, 패스워드 등의 정보를 제작자 에게 보냄
특징	E 메일 제목 : Microsoft Announcement E 메일 내용 : From: support@microsoft.com Sender: support@microsoft.com Received: from Microsoft (stara65.pip.digsys.bg [193.68.4.65]) Subject: Microsoft Announcement Date: Wed, 15 Sep 1999 00:49:57 +0200 To All Microsoft Users, We are excited to announce Microsoft Year 2000 Counter. Start the countdown NOW. Let us all get in the 21 Century. Let us lead the way to the future and we will get YOU there FASTER and SAFER. Thank you, Microsoft Corporation
비고	사용자 정보 유출

바이러스 명	W32/Fix
종류	웜(Worm) 바이러스
감염형태	MS에서 보낸 Y2K 문제를 해결해 주는 패치인 것처럼 가장한 바이러스 프로그램이 첨부된 E 메일을 통하여 전파
감염증상	첨부된 파일이 실행되면 C:\Windows\System 디렉토리에 파일을 복사하고 사용자들의 registry key를 변화시켜서 Mail Script 설정변경. 송신측 E 메일에 바이러스 파일인 Y2K Internet bug fix를 첨부하여 바이러스 유포, 이 웜 바이러스의 body string이 다른 파일과 충돌되거나 overwrite가 가능하기 때문에 매우 위험하며, 이런 경우 C:\COMMAND.COM 파일이 트로이 목마 파일로 overwrite 되면서 다음 부팅시에 디스크의 데이터를 삭제 시킬 수 있다.
특징	E 메일 제목 : Internet problem year 2000." E-Mail 내용 : We will be glad if you verify your Operative System(s) before Year 2000 to avoid problems with our Internet Connections. If you are a Windows 95 / 98 user, you can check your system using the Fix2001 application that is attached to this E-Mail or downloading it from Microsoft (C) WEB Site: HTTP://WWW.MICROSOFT.COM If you are using another Operative System, please don't wait until Year 2000, ask your OS Technical Support. Thanks. Administrator
비고

바이러스 명	I-Worm/Happy99
종류	웜(Worm) 바이러스
감염형태	바이러스 파일인 "Happy99.EXE" 파일이 첨부된 E 메일을 통해 바이러스 유포
감염증상	인터넷 관련 WSOCK32.DLL파일을 WSOCK32.SKA파일로 복사한후 E메일 전송시 HAPPY99.EXE파일이 첨부되도록 WSOCK32.DLL파일을 변형하여 폭죽이 터지는 동영상을 출력
특징
비고

4. 2000년 1월 1일 동작가능한 컴퓨터바이러스 유형

바이러스 명	W97M/MMKV.a
종류	매크로(Macro) 바이러스
감염형태	MS Word97, 2000의 문서파일과 normal.dot를 감염시킴
감염증상	2000년 1월 1일에 루트 디렉토리와 현재 디렉토리의 모든파일들을 삭제하고 다음 내용의 메시지 창을 띄운다. "MK-Words By MMK 1999" "Welcome To Y2K"
특징	Word 97의 매크로 경고기능 중지시킴
비고

바이러스 명	W97M/Chantal
종류	매크로(Macro) 바이러스
감염형태	MS Word97의 문서 파일 normal.dot를 감염시킴
감염증상	2000년 1월 1일이나 매달 31일에 바이러스 출현, 현재 디렉토리와 root 디렉토리의 모든 파일을 삭제하고 다음 내용의 메시지 창을 띄운다. Mark says... Chantal B. 4ever!
특징	Word 97의 매크로 경고 기능 중지시킴
비고

※ 기존의 특정일에 활동하는 바이러스 동작일을 2000. 1. 1로 변경하여 출현 가능한      변종의 컴퓨터바이러스 목록

바이러스 명	예루살렘 바이러스
종류	파일 바이러스
감염형태	COM. EXE. 상주형. 기생형
감염증상	감염 파일이 실행된지 30분이 경과하면 화면의 일부가 위로 올라가며 시스템 의 실행속도가 떨어진다. 13일의 금요일이 되면 감염된 파일을 삭제해 버린다
특징	전세계적으로 널리 퍼졌고 가장 많은 변형을 가진 바이러스중 하나
비고

바이러스 명	(WIN95/PE) CIH
종류	파일 바이러스
감염형태	EXE 파일 감염, 상주형, 겹쳐쓰기형
감염증상	4월26일에 플래시 메모리 BIOS 내용, 하드디스크 데이터 파괴 감염 파일 내부에는 다음과 같은 문자열이 존재한다. "CIH v1.2 TTIT"
특징	CIH 1.4 버전은 매월 26일에 출현
비고

5. 새로운 형태의 신종 컴퓨터바이러스 유형

※ 기존 바이러스 사례임

바이러스 명	Zerotime
종류	파일 바이러스
감염형태	예루살렘 바이러스의 변형, COMMAND.COM 파일을 제외한 모든 COM, EXE, 실행가능한 파일 에 바이러스 감염시킴
감염증상	COM 파일크기가 1721바이트 증가하고 EXE파일크기가 1716-1731바 이트를 증가시키고, 1991년 이후 매주 금요일에 사용하고 종료한 파일에 대해 작성시간 을 □0□으로 변경시킴
특징	특정일에 동작하여 특정파일의 작성시간을 임의로 변경시킴
비고	특정일에 시스템 날짜를 변경하는 변종 제작이 가능함

6. 해킹기법과 결합한 신종 컴퓨터바이러스 유형

바이러스 명	I-Worm/PrettyPark.B
종류	웜(Worm) 바이러스
감염형태	바이러스 파일인 "C:\CoolProgs\Pretty Park.exe" 파일이 첨부된 E 메일을 통하여 바이러스 유포
감염증상	감염된 시스템의 컴퓨터 이름, E 메일 주소, 사용자 비밀번호 등의 여러 정보를 IRC 서버를 통해 웜 제작자에게 보냄, 30분에 한번씩 MS OutLook의 주소록을 참조하여 모든 사용자에게 "C:\CoolProgs\Pretty Park.exe" 파일이 첨부된 E-Mail을 보냄
특징	사용자 정보유출
비고

바이러스 명	Dropper/Ecokys
종류	트로이목마 프로그램
감염형태	바이러스 파일이 첨부된 E 메일을 통하여 바이러스 유포
감염증상	주요 피해 사례로는 사용자 Keylog를 저장하여 바이러스 제작자에게 보내는 것과 윈도우NT 감염시 제대로 동작되지 않으나 재부팅시 바이러스의 영향 으로 부팅이 되지않음 ※ EcoKys가 감염시키는 대상이 Windows Folder로 정의되어 Windows NT에서 는 제대로 동작하지않음
특징	사용자 정보 유출
비고

바이러스 명	Back Orifice 2000
종류	트로이목마 프로그램
감염형태	Client/Server 구조로 원도우 95/98/NT에서 모두 동작
감염증상	원격 시스템 관리, 공격, 정보 유출 기능 ※ Keylog 포함
특징	XOR, 3DES 방식 암호화 통신 적용 내부 설정에서 많은 플러그인 가능 대부분의 설정을 GUI 방식으로 여러가지 디폴트 설정을 바꿀 수 있어 탐지가 어려움.
비고

바이러스 명	Sub 7
종류	트로이목마 프로그램
감염형태	Client/Server 구조로 원도우 95/98에서 모두 동작
감염증상	원격 시스템 관리, 공격, 정보 유출 기능(Keylog 포함)
특징	추가적인 Fun 기능 제공 ICQ, IRC, E 메일을 통한 자동 Notify기능 포함 (검색하지 않고도 감염 컴퓨터의 OnLine 상태 확인 가능)
비고

※ Y2K를 목표로 출현가능한 새로운 버전의 트로이 목마 프로그램

첨부5.  1999년 12월과 2000년 1월 활동가능한 바이러스 캘랜더

1999년 12월 출현예상 바이러스 캘랜더
일·SUN	월·MON	화·TUE	수·WED	목·THU	금·FRI	토·SAT
			1 W95M_Stryx.A Pojer.1935	2 Keypress.1236 NRLG.1033	3 FCL.4228	4
5	6	7	8	9	10	11
12	13 W95M_Atom.E W97M/Thus.A	14	15	16	17	18
19 IVP.578 시스터보.II.2021	20	21	22	23	24	25 Win32/Kriz BachKhoa.3687 처단자 사탄
26 WIN32_CIH 1.4 Delwin.1759 작은 공산당	27	28 CPW.1527	29	30	31

구분	활동일자	명칭(원산지)	감염현상	피해증상	비고
1	12. 1(수)	W95M_Stryx.A (외국산, 매크로)	문서 파일에 감염 매크로 크기는 25669 Byte	매년 12월 1일 문서를 닫을 때 새로운 문서를 생성하여 특정 그림과 문자열 삽입	12월 1일 출현
2		Pojer.1935 (외국산, 파일)	COM, EXE 파일 감염, 메모리 상주, 감염 파일 1935 Byte 증가	7월, 9월, 12월의 1일 이면 인터럽트 1C를 이용하여 반짝이는 사각형의 그림을 출력	7월, 9월, 12월 1일 출현
3	12. 2(목)	키누르기 (외국산, 파일)	1217-64064 바이트 크기의 COM, EXE 파일만 감염시킴, COM파일 1232-1247 바이트 증가, EXE파일 1472-1487 바이트증가	감염파일 실행 5분 이후에 □SADDAM, the inferiority of the Chaos"란 메시지 출력	짝수달 2일 출현
4		NRLG.1033 (국산, 파일)	COM 파일에 감염되며 1033Bytes 증가.	12월 2일 감염 파일 실행시 다음 메시지 출력. 'I am Crazy Killer. I will kill ahn cheolsoo! Oh! Shut! V3 Kill!'	12월 2일 출현

구분	활동일자	명칭(원산지)	감염현상	피해증상	비고
5	12. 3(수)	FCL.4228 (국산, 파일)	COM, EXE 파일 감염 감염시 4944Bytes 증가	12월 3일 간헐적으로 메시지를 출력하고 프로그램 실행을 끝마침,이때 화면이 멈춤	12월 3일 출현
6	12. 13(월)	W95M_Atom.E (외국산, 매크로)	매크로 크기는 1017 Byte.	매년 12월 13일에 현재 디렉토리의 모든 파일을 삭제	12월 13일 출현
7		W97M/Thus.A (외국산, 매크로)	MS 워드 97 파일 감염	12월 13일에 감염된 파일을 열면 C 드라이브 모든 파일 삭제	12월 13일 출현
8	12. 19(일)	IVP.578 (국산, 파일)	COM 파일 감염 578Bytes 증가	감염 파일 실행 날짜가 12월 19일인 경우 다음 메시지 출력 '(c) Copyleft 1997 by MOV(Master Of Virus) of SVS/COREA Merry Christmas~~~~~~~~~'	12월 19일 출현
9		시스터보.II.2021 (국산, 파일)	COM, EXE 파일 감염 2074Bytes 증가	12월 19일에 CMOS 데이터 파괴	12월 19일 출현
10	12. 25(토)	Win32/Kriz (외국산, 파일)	EXE, DLL 감염 기생형, 메모리 상주	12월25일에 플래시 메모리 BIOS 내용, 하드디스크 데이터 파괴	12월 25일 출현
11		BachKhoa.3687 (외국산, 파일)	COM, EXE 파일 감염 3687Bytes 증가	12월 25일 도스 부트 영역 및 FAT 데이터 손상	12월 25일 출현
12		처단자 (국산, 파일)	COM 파일 감염 526Bytes 증가 읽기 전용 파일, V3.COM, V3RES.COM은 감염시키지 않음	12월 25일 화면에 다음 메시지 출력 'TERMINATOR 1991. Made by SVS-009'	12월 25일 출현
13		사탄 (외국산, 파일)	COM 파일 감염	4월 1일 실행되는 파일 삭제. 12월 25일 실행하고자 하는 프로그램들이 실행되지 않고 도스 프롬프트 상태로 빠져나옴.	12월 25일 출현

14	12. 26(일)	WIN32_CIH 1.4 (외국산, 파일)	메모리상주형, 겹쳐쓰기로 감염파일 의 크기 변동없음	플래쉬메모리, HDD 데이터 파괴, 시스템정지	매월 26일 출현
15		Delwin.1759 (외국산, 부트/파일)	COM, EXE 파일, 하드 주부트섹터 감염 1759 Byte 증가	매년 12월 26일 화면 떨림 현상 발생	12월 26일 출현
16		작은 공산당 (외국산, 파일)	COM, EXE 파일 감염 1465Bytes 증가 메모리 1744Bytes 감소	도스의 CHKDISK를 실행할 경우 데이터 손상. 9월 9일, 12월 26일에 스피커를 통해 중국 음악이 연주됨.	9월 9일, 12월 26일 출현
17	12. 28(화)	CPW.1527 (외국산, 파일)	COM, EXE 파일 감염 1527 Byte증가	매년 5월 27일과 9월 11일 그리고 12월 28일에는 현재 디렉토리의 한파일을 삭제함	5월 27일, 9월 11일, 12월 28일 출현

2000년 1월 출현예상 바이러스 캘랜더
일·SUN	월·MON	화·TUE	수·WED	목·THU	금·FRI	토·SAT
						1 W97M/MMKV.A W97M/Chanta NRLG.946 물고기부트, 소닉
2	3	4	5 조쉬 바로테스	6	7	8
9	10	11	12	13	14	15 카지노 W95M_Gangsterz.A
16	17	18	19	20 W95M_Outlaw.A W95M_Outlaw.B	21	22
23	24	25	26 WIN32_CIH 1.4	27	28	29
30	31

구분	활동일자	명칭(원산지)	감염현상	피해증상	비고
1	1. 1(토)	97M/MMKV.A (외국산, 매크로)	MS Word97, 2000의 문서 파일과 normal.dot를 감염시킴	2000년 1월 1일이 되면 root 디렉토리와 현재 디렉토리의 모든 파일들을 삭제하고 다음 내용의 메시지 창을 띄움 "MK-Words By MMK 1999" "Welcome To Y2K"	2000년 1월 1일 출현
2		W97M/Chanta (외국산, 매크로)	MS Word97의 문서 파일 normal.dot를 감염시킴	2000년 1월 1일이나 매달 31일이 되면 현재 디렉토리와 root 디렉토리의 모든 파일을 삭제하고 다음 내용의 메시지 창을 띄운다. □Mark says... Chantal B. 4ever!□	2000년 1월 1일 출현

구분	활동일자	명칭(원산지)	감염현상	피해증상	비고
3	1. 1(토)	NRLG.946 (국산, 파일)	COM 파일 감염 946Bytes 증가	1월 1일 하드 디스크 데이터 파괴. 변형으로 NRLG.972 바이러스가 있음	1월 1일 출현
4		물고기부트 (외국산, 부트)	플로피/HDD 부트섹터 감염	□Hello! I am FISH, please don't kill me...'메시지 출력	매월 1, 11, 21, 31일 출현
5		소닉 (국산, 파일)	1084바이트이하(2184바이트증가)/1085바이트이상(1100바이트증가) COM파일 감염	화면중앙에 □아직 하드를 잘쓰네요~?□ 등의 메시지출력	매월 1일 출현, 매주 토요일 디스크 일부 섹터 파괴
6	1. 5(수)	조쉬 (외국산, 부트)	메모리 6KB 감소 부팅시 입출력 속도 저하	1월 5일 다음 메이시 출력 'TYPE Happy Birthday Joshi!' 출력. 'Happy Birthday Joshi'라는 글자를 입력하지 않으면 다음 작업을 진행할 수 없음.	1월 5일 출현
7		바로테스 (외국산, 파일)	COM, EXE 파일 감염 1310Bytes 증가	1월 5일 수직 막대가 번쩍거리며 다음 메시지 출력 'Virus Barrotespor OSoft'	1월 5일 출현
8	1. 15(토)	카지노 (외국산, 파일)	COM, 상주형, 기생형	1월, 4월, 8월 15일에 카지노 게임을 하며 이때 바이러스는 사용자의 FAT을 파괴시킨 후 카지노 게임을 하게 되는데 만약 사용자가 이기면 파괴된 FAT 복구시켜줌	1월, 4월, 8월 15일 출현
9		W95M_Gangsterz.A(외국산, 매크로)	문서 파일에 감염	매년 1월 15일에 생성되는 문서 파일에 Big_Daddy_Cool virus generated by NJ 문자열을 삽입하고, 나머지 영역에는 O 채움	1월 15일 출현

구분	활동일자	명칭(원산지)	감염현상	피해증상	비고
10	1. 20(목)	W95M_Outlaw.A (외국산, 매크로)	문서 파일 감염	매년 1월 20일에 바이러스는 PC 스피커를 통하여 웃는 소리를 내며, A virus from Nightmare Joker. 텍스트를 삽입한 새로운 문서를 생성.	1월 20일 출현
11		W95M_Outlaw.B (외국산, 매크로)
12	1. 26(수)	WIN32_CIH 1.4 (외국산, 파일)	메모리상주형, 겹쳐쓰기로 감염파일 의 크기 변동없음	플래쉬메모리, HDD 데이터 파괴, 시스템정지	매월 26일 출현

첨부6.  Y2K관련 바이러스·해킹방지 연구반 전문가 명단

구분	성명	소속	직위	전화번호	팩스번호	E-Mail	비고
1	박 준 식	안철수 컴퓨터바이러스 연구소	개발팀장	2186-6121	2186-6100	parco@ ahnlab.co.kr	백신업체
2	김 남 욱	하우리	연구소장	828-0827	828-0830	knwook@hauri.co.kr
3	천 재 길	명데이타 복구센터	주임연구원	561-1664	561-1646	mdrdr@myung.co.kr	복구업체
4	이 용 균	지오이네트	부장	3476-5800	3476-0410	cibal@zoi.com	백업업체
5	변 경 근	하이텔	연구원	3289-2822	3289-2051	kkbyun@hitel.net	PC통신 사업자
6	장 재 욱	천리안	대리	2220-7265	2220-7219	jangonet@chollian.net
7	임 채 호	정보보호센터	팀장	3488-4080	3488-4129	chlim@kisa.or.kr	연구기관
8	김 재 성		선임연구원	3488-4082		jskim@kisa.or.kr
9	이 상 엽		연구원	3488-4138		leesy@kisa.or.kr
10	김 영 문	정보통신부 정보보호과	사무관	750-1264	750-1269	mun@mic.go.kr	정부기관
11	김 경 섭	정보통신부 Y2K상황실	서기관	750-1270	750-1599	kskim@@mic.go.kr
12	이 도 규		사무관	750-1271		leedk@mic.go.kr
13	이 춘 성		연구원	750-1273		leechs@mic.go.kr

첨부7.  바이러스·해킹사고 발생시 긴급연락처

□ 해킹사고 기술지원 요청

한국정보보호센터 CERTCC-KR	담 당 자	침해사고 대응 담당
	전화·팩스	[02] 3488-4119 3488-4129
	전자 우편	cert@certcc.or.kr
	URL	http://www.certcc.or.kr, http://www.kisa.or.kr
	비 고	해킹 등 침해사고 보고(기술지원 요청)

□ 바이러스 사고관련 기술지원 요청

한국정보보호센터 (바이러스 신고센터)	담 당 자	컴퓨터바이러스 대응 기술지원담당
	전화·팩스	[02] 3488-4139 3488-4129
	전자 우편	virus-rep@certcc.or.kr
	URL	http://www.certcc.or.kr, http://www.kisa.or.kr
	비 고	컴퓨터바이러스 사고신고(기술지원 요청)

□ 바이러스·해킹사고 등 컴퓨터범죄 수사 요청

대검찰청 정보범죄수사센터	담 당 자	정보범죄 신고 담당
	전화·팩스	[02] 3480-2480 3480-2489
	전자 우편	srpark@dci.sppo.go.kr
	URL	http://www.dci.sppo.go.kr
	비 고	정보범죄 수사지휘, 대책 수립

경찰청 컴퓨터범죄수사대	담 당 자	컴퓨터범죄 신고 담당
	전화·팩스	[02] 392-0330 365-7127
	전자 우편	ccis@soback.kornet.nm.kr
	URL
	비 고

□ 백신제작업체

안철수바이러스연구소	전화·팩스	[02] 2186-6000 2186-6100
	전자 우편	mk0115@ahnlab.co.kr
	URL	http://www.ahnlab.co.kr

하우리	전화·팩스	[02] 828-0820 828-0830
	전자 우편	julie@hauri.co.kr
	URL	http://www.hauri.co.kr

시만텍코리아	전화·팩스	[02] 3420-8640 3452-1610
	전자 우편	jnlee@symantec.com
	URL	http://www.symantec.com

트랜드코리아	전화·팩스	[02] 782-1784 786-5792
	전자 우편	kim_ks@trendmicro.co.kr
	URL	http://www.trendmicro.co.kr

□ 데이터 백업 및 복구 기술지원 요청

명정보기술 (명데이타복구센터)	전화·팩스	[02] 561-1664 561-1646
	전자 우편	mdrdr@myung.co.kr
	URL	http://www.myung.co.kr

지오이네트 (백업업체)	전화·팩스	[02] 3476-5800 3476-0410
	전자 우편	cibal@zoi.com
	URL	http://www.zoi.net