안랩, 디도스 공격 악성코드 전용백신 제공

2013.06.28

 

- 개인 및 기업 내 PC 좀비화 방지로 디도스 공격 근원 차단

- 개인은 물론 기업/기관도 무료 사용..기존 V3 사용자는 최신 버전으로 치료

 

정보보안 기업 안랩(대표 김홍선 www.ahnlab.com)은 25일 일부 정부기관에 대한 디도스(DDoS: Distributed Denial of Service, 분산 서비스 거부) 공격이 발생함에 따라 사용자가 공격에 악용되지 않도록 디도스 공격 유발 악성코드를 진단/치료하는 전용백신을 개발해 무료 제공하고 있다. (http://www.ahnlab.com/kr/site/download/vacc/vaccView.do?seq=111)

 

26일 오후 17시 35분부터 제공 중인 1차 전용백신에는 정부통합전산센터 웹사이트를 디도스 공격한 8개의 악성코드에 대한 진단/치료 기능이 들어있다. 27일 오후 5시부터 제공 중인 2차 전용백신에는 청와대, 국정원, 새누리당 웹사이트를 디도스 공격한 악성스크립트(JS/Agent)에 대한 진단/치료 기능이 추가됐다.      

 

이번 전용백신은 개인은 물론 기업/기관에서도 무료 사용할 수 있다. 또한 개인용 무료백신 ‘V3 LIte’(http://www.ahnlab.com/kr/site/product/productView.do?prodSeq=8&svccode=aa1001&contentscode=483)를 비롯해 ‘V3 365 클리닉’(http://www.ahnlab.com/kr/site/product/productView.do?prodSeq=15), V3 Internet Security 8.0 등 V3 제품군 사용자는 사용 중인 제품의 최신 버전으로 진단/치료할 수 있다.

 

한편, 정부통합전산센터 웹사이트를 디도스 공격한 8개의 악성코드는 각기 역할이 나눠져 있다. 사용자가 웹하드 관련 업데이트 파일로 오인해 SimDiskup.exe 파일을 실행하면 ~simdisk.exe 파일이 생성되고 디도스 공격을 수행하는 oleschedsvc.dll 파일을 다운로드한다. (보충자료)

 

청와대, 국정원, 새누리당 웹사이트를 디도스 공격한 JS/Agent는 악성스크립트가 심어진 웹사이트에 접속했을 때 PC에 설치되는 악성코드이다. 이 악성코드는 악성스크립트가 심어진 웹사이트에 접속했을 때만 활성화하여 특정 웹사이트에 디도스 공격을 가한다.

 

안랩의 김홍선 대표는 “디도스 공격은 좀비PC에서 시작되므로, 개인용 PC와 기업 내 PC 모두 의도치 않게 공격자가 될 수 있다. 따라서 디도스 공격의 시발점인 PC에서 악성코드를 제거하는 것이 중요하다.”라고 강조했다. 또한 “웹사이트를 운영하는 기업/기관에서는 디도스 차단 기능이 있는 네트워크 보안 솔루션이나 보안관제 서비스를 이용해 피해를 최소화해야 한다.”라고 말했다. <Ahn>

 

 

----------<보충 자료>-----------

 

*디도스 공격 악성코드 파일명과 기능

파일명	기능
SimDiskup.exe	웹하드 사이트인 심디스크(Simdisk)의 설치 파일을 변조한 것으로 사용자를 속이기 위한 것이다.
servmgr.exe	드롭퍼(Dropper) 역할. 시스템의 운영체제 버전 정보를 체크한 후 동일한 악성코드에 이미 감염되어 있는지를 확인한다.
~simdisk.exe	네트워크 접속 정보의 감시, 추적 및 분석을 어렵게 한다.
ole(정상윈도우서비스명).dll	특정 URL로 접속해 디도스 공격 시각(6월 25일 10시) 정보를 담은 파일을 다운로드한다.
wuauieop.exe	디도스 공격을 수행한다.
~DR.tmp	ole(정상윈도우서비스명).dll 파일을 생성하고 윈도우 서비스에 등록한다.
~ER.tmp	32비트 윈도우 운영체제에서 UAC(User Account Control, 사용자 계정 컨트롤)를 우회한다.
~ER.tmp	64비트 윈도우 운영체제에서 UAC를 우회한다.

*디도스 공격 악성코드 관계도