연중무휴 악성코드와 싸운다_안철수연구소 시큐리티대응센터(ASEC)

2008.10.23

 

안철수연구소에서 가장 바쁜 팀을 꼽으라면 시큐리티대응센터라고 대답하고 싶다. 물론 바이러스 백신을 만들고 배포하는 회사이니 그들이 회사의 꽃임은 당연한 일 아닐까? 사실 꽃이라고 그들을 부르기엔 큰 무리가 따른다. 언제나 커피와 콜라 그리고 박카스를 허리춤에 차고 좀비처럼 회사를 누비는 그들을 보면 딱하기까지 하다. 데이트 하다가 긴급 사안이 벌어져 끌려 들어온 K군은 아직도 노총각이다. 심지어 전체 워크샵을 간 대응팀은 예상치 못한 긴급 사태가 벌어져 지방에서 택시를 타고 날아오기도 한다. 한시라도 마음을 늦출 수 없는 곳 시큐리티 대응센터를 방문해보았다.

안철수연구소의 시큐리티대응센터는 50여명으로 구성되어 있고 고객 PC를 안전하게 지키기 위해 3교대로 바이러스 신고센터 업무를 담당하고 있다. PC 사용 중 바이러스 감염이 의심되는 고객들은 웹을 통해 안철수연구소로 바이러스 신고를 할 수 있다. 기존 방식에서는 바이러스 신고는 이메일을 통해서만 가능했었다. 이메일의 통한 신고 접수가 스팸 필터링 등의 이유로 누락되는 경우가 있어 웹 베이스로 최근 시스템이 변경되었다. 고객은 안랩 홈페이지에서 바이러스 신고센터로 접속, 간단히 증상을 적어 보내기를 하면 안리포트를 통해 비정상 파일들이 수집이 되어 자동으로 리포트가 된다. 이렇게 리포트 된 자료들은 경중을 따지고 악성코드의 성격을 분리해서 각 담당자에게 할당이 된다. 할당된 감염 의심 파일들은 전문가 집단에 의해 분석 및 진단, 악성코드로 판명 시 엔진에 반영이 된다.

“신고센터 절차
웹을 통한 고객 신고 접수- 의심 파일 분석- 악성코드로 판명 시 엔진에 반영”

지금도 지구 어디에서는 바이러스가 생성되고 있다
문의 기준으로 보면 하루에 접수되는 신고는 500 여건에 이른다. 어마어마한 숫자가 아닐 수 없다. 실질적으로 문제가 있어 분석팀에게 전달되는 파일 수는 200여 개 정도이다. 이 중 바이러스인 경우는 7~80% 정도이고 나머지 2~30%는 악성코드 문제가 아닌 하드웨어의 문제인 경우가 많다. 특히 가장 많은 경우 단순 하드웨어 문제나 시스템의 문제로 인한 ‘우리 PC가 느려졌어요’이다.

시스템이 느려지는 이유는 여러 가지가 있을 수 있다. 특히 요즘은 많은 포털이나 웹서비스 회사들이 툴바를 내놓고 있다. 적절하게 툴바를 사용하면 편리한 점이 많지만 인터넷 서핑 중 무조건적으로 ok를 눌러댈 경우 수많은 툴바들이 깔리게 되어 결과적으로 PC는 무한정으로 느려질 수 밖에 없다. 툴바는 악의적인 프로그램이 아니라 애드웨어로 진단 및 제거를 할 수 없다. 다만 웹브라우저 실행 시 문제를 일으킬 수 있으니 주의해야 한다.

왜 V3만 못 잡아

가장 진땀을 빼는 순간은 악성코드가 아닌 다른 문제로 PC가 느려졌는데 고객이 허위백신으로 검사하고 허위 진단 결과를 보고 항의하는 경우이다. 허위백신의 경우 PC 사용자들의 바이러스에 대한 공포심을 이용해 금전 결제를 유도하는 신종 사기 수법으로 최근 많은 문제를 일으키고 있다.

또한 백신 회사별로 진단하는 방법은 천차만별이다. V3의 경우 악성코드 자체의 이름을 진단해서 보여주는 한편 타사의 경우 진단된 악성코드가 감염 된 레지스트리를 전부 보여주어 V3가 못 잡는 악성코드를 타사는 잡는다는 오해를 일으킬 때가 있다. 이는 진단 방법이나 표현의 차이로 백신의 성능과는 무관하다.

안철수연구소의 시큐리티 대응센터는 글로벌 스탠다드에 부합하는 국내 최고 수준이다. 365일 불철주야로 일하는 그들이 있어 우리 PC는 오늘도 안전하게 돌아가는 게 아닌가 한다.@

황당 사례 모음
사례1.
한 고객은 동영상을 실행 할 때 PC가 다운되는 일이 발생하였다며 대용량 파일을 보내왔다. 분석 결과 바이러스 감염이 아니라 코덱의 문제였다. 황당한 것은 보낸 동영상 파일은 음란 동영상이었다.

사례2.
V3로 검사를 했는데도 바이러스가 치료가 되지 않는다는 신고가 있어 원격 지원을 시작했다. 그런데 고객의 PC에 들어가보니 V3는 깔려있지도 않았다.

사례3.
바이러스 감염 신고가 들어와서 원격을 시도해보니 아무런 이상이 없었다. 알고 보니 문제가 있는 것은 집에 있는 PC이고 원격으로 접속한 곳은 회사 PC였다.