바이러스의 정의

바이러스의 정의

- 악성코드 중에 가장 기본적인 형태

- 사용자 컴퓨터(네트워크로 공유된 컴퓨터 포함) 내에서 사용자 몰래 프로그램이나 실행 가능한 부분을 변형해 자신 또는 자신의 변형을 복사하는 프로그램을 말함

- 최초의 악성 코드가 만들진 1980년대 이후에서 2000년대 초반까지 악성 코드의 주류를 차지

1세대 : 원시형 바이러스

부트 바이러스

플로피 디스크나 하드 디스크의 부트 섹터에 감염되는 바이러스로, 부팅할 때 자동으로 동작

* 1단계 : POST

POST는 하드웨어 자체가 시스템에 문제가 없는지 기본 사항을 스스로 체크하는 과정

BIOS에 의해서 실행되는데, POST 도중 하드웨어에서 문제가 발견되면 사용자에게 여러 방법으로 그 문제를 알림.

* 2단계 : CMOS

CMOS에서는 기본 장치에 대한 설정과 부팅 순서를 설정할 수 있음.

BIOS는CMOS에서 이런 기본 설정 사항을 읽어 시스템에 적용

3단계 : 운영체제 위치 정보 로드

윈도우 2003 이전 : CMOS 정보를 읽어 부팅 매체를 확인한 뒤 부팅 매체의 MBR(Master Boot Record) 정보를 읽음.

MBR은 운영체제가 어디에, 어떻게 위치해 있는지를 식별하여 컴퓨터의 주 기억장치에 적재될 수 있도록 하기 위한 

 정보로, 하드 디스크나 디스켓의 첫 번째 섹터에 저장되어 있음.

MBR은 메모리에 적재될 운영체제가 저장된 파티션의 부트 섹터 레코드를 읽을 수 있는 프로그램 

이때 부트 섹터 레코드는 운영체제의 나머지 부분을 메모리에 적재시키는 프로그램을 담고 있음.

윈도우 2008 이후 : 윈도우 부트 서브 시스템(Window Boot Manager)이 실행됨.

윈도우 부트 서브 시스템은 bootmgr.exe가 실행되고 부트 설정 데이터(BCD, Boot Configuration Data)를 읽어 실행 가능한 운영체제의 목록을 보여줌. 이것은 NTDLR이 boot.ini을 읽어 실행 가능한 운영체제의 목록을 보여주는 것과 같음.

부트 바이러스는 이 3단계에서 동작.

부트 바이러스에 감염된 플로피 디스크로 운영체제를 구동시키면 바이러스가MBR과 함께 PC 메모리에 저장되고 부팅 

 후에 사용되는 모든 프로그램에 자신을 감염시킴.

부트 바이러스는 브레인, 몽키, 미켈란젤로 바이러스가 있음.

파일 바이러스

* 파일을 직접 감염시키는 바이러스

* 하드 디스크가 PC에서 일반화되면서 그 대안으로 나온 형태

* 일반적으로 COM이나 EXE와 같은 실행 파일과 오버레이 파일, 디바이스 드라이버 등에 감염 

* 전체 바이러스의 80% 이상을 차지

* 바이러스에 감염된 실행 파일이 실행될 때 바이러스 코드를 실행.

2세대 : 암호형 바이러스

* 바이러스 코드를 쉽게 파악하고 제거할 수 없도록 암호화한 바이러스

* 바이러스 제작자들은 백신의 진단을 우회하기 위해 자체적으로 코드를 암호화하는 방법을 사용하여 백신 프로그램이 진단하기 힘들게 만들기 시작함.

* 바이러스가 동작할 때 메모리에 올라오는 과정에서 암호화가 풀림. 이를 이용하여 메모리에 실행되어 올라온 바이러스를 거꾸로 분석하여 감염파일과 바이러스를 분석하고 치료

* 슬로우(Slow), 캐스케이드(Cascade), 원더러(Wanderer), 버글러(burglar) 등이 있음.

3세대 : 은폐형 바이러스

* 바이러스에 감염된 파일들이 일정 기간의 잠복기를 가지도록 만들어진 바이러스

* 확산되기도 전에 바이러스가 활동하기 시작하면 다른 시스템으로 전파되기 힘들기 때문.

이런 이유로 감염이 되더라도 실제로 바이러스가 동작하기 전까지 쉽게 그 존재를 파악하기 힘들었음. 

* 브레인(Brain), 조시(Joshi), 512, 4096 바이러스 등이 있음. 

4세대 : 다형성 바이러스

* 백신 프로그램이 특정 식별자를 이용하여 바이러스를 진단하는 기능을 우회하기 위해 만들어진 바이러스.

* 다형성 바이러스는 코드 조합을 다양하게 할 수 있는 조합(Mutation) 프로그램을 암호형 바이러스에 덧붙여 감염

실행될 때마다 바이러스 코드 자체를 변경시켜 식별자로 구분하기 어렵게 함.

5세대 : 매크로 바이러스

* 기존의 바이러스는 실행할 수 있는 파일(COM이나 EXE)에 감염된 반면, 매크로 바이러스는 엑셀 또는 워드와 

 같은 문서 파일의 매크로 기능을 이용하기 때문에 워드나 엑셀 파일을 열 때 감염됨.

* 워드 컨셉트(Word Concept), 와쭈(Wazzu), 엑셀-라룩스(Laloux) 바이러스 등이 있음.

5세대 : 매크로 바이러스

매크로 바이러스의 증상

문서가 정상적으로 열리지 않거나 암호가 설정되어 있음.

문서 내용에 깨진 글자나 이상한 문구가 포함되어 있음.

도구 메뉴 중 매크로 메뉴가 실행할 수 없게 잠겨 있음.

액셀이나 워드 작업 중 VB(Visual Basic) 편집기의 디버그 모드가 실행됨.

차세대 바이러스

최근에는 매크로 바이러스에서 나타난 스크립트 형태의 바이러스가 더욱 활성화되고 있음.

대부분 네트워크와 메일을 이용하여 전파되는 방식 

바이러스는 단순히 데이터를 파괴하고 다른 파일을 감염시키는 형태에서 벗어나, 사용자 정보를 빼내가거나 시

 스템을 장악하기 위한 백도어 기능을 가진 웜의 형태로 진화하고 있음

[출처] 바이러스란?|작성자 Zealous