NT 기술 이용한 '파일 스트림' 바이러스 논쟁

중앙일보

입력

체코에서 발생한 컴퓨터 바이러스는 4년이나 된 윈도우 NT 기술을 이용, 윈도우 2000 컴퓨터를 감염시키고 있다.

바이러스 백신 소프트웨어 제조업체들은 체코의 신종 바이러스가 출현하자 긴급히 PC를 감염시키는 ''파일 스트림(files streams)''의 분석에 들어갔다.

파일 스트림(리얼네트워크사의 오디오/비디오 스트리밍과 다름)은 프로그램을 중심 코드 부문인 스트림과 일부 대체 부문으로 해체시킨다. 프로그램간 데이터 공유에 사용되는 MS의 윈도우 NT 기술은 윈도우 NT 파일 시스템 즉 NTFS에서 처음 선보였지만 윈도우 2000에도 역시 존재한다.

러시아의 바이러스 백신 연구기업인 캐스퍼스키 랩(Kaspersky Lab)의 유진 캐스퍼스키 사장은 스트림(Stream) 바이러스를 처음으로 집중 조명하면서 "파일 스트림에 숨어있는 악의적인 코드는 탐지가 더욱 어렵다"는 가설을 주장했다.

캐스퍼스키는 모스크바에서의 한 성명을 통해 "분명히 이 바이러스는 컴퓨터 바이러스 제작의 신기원을 이루고 있다. 파일 속에 침투하기 위해 이 바이러스가 사용하는 스트림 컴패니온(Stream Companion) 기술은 바이러스 탐지 및 제거를 어렵게 만든다"고 밝혔다.

캐스퍼스키에 따르면, 대부분의 바이러스 백신 스캐너는 각 프로그램의 주요 스트림을 조사할 뿐이기 때문에 대체 데이터 스트림에 숨어있는 데이터는 놓치기 쉽다고 한다.

새로운 것인가, 아닌가

하지만 다른 이들은 캐스퍼스키의 발표가 속이 뻔히 들여다보이는 속임수라고 비웃었다.

윈도우 NT 보안 관측통인 엔티버그트랙닷컴(NTBugtraq.com)의 편집자인 러스 쿠퍼는 "그들이 입증한 것은 대체 데이터 스트림에 데이터 쓰기(write)를 할 수 있다는 점 뿐"이라고 말한다. 러스 쿠퍼는 지난 1997년 대체 데이터 스트림으로 인해 발생할 가능성이 있는 위험에 대한 논쟁을 잠재웠던 적이 있다. 이 논쟁은 파일 스트림 시스템의 개발로 위험이 발생될 가능성은 희박하다고 결론지으면서 일단락 됐다.

쿠퍼는 "이것은 극히 이론적인 것일 뿐 새로운 것은 못된다"고 말하면서, 이 바이러스가 컴퓨터를 감염시키려면 먼저 프로그램의 주요 스트림을 감염시켜야 한다고 지적했다. 그리고 이것은 현재의 바이러스 백신 프로그램으로 탐지 가능하다는 것이다.

시만텍(Symantec)사의 바이러스 백신 연구소 제품 매니저인 패트릭 마틴은 베니/29A(Benny/29A)와 래터(Ratter)라는 이름을 사용한 2명의 제작자가 만들어낸 이 바이러스는 파일을 감염시키는 것 외에 거의 하는 일이 없으며 그것조차도 제대로 수행하지 못한다고 밝혔다.

패트릭 마틴은 "사용자들은 이 바이러스가 컴퓨터에 침입하는 것에 대해 걱정하지 않아도 된다. 왜냐하면 이 바이러스는 어느 곳으로도 유포되지 않기 때문"이라고 설명했다. @