더 큰 문제는 감염된 PC 이용자가 웹사이트의 파일을 관리하는 FTP 프로그램을 가지고 있을 경우 ID와 비밀번호를 빼내 해당 웹사이트에 악성코드를 자동적으로 심어놓는다는 데 있다. 해당 페이지를 열어본 다른 이용자들도 악성코드 위협에 노출되는 것이다.

악성코드에 감염된 PC에서는 △마이크로소프트(MS)사의 업데이트나 일부 백신 소프트웨어 사이트로의 접속이 불가능해지고 △cmd.exe와 regedit.exe 파일을 실행할 수 없게 되며 △웹 브라우저인 익스플로러가 이유없이 종료되는 등의 증상이 나타나는 것으로 알려졌다. 또 검색 사이트 구글의 검색 결과를 특정 웹사이트로 강제 이동시키는 증상도 있으며 경우에 따라서는 부팅이 되지 않기도 한다.

이스트소프트 관계자는 “현재 일본에서 주로 만화나 애니메이션, 게임 관련 사이트들이 Geno 악성코드의 숙주가 된 사례가 많다”며 “어도비(Adobe)사의 아크로뱃(Acrobat)이나 플래쉬(Flash) 취약점을 가지고 있는 국내 누리꾼이 이들 사이트에 접근할 경우 악성코드에 감염될 수 있다”고 경고했다. 현재 안철수연구소와 이스트소프트 등이 21일자 변종에 대한 백신을 가지고 있는 상태다.

■변종 나날이 늘어… 해외선 비상

국내에는 그동안 유입이 되지 않았지만, GENO, 혹은 검블러(Gumblar) 악성코드는 급격한 확산 속도로 인해 지난 4월부터 해외에서 악명을 떨쳐 왔다. 구글 툴바의 세이프 브라우징 기능에 따르면 중국 서버인 ‘gumblar.cn’을 거점으로 삼은 이 악성코드는 현재 전세계 1만 7000여개의 도메인, 변종인 ‘martuz.cn’은 1만 4000여개 도메인에서 검출된 것으로 나타났다.

이에 따라 최근 미 국토안보부 긴급보안대응팀(USTR)과 각 보안업체들은 웹사이트로부터 자바 스크립트를 이용한 공격이 급격히 증가하고 있다고 강력히 경고하고 나섰다. 보안업체 소포스는 공식 블로그를 통해 “지금까지 가장 유행했던 공격 페이스의 무려 6배 속도”라고 밝혔다. 시만텍과 카스퍼스키는 각각 해당 악성코드를 ‘Infostealer.Daonol’, ‘Trojan-Dropper.Win32.Agent.apfn’로 지정해 변종 확산에 총력을 기울이고 있다. 마이크로소프트에서도 ‘Win32/Daonol.F’라는 별도 코드로 관리하고 나섰다.

현재는 해당 악성코드를 전파하는 2개 서버는 차단된 상태이나, 상위 서버의 주소를 바꾸어 재전파할 가능성이 매우 높아 보안이 취약한 다른 국내 사이트도 언제든지 숙주에 감염될 수 있는 것으로 분석됐다. 특히 사이트를 보유한 웹마스터들은 백신 검사가 필수적이다.

보안업계 관계자는 “어도비(Adobe)사의 아크로벳(Acrobat)과 플래쉬(Flash) 프로그램의 보안패치 설치를 권고하고 백신의 실시간 감시 기능을 꼭 활성화해야 한다”고 당부했다.

/fxman@fnnews.com 백인성기자