고너 바이러스, 알고보니「애들 장난이잖아?」

스크립트 키디(기존의 코드를 짜집기해 악성 프로그램을 만드는 아이들) 갱들 간의 치기어린 경쟁이 지난 주 전세계적으로 약 500만 달러 정도의 피해를 입힌 고너(Goner) 웜을 만들어 낸 것으로 보인다.

지난 주말에 열대여섯 살쯤된 4명의 이스라엘 청소년들이 고너를 저작한 혐의로 기소됐다. 이스라엘 법에 따르면, 이들 바이러스 제작 용의자들은 3년∼5년형까지 언도받을 수 있다.

이스라엘 신문 하레츠 데일리(Ha'aretz Daily)에 따르면 펜타곤(Pentagone)으로도 알려진 고너를 만든 10대들은 인터넷 통신을 놓고 영역 분쟁을 벌이고 있었다.

고너의 페이로드(payload) 중 하나는 경쟁 스크립트 키디 갱의 IRC(Internet Relay Chat)에 DoS(denial-of-service) 공격을 퍼붓는 것이었다. 런던에 있는 '더 레지스터(The Register)'에 따르면, 달넷(DALnet) IRC 네트워크의 보안 전문가들은 IRC 채널 #펜타곤엑스(#pentagonex)의 근원을 추적한 결과 기소된 이스라엘 청소년들에 이르게 됐다고 한다.

고너를 만든 이들은 웜이 '그리츠(greetz)' 메시지를 표시하게 함으로써, 그들의 존재를 최초로 드러냈다. 그리츠 메시지는 도시의 스프레이 낙서와 비슷하다.

수년간 스크립트 키디들은 기업, 정부, 교육 웹사이트를 그들의 웹사이트나 그리츠로 바꿔치기 함으로써 이들의 외관을 손상시켜 왔다. 그러나 웹사이트는 정적이기 때문에 이를 쉽게 제거할 수 있다. 그러나 바이러스나 웜같은 이동이 가능한 코드들은 보다 지속적인 인상을 남길 수 있다.

한때 바이러스 작성은 스크립트 키디들에게 품위를 손상시키는 일이었지만, 지금은 분명히 멋있는 일이 돼버렸다. 고너 제작자들은 하루 아침에 유명해졌다.

이메일 검열 서비스 업체 메시지랩스(MessageLabs)에 따르면, 고너는 최대 30개의 이메일 중 하나꼴로 전파됐다. 참고로 아이러브유(ILOVEYOU) 바이러스는 28개 이메일 중 하나꼴로 전파됐다.

시스템이 고너에 감염되면, 우선 전형적인 스크립트 키디의 그리츠를 화면에 표시한다. 그중 한 메시지는 웜의 제작자가 누구인지 밝힌다. 이것은 "Pentagone coded by: suid, tested by: ThE_SkuLL and Isatanl."라고 표시한다.

다른 것은 좀더 전통적인 메시지로 "Greetings to TraceWar, k9unit, stef16, ^Reno. Greetings also to nonick2 out there where ever you are."라고 씌여 있다. 이런 메시지를 표시하는 웜은 이메일과 ICQ 인스턴트 메시징 서비스를 통해 전세계로 전파됐다. 그리고 감염된 시스템의 백신이나 파이어월 제품을 삭제했다.

필자는 한 호기심 많은 IRC 사용자와 'TraceWar'를 사용하는 이스라엘 청소년 간에 기록된 IRC 대화내용 몇 개를 구했다. 히브리어에서 번역된 하나의 대화 내용은 TraceWar가 고너 웜이 "매우 복잡한 코드"라고 자랑하는 부분을 담고 있다.

당신이 고너를 작성했냐는 질문에 TraceWar는 "그렇다"고 대답한다. 분명히 고너의 성공은 그에게 놀라움이었다. 그는 "나는 이를 믿을 수 없다. 우리가 만든 웜이 이렇게까지 유명해지다니"라고 썼다.

뉴스 보도에 따르면, 이들 청소년들은 멜리사 바이러스와 유사한 코드를 작성하길 원했다. 멜리사 바이러스는 백신과 파이어월을 빠져나갈 수 있다. 그러나 실제로는 그들이 음성적인 웹사이트에서 구할 수 있는 기존의 바이러스 코드를 조작한 것 같다.

핵서(haxor)라고 불리는 이들 사이트들은 일반적인 VBS 기반 바이러스를 만들 수 있는 조악한 프로그램들을 게재하거나 서브세븐(SubSeven)이나 백오리피스(BackOrifice)와 같이 이미 만들어진 트로이 목마를 제공한다.

몇몇 사이트들은 최근에 발견된 인터넷 웜 배드트랜스닷비(Badtrans.B)와 같은 키스트로크 기록 프로그램도 제공한다. 이런 핵서 사이트들은 보통 그들의 ISP들이 웹사이트 내용을 발견할 경우 폐쇄된다.

Tracewar는 IRC 대화내용에서 자신이 백신과 파이어월을 무력화하는 부분을 작성했고, 다른 스크립트 키디인 suid가 고너의 주요 부분을 작성했다고 주장했다.

그와 suid가 핵서 사이트에서 구할 수 있는 기존의 코드를 훔쳤냐는 질문에는 "나는 그렇지 않다고 신에게 맹세한다. 사람들은 또한 suid가 훔쳐낸 코드를 수정했다고 하는데 이는 거짓말이다"라고 대답했다.

그는 그리고 "파일만 몇 개 지우는 프로그램을 쓰는 게 뭐 그리 대단한가?"라고 자랑했다. 고너를 보내줄 수 있느냐는 질문에는 "컴퓨터를 포맷해서 가지고 있지 않다"라고 대답했다.

비록 고너가 단시간에 자기 자신을 전파하는 데는 성공했지만 웜에 메시지를 포함한 것은 현명하지 못했다. TraceWar의 별명이 고너 웜에 포함됐기 때문에, 그를 쉽게 찾을 수 있었다.

그에게 접근한 IRC 사용자가 그에게 "너, 바보아냐?"라고 묻자 그렇다라는 뜻인 "나촌(nachon)"이라고 답했다. 이제 국제적으로 유명해진 TraceWar와 그의 친구들은 법정에서 시간을 보내야만 한다.