트로이목마 악성코드의 위장 방식과 대응 전략

정상 프로그램의 외형으로 침투하는 악성코드

트로이목마는 겉보기에는 유용한 프로그램, 게임, 미디어 파일처럼 보이지만 내부에서는 악의적인 기능을 수행하는 악성 소프트웨어다. 고대 그리스 신화의 이름을 빌린 이유도 이 위장 방식에 있다.

바이러스와 달리 스스로 복제하지는 않는다. 대신 사용자가 파일을 내려받아 실행하도록 유도하고, 실행 이후 백도어 개설, 정보 유출, 시스템 손상 같은 기능을 수행한다. 사용자가 알아차리지 못한 상태에서 장기간 동작하며 공격자에게 정보나 시스템 제어권을 넘길 수도 있다.

트로이목마를 구분하는 특징은 다음과 같다.

• 유용한 프로그램이나 게임, 미디어 파일로 위장한다.
• 자가 복제 기능이 없다.
• 설치와 실행에는 사용자의 직접적인 개입이 필요하다.
• 설치 후 백도어 개설, 정보 유출, 시스템 손상 등의 기능을 수행한다.
• 활동 중 사용자에게 드러나지 않도록 은닉성을 유지한다.

기능에 따라 달라지는 위협 형태

백도어 트로이목마는 외부 공격자가 피해 시스템에 무단으로 접근할 수 있는 은밀한 통로를 만든다. Gh0st RAT, DarkComet, NetBus가 예로 언급된다.

⤢✕

뱅킹 트로이목마는 금융 정보 탈취를 목적으로 설계된다. 온라인 뱅킹 세션을 가로채거나 로그인 자격 증명을 훔치며 Zeus, SpyEye, Dridex가 해당 유형에 속한다.

다운로더 트로이목마는 추가 악성코드를 내려받아 설치하는 초기 감염 도구다. 주로 첫 감염 단계에서 활용되며 Emotet, Trickbot이 예로 제시된다.

랜섬웨어 트로이목마는 사용자 파일을 암호화한 뒤 복호화 키의 대가로 몸값을 요구한다. Ryuk, Maze, WannaCry의 배포 방식이 관련 사례다.

스파이웨어 트로이목마는 사용자 활동 감시, 키로깅, 화면 캡처를 수행한다. DarkHotel과 FinFisher가 여기에 포함된다. 루트킷 트로이목마는 시스템 깊숙이 숨어 탐지를 피하면서 관리자 권한을 확보하려 하며 ZeroAccess, Necurs가 예다.

사용자를 거치는 감염 경로

트로이목마는 자동 전파보다 사용자의 판단과 실행을 경유하는 경우가 많다. 이메일 첨부파일, 악성 웹사이트, 소프트웨어 번들링, 가짜 업데이트, 피싱 링크, USB 드라이브, 크랙 또는 불법 소프트웨어가 대표적인 유입 경로다.

⤢✕

이메일 첨부파일은 정상 문서나 파일로 위장한다. 악성 웹사이트는 드라이브-바이 다운로드 공격을 통해 설치를 시도할 수 있다. 정상 소프트웨어에 섞여 제공되는 번들, 업데이트 알림으로 꾸민 파일, 신뢰할 수 있는 사이트처럼 보이는 피싱 링크도 같은 목적에 사용된다. 외부 저장 매체와 불법 소프트웨어 또는 활성화 도구 역시 유입 통로가 될 수 있다.

실행 뒤 이어지는 침투와 통신

사용자가 파일을 내려받아 실행하면 트로이목마는 시스템에 침투한 뒤 정상 기능을 제공하는 것처럼 보이며 의심을 피한다. 그 사이 악성 페이로드를 실행하고, 재부팅 후에도 동작하도록 자동 시작 설정을 통해 지속성을 확보할 수 있다. 이후 명령 및 제어(C&C) 서버와 연결해 공격자의 명령을 받고, 수집한 데이터를 전송한다.

⤢✕

이 과정은 초기 침투, 위장 활동, 페이로드 실행, 지속성 확보, C&C 통신, 악성 활동, 데이터 유출로 이어진다. 악성 활동에는 정보 탈취나 추가 악성코드 다운로드가 포함될 수 있다.

알려진 공격 사례가 보여주는 범위

Zeus(Zbot) 뱅킹 트로이목마

Zeus는 2007년 처음 발견된 금융 정보 탈취 트로이목마다. 피싱 이메일과 드라이브-바이 다운로드를 통해 주로 확산됐고, 키로깅·폼 가로채기·웹 인젝션 기술로 뱅킹 자격 증명을 탈취했다. GameOver Zeus, Sphinx 등의 변형과 파생 악성코드가 지속적으로 발생했으며, 전 세계적으로 수십억 달러의 금융 피해를 초래했다.

Emotet 다목적 트로이목마

Emotet은 2014년 뱅킹 트로이목마로 시작해 다기능 위협으로 진화했다. 정교한 이메일 스피어피싱 캠페인으로 확산됐으며, 모듈식 구조를 통해 다양한 악성 기능을 수행할 수 있다. TrickBot, QakBot, Ryuk 랜섬웨어 등의 배포자 역할도 했다. 2021년 국제 법 집행기관의 공조로 일시 중단됐으나 이후 재등장했다.

DarkHotel 타겟형 스파이웨어

DarkHotel은 2007년부터 활동 중인 정교한 스파이웨어 캠페인이다. 고위 경영진과 정부 관료 등을 주된 표적으로 삼고, 호텔 Wi-Fi 네트워크를 통해 표적을 공격하는 방식을 사용했다. 소프트웨어 업데이트로 위장한 트로이목마를 배포했으며 산업 스파이와 국가 지원 해킹 활동으로 의심된다.

예방부터 감염 대응까지

예방 단계에서는 공식 웹사이트와 앱스토어처럼 신뢰할 수 있는 소스에서만 소프트웨어를 내려받아야 한다. 의심스러운 발신자나 예상하지 못한 이메일 첨부파일을 열지 않고, 운영체제와 응용 프로그램을 최신 상태로 유지하는 것도 필요하다. 고유하고 복잡한 암호를 사용하고 정기적으로 변경하며, 일상 작업에 관리자 계정을 쓰지 않는 최소 권한 원칙도 적용 대상이다.

기술적 통제에는 실시간 보호 기능을 갖춘 안티바이러스·안티멀웨어, 인바운드와 아웃바운드 트래픽을 감시·제어하는 방화벽, 비정상 네트워크 활동 모니터링이 포함된다. 화이트리스트 기반 애플리케이션 제어와 의심 파일을 격리 환경에서 실행하는 샌드박스 기술도 활용할 수 있다.

감염이 확인되거나 의심되면 해당 시스템을 즉시 네트워크에서 분리해야 한다. 이후 전문 악성코드 제거 도구로 정밀 스캔을 수행하고, 포렌식 분석을 통해 침해 범위와 데이터 유출 여부를 확인한다. 필요한 경우 클린 백업으로 시스템을 복원하고 모든 계정의 비밀번호를 즉시 변경한다.

바이러스·웜·랜섬웨어와 구분되는 지점

특성	트로이목마	바이러스	웜	랜섬웨어
자가복제	없음	있음	있음	일반적으로 없음
확산 방식	사용자 개입 필요	파일 감염	자동 네트워크 확산	다양한 방식
주요 목적	다양(백도어, 스파이웨어 등)	파일 손상/방해	네트워크 자원 소모	파일 암호화/금전 요구
은밀성	높음	중간	낮음(트래픽 발생)	중간(암호화 전까지)
탐지 난이도	높음	중간	낮음	중간

트로이목마는 자가 복제 여부보다 위장과 사용자 실행에 의존한다는 점에서 구별된다. 수행 목적도 단일하지 않아 백도어, 스파이웨어, 금융 정보 탈취, 추가 악성코드 배포처럼 여러 형태로 나타날 수 있다.

넓어지는 공격 표면

트로이목마는 안티바이러스와 보안 솔루션의 탐지를 우회하는 회피 기술을 고도화하고 있다. 인공지능을 활용한 타겟팅과 행동 패턴 개선, 신뢰할 수 있는 소프트웨어 공급망을 통한 배포 확대도 변화 방향으로 언급된다.

스마트홈과 산업용 IoT를 포함한 새로운 공격 표면, 스마트폰과 태블릿을 겨냥하는 모바일 위협도 범위에 들어온다. 데이터 유출과 랜섬웨어 기능을 결합한 복합 위협, 특정 조직이나 개인을 노리는 맞춤형 트로이목마 역시 증가하고 있다.

트로이목마 방어는 보안 솔루션만으로 끝나지 않는다. 다운로드와 이메일을 다루는 사용자의 보안 인식, 운영체제 패치와 보안 소프트웨어 업데이트, 중요 데이터 백업을 함께 갖춘 다층적 방어가 필요하다.