바이러스 감염 방식과 탐지·대응 전략
자가복제 악성코드인 바이러스의 감염 유형과 실행 과정, 주요 피해 사례, 탐지 기법과 조직의 대응 체계를 정리한다.
2026-08-14 · 최초 발행 2025-06-15
파일 손상에서 원격 통제까지 이어지는 감염 위협
바이러스는 스스로 복제해 시스템이나 네트워크를 감염시키는 악성 코드다. 호스트 프로그램에 기생하면서 다른 파일로 코드를 전파하고, 특정 날짜나 이벤트를 계기로 활성화된 뒤 페이로드를 실행한다.
감염은 잠복기(dormant phase), 전파기(propagation phase), 활성화(triggering phase), 실행기(execution phase)를 거쳐 진행될 수 있다. 이 과정에서 성능 저하나 파일 손상에 그치지 않고 정보 유출, 권한 상승, 원격 제어로 이어질 수 있다.
감염 대상과 코드 변화 방식
부트섹터 바이러스(Boot Sector Virus)는 하드 디스크나 플로피 디스크의 부트 섹터를 감염시킨다. 시스템이 부팅될 때 먼저 실행돼 메모리에 상주하며, Form과 Michelangelo가 예시다.
파일 감염 바이러스(File Infector Virus)는 .exe, .com 같은 실행 파일을 대상으로 한다. 감염된 프로그램이 실행될 때 활성화되며, 원본 코드를 덮어쓰는 오버라이팅(Overwriting), 파일 앞부분에 삽입하는 프리펜딩(Prepending), 파일 끝에 붙는 어펜딩(Appending) 방식이 있다. Jerusalem과 Cascade가 여기에 속한다.
매크로 바이러스(Macro Virus)는 Word, Excel 같은 문서 파일의 매크로 기능과 애플리케이션 스크립팅 언어를 이용한다. Melissa와 Concept이 대표 사례다.
다형성 바이러스(Polymorphic Virus)는 감염 때마다 코드를 변형해 탐지를 피한다. 암호화 알고리즘과 변형 엔진을 사용하며 Tequila, Chameleon이 예시다. 메타모픽 바이러스(Metamorphic Virus)는 이보다 더 나아가 코드 구조 자체를 완전히 바꾼다. 바이러스 본체를 재작성해 시그니처 기반 탐지를 무력화하며 Zmist와 Simile이 해당한다.
메모리 상주 여부와 독립 전파의 차이
상주형 바이러스(Resident Virus)는 메모리에 남아 시스템 호출을 가로채며 지속적으로 활동한다. Frodo와 CMJ가 예시다. 비상주형 바이러스(Non-Resident Virus)는 메모리에 상주하지 않고 특정 조건에서만 활성화된 뒤 활동을 마치면 메모리에서 제거된다. Sunday와 Vienna가 이에 해당한다.
웜(Worm)은 자체 전파 능력을 갖춘 독립형 프로그램으로, 사용자 개입 없이 네트워크를 통해 확산한다. ILOVEYOU, WannaCry, Stuxnet이 예시다. 트로이 목마(Trojan Horse)는 정상 프로그램으로 위장하지만 자가복제 능력은 없으며, 백도어 설치 같은 위험 행위를 수행한다. Zeus와 DarkComet이 여기에 속한다.
사용자가 마주치는 감염 경로
이메일 첨부파일은 사회공학적 기법으로 사용자의 실행을 유도하는 경로다. 악성 웹사이트 방문 과정에서는 드라이브-바이 다운로드가 발생할 수 있고, 취약한 브라우저나 플러그인이 공격 대상이 된다.
USB와 외장 하드 같은 이동식 저장 매체도 전파 수단이다. 자동실행(AutoRun) 기능이 악용될 수 있다. 공유 폴더와 네트워크 드라이브를 통한 확산, 취약한 네트워크 서비스 공격도 주요 감염 경로다.
감염이 남기는 운영·보안·금전적 손실
바이러스는 시스템 리소스를 과도하게 사용해 성능을 낮추고, 중요 파일을 파괴하거나 암호화할 수 있다. 시스템 충돌과 블루스크린을 유발하거나 MBR(Master Boot Record)을 손상시켜 부팅 자체를 불가능하게 만들기도 한다.
보안 측면에서는 개인정보와 기업 기밀 탈취, 시스템 관리자 권한 획득, C&C(Command and Control) 서버를 통한 원격 통제가 문제다. 감염 시스템이 봇넷의 일부가 되면 DDoS 공격 등에 동원될 수 있다.
랜섬웨어는 파일 암호화 후 복호화 대가를 요구한다. 온라인 뱅킹 정보와 신용카드 정보 탈취, 시스템 리소스를 이용한 불법 암호화폐 채굴, 시스템 복구와 데이터 복원에 드는 비용도 감염 피해에 포함된다.
사례가 남긴 보안 운영의 과제
Morris Worm (1988)은 최초의 인터넷 웜으로 인식되는 악성코드다. 버퍼 오버플로우와 취약한 패스워드 등 다중 취약점을 공격했고, 의도치 않은 급속 전파로 당시 인터넷의 10%를 감염시켰다. 보안 취약점과 자동화된 공격의 위험성을 드러낸 사례다.
ILOVEYOU Virus (2000)는 VBS(Visual Basic Script) 기반 이메일 웜으로, LOVE-LETTER-FOR-YOU.TXT.vbs 형태로 배포됐다. 전 세계적으로 약 100억 달러의 피해가 추정됐으며, 사회공학 기법과 이메일 첨부파일의 위험성을 보여줬다.
Conficker (2008)는 Windows 운영체제 취약점을 공격한 웜이다. 고급 도메인 생성 알고리즘으로 C&C 서버 차단을 피했고, 최대 1500만 대 이상의 컴퓨터를 감염시킨 것으로 추정된다. 패치 관리와 네트워크 보안 강화의 필요성이 이 사례에서 확인됐다.
WannaCry (2017)는 EternalBlue 취약점을 기반으로 SMB 프로토콜 취약점을 이용해 자동 전파한 랜섬웨어다. 150개국 23만대 이상을 감염시키고 의료기관 등 중요 인프라를 마비시켰다. 제로데이 취약점 관리와 정기적 백업의 중요성을 보여준다.
알려진 패턴과 실행 행위를 함께 감시하기
시그니처 기반 탐지는 알려진 바이러스 패턴을 매칭한다. 탐지 속도가 빠르고 오탐률이 낮지만, 신종과 변종 바이러스에는 한계가 있다.
휴리스틱 분석은 의심스러운 행동 패턴을 근거로 알려지지 않은 바이러스를 탐지할 수 있다. 대신 상대적으로 오탐률이 높다. 행동 기반 탐지는 프로그램 실행 중의 행위를 모니터링해 비정상적인 시스템 접근 시도를 감지하지만, 시스템 리소스 사용량이 증가할 수 있다.
샌드박스 분석은 격리된 환경에서 의심 파일을 실행하고 분석하는 방식이다. 실제 환경에 영향을 주지 않고 분석할 수 있으나 시간이 들고 회피 기법도 존재한다.
방어 체계는 엔드포인트, 네트워크, 패치, 사용자 영역을 함께 다뤄야 한다. 안티바이러스와 엔드포인트 보안 솔루션은 실시간 파일 스캔과 행동 모니터링을 수행하며 Norton, McAfee, Kaspersky, Windows Defender가 예시다. 방화벽과 네트워크 트래픽 모니터링, IDS/IPS는 네트워크 계층을 보호하고 Cisco Firepower, Palo Alto Networks가 관련 예시다.
운영체제와 애플리케이션은 정기적으로 업데이트하고 취약점 패치를 신속히 적용해야 한다. WSUS(Windows Server Update Services)와 Patch Management 솔루션을 활용할 수 있다. 사용자가 의심스러운 이메일과 링크를 판별하도록 교육하는 일도 필요하며, 피싱 시뮬레이션과 보안 인식 캠페인이 예시다.
격리부터 복구와 사후 분석까지
사전 예방 단계에서는 보안 가이드라인과 절차를 수립하고 정기적인 보안 점검 및 평가를 수행한다. 백업은 3-2-1 전략, 즉 3개 복사본, 2개 매체, 1개 오프사이트를 기준으로 구성하며 정기적인 복원 테스트가 필요하다. 최소 권한 원칙과 중요 시스템의 다중 인증(MFA)도 접근 제어의 기반이다.
감염이 의심되면 우선 해당 시스템을 네트워크에서 격리하고, 증거 보존을 위해 메모리 덤프와 로그를 수집한다. 이후 안티바이러스 소프트웨어로 제거하고, 필요하면 전문가 지원을 요청한다.
복구 단계에서는 백업으로 시스템과 데이터를 복원하고 손상 파일을 복구한 뒤 무결성을 검증한다. 사후에는 감염 원인과 경로를 분석해 유사 사고를 막기 위한 보안 강화 방안을 마련한다.
새로운 실행 환경으로 넓어지는 위협
기계학습을 활용한 AI 기반 바이러스, 스마트 기기와 산업 제어 시스템을 겨냥하는 IoT 타겟 바이러스, 디스크 흔적을 남기지 않는 메모리 기반 파일리스 멀웨어, 신뢰할 수 있는 소프트웨어 업데이트 채널을 악용하는 공급망 공격이 등장하고 있다.
대응 기술도 인공지능 기반 이상 탐지와 행동 분석, 모든 접근을 의심하고 지속적으로 검증하는 제로트러스트 아키텍처, 보안 오케스트레이션·자동화·대응 체계인 SOAR, 위협 정보 공유와 선제적 대응을 위한 사이버 위협 인텔리전스로 확장된다.
바이러스 대응은 단순한 파일 검사로 끝나지 않는다. 기술적 보안 조치와 사용자 인식 제고, 보안 거버넌스를 함께 운영해야 하며, AI와 IoT의 확산에 맞춰 선제적이고 지속적인 대응 체계를 유지해야 한다.