웜 악성코드의 전파 방식과 방어 전략
자가 복제로 네트워크를 확산하는 웜의 구조와 전파 경로, 주요 사례, 조직 환경에서의 탐지·격리·복구 대응 방안을 정리한다.
2026-08-14 · 최초 발행 2025-05-26
웜은 왜 짧은 시간에 피해 범위를 넓히는가
웜(Worm)은 스스로 복제하는 악성 소프트웨어다. 사용자 개입 없이 네트워크를 통해 자동 확산하며, 호스트 프로그램에 부착하지 않고 독립적으로 실행된다는 점에서 바이러스와 구분된다.
목적은 시스템 자원 소모와 네트워크 대역폭 고갈에 그치지 않는다. 백도어 설치, 데이터 유출처럼 추가 공격을 위한 기반을 만들 수도 있다. 한 호스트의 감염이 다시 다음 대상을 찾는 구조이므로, 확산 속도가 빨라지면 글로벌 네트워크까지 짧은 시간 안에 영향을 받을 수 있다.
확산 방식이 바뀌어 온 과정
1988년 모리스 웜(Morris Worm)은 최초의 대규모 인터넷 웜으로, 약 6,000대 컴퓨터를 감염시켰다. 이는 당시 인터넷 연결 컴퓨터의 10%에 해당했다.
이후 웜은 전파 경로와 공격 대상을 넓혀 왔다.
- 2000년 ILOVEYOU 웜은 이메일로 퍼져 전 세계적으로 100억 달러 이상의 피해를 일으켰다.
- 2003년 SQL Slammer는 단 10분 만에 네트워크 대역폭을 포화시켜 글로벌 인터넷 장애를 유발했다.
- 2004년 Sasser는 윈도우 취약점을 공격해 주요 기업 및 정부 기관 시스템을 마비시켰다.
- 2017년 WannaCry는 랜섬웨어 기능을 결합해 150개국 30만 대 이상 컴퓨터를 감염시켰다.
취약한 대상을 찾고 감염을 반복하는 흐름
웜은 취약점을 스캔하고, 공격 가능한 시스템을 찾아 코드를 전송한 뒤, 새로 감염된 호스트에서 다시 탐색을 반복한다.
전파 경로는 하나로 고정되지 않는다. 이메일 첨부파일이나 본문 링크는 주소록을 경유해 다음 피해자에게 전달될 수 있다. 운영체제와 네트워크 서비스의 취약점은 자동 스캔과 공격의 대상이 되며, USB 드라이브 같은 이동식 저장 매체도 시스템 간 전파 통로가 된다.
인스턴트 메시징과 SNS에서는 악성 링크가 배포될 수 있다. 공개되지 않은 제로데이 취약점을 활용하는 경우에는 더 고도화된 전파가 가능하다.
전파 경로에 따라 달라지는 웜의 모습
이메일 웜은 첨부파일 또는 본문 링크로 퍼지고, 감염된 사용자의 주소록을 스캔해 다른 수신자에게 자동 전송한다. MyDoom, Netsky, ILOVEYOU가 여기에 속한다.
네트워크 웜은 프로토콜과 서비스의 취약점을 이용한다. 포트 스캐닝으로 취약 시스템을 식별한 뒤 자동 공격하며, SQL Slammer, Blaster, Code Red가 사례다.
IM(Instant Messaging) 웜은 메신저 애플리케이션의 친구 목록에 악성 링크를 자동 전송한다. Kelvir와 Bropia가 이에 해당한다.
파일 공유 웜은 P2P 네트워크에서 인기 파일로 위장한다. 다운로드된 파일이 실행되면 감염이 이어질 수 있으며 Nugache와 Storm이 사례다.
IoT 웜은 스마트 가전, 라우터 같은 IoT 기기의 취약점을 공격해 대규모 봇넷 구성에 활용된다. Mirai와 Reaper가 대표적이다.
페이로드를 중심으로 결합되는 기능
현대적 웜은 취약점 탐색과 자기복제만으로 구성되지 않는다. 악성 기능을 실행하고, 보안 제품을 우회하며, 외부 제어 서버와 통신하는 기능이 함께 들어갈 수 있다.
취약점 탐색 엔진은 네트워크 스캐닝으로 공격 가능한 시스템을 식별한다. 자기복제 모듈은 새 시스템으로 웜 코드를 복사하고, 페이로드 실행 모듈은 데이터 도난이나 랜섬웨어 같은 악성 기능을 수행한다. 회피 기술은 안티바이러스와 보안 솔루션 우회를 노리며, 통신 모듈은 C&C(Command and Control) 서버에서 명령을 수신한다.
WannaCry와 Mirai가 보여 준 확산 피해
WannaCry 랜섬웨어 웜
2017년 WannaCry는 EternalBlue 취약점(MS17-010)을 악용했다. 24시간 내 150개국 30만 대 이상을 감염시켰으며, 피해 규모는 40억 달러 이상으로 추정됐다.
랜섬웨어와 웜을 결합해 비트코인 지불을 요구한 것이 특징이다. 영국 NHS 의료 시스템, 스페인 텔레포니카, 독일 철도 등 주요 인프라가 영향을 받았다.
Mirai 봇넷 웜
2016년 Mirai는 IoT 기기의 기본 계정/패스워드 취약점을 공격했다. IP 카메라, 라우터, DVR 등 IoT 기기를 대상으로 최대 60만 대 이상을 감염시켰고 Dyn DNS 서비스 다운으로 이어졌다.
소스코드가 공개된 뒤 다양한 변종이 출현했다. 이 봇넷은 1Tbps 이상의 역대 최대 규모 DDoS 공격을 발생시켰다.
예방부터 복구까지 이어지는 대응
예방 단계에서는 OS와 애플리케이션의 최신 보안 업데이트를 유지해야 한다. 중요 시스템을 네트워크 세그먼테이션으로 격리하면 확산 범위를 제한할 수 있다. 방화벽과 IPS는 비정상 트래픽 및 공격 패턴을 탐지·차단하는 데 쓰이며, 최신 안티바이러스와 EDR 솔루션은 엔드포인트 보안을 강화한다. 의심스러운 첨부파일과 링크를 실행하지 않는 이메일 관행도 필요하다.
탐지에는 비정상 트래픽 패턴을 찾는 네트워크 모니터링, 시스템 활동의 이상 징후를 보는 행위 기반 탐지, 알려진 웜 패턴을 식별하는 시그니처 기반 탐지, 가짜 취약 시스템으로 활동을 유도하는 허니팟이 활용된다.
감염이 확인되면 격리와 분석, 제거, 복구, 패치, 모니터링 강화가 순서대로 연결되어야 한다.
클라우드와 AI까지 넓어지는 위협 범위
현대 웜은 랜섬웨어, 암호화폐 채굴, 데이터 유출 같은 기능과 결합하고 있다. APT(지능형 지속 위협) 공격에서는 초기 침투와 내부 확산 수단으로 활용될 수 있다.
클라우드 환경과 컨테이너 취약점을 노리는 유형도 등장하고 있다. 5G 네트워크의 확산은 웜 전파 속도를 높일 전망이며, AI 기술을 활용한 지능형 웜의 출현 가능성도 증가하고 있다. 정기 패치, 네트워크 세분화, 사용자 교육, 보안 솔루션 배포를 함께 운영해 공격에 대한 회복력을 갖춰야 한다.