제우스(Zeus) 트로이 목마란? 정의부터 제거·예방 방법까지 총정리

제우스 트로이 목마란 무엇인가요?

제우스 트로이 목마(Zeus Trojan)는 Zbot 또는 ZeuS라고도 불리며, 컴퓨터를 감염시켜 사용자를 몰래 감시하고 민감한 개인 정보를 수집하는 악성코드입니다. 제우스는 감염된 컴퓨터를 봇넷(botnet)이라는 거대한 원격 조종 네트워크에 편입시켜, 공격자가 원격으로 통제할 수 있게 만듭니다.

제우스는 2010년대 초반에 절정기를 맞았지만, 2011년 소스 코드가 유출되면서 누구나 이 코드를 기반으로 자신만의 악성코드를 만들 수 있게 되었습니다. 그 결과 제우스 기반의 다양한 악성코드 변종이 등장해 광범위한 피해를 일으켰고, 각각 악성코드 역사상 악명 높은 사례로 자리 잡았습니다.

제우스 트로이 목마의 작동 원리

제우스 트로이 목마는 여러 악성 코드 요소들이 서로 협력하여 컴퓨터를 감염시키는 패키지 형태입니다. 모든 트로이 목마형 악성코드와 마찬가지로, 제우스도 사용자가 스스로 설치하도록 속여야 합니다. 사용자는 악성코드를 유용한 프로그램으로 착각하고 기꺼이 기기에 받아들이죠. 일단 내부에 들어온 제우스는 그리스 신화의 목마처럼 숨겨둔 악성 페이로드를 퍼뜨립니다.

제우스는 어떻게 컴퓨터에 침투하나요?

제우스는 주로 두 가지 경로를 통해 피해자를 감염시킵니다: 피싱 이메일과 악성 다운로드입니다. 피싱 공격은 사람들을 속여 악성 첨부 파일을 다운로드하고 열도록 유도합니다. 파일을 여는 순간 제우스 악성코드 패키지가 설치됩니다. 또한 피싱 이메일에는 감염된 웹사이트로 연결되는 링크가 포함되어 있기도 합니다.

제우스는 온라인 광고에도 숨어 있을 수 있습니다. 클릭하는 순간 피해자의 컴퓨터에 악성코드가 다운로드되는 방식입니다. 감염된 웹사이트는 방문하는 것만으로도 자동으로 제우스를 다운로드시킬 수 있으며, 정상적인 제품 다운로드 파일에 위장해 숨어 있는 경우도 있습니다.

제우스 트로이 목마는 주로 피싱 이메일이나 악성 온라인 광고를 통해 피해자를 감염시킵니다.

제우스는 어떤 행동을 하나요?

제우스는 오픈소스 악성코드로 공개되어 있기 때문에 그 영향은 매우 다양합니다. 하지만 역사적으로 두 가지 핵심 역할은 일관되게 유지되어 왔습니다.

1. 민감한 정보 탈취: 제우스는 뱅킹 트로이 목마로 알려져 있지만, 운영자가 원하는 모든 것을 훔칠 수 있습니다. 시스템 정보, 저장된 비밀번호, 온라인 계정 로그인 정보 등이 대표적입니다.

2. 봇넷 구축: 제우스는 명령통제(C&C) 서버를 통해 운영자와 지속적으로 연락을 유지하며 추가 지시를 원격으로 받습니다. 운영자는 피해자의 컴퓨터를 장악하여 더 많은 악성코드를 설치할 수 있습니다.

제우스는 처음에는 인터넷 익스플로러의 비밀번호 저장 기능을 통해 비밀번호를 탈취했습니다. 브라우저에 저장된 비밀번호를 그대로 가져가는 방식이었죠. 피해자가 은행 사이트에 접속하는 것을 감지하면, 브라우저 내부에서 키로깅(keylogging) 또는 폼 그래빙(form-grabbing) 기법을 사용해 아이디와 비밀번호를 가로챘습니다.

키로깅은 입력하는 키보드 타이핑을 그대로 기록하는 방식이며, 폼 그래빙은 웹사이트 양식 필드에 입력한 내용이 서버로 전송되기 전에 가로채는 기법입니다. 덕분에 제우스 제작자들은 은행 사이트 자체의 보안 기능을 뚫을 필요조차 없었습니다.

또한 제우스는 정상적인 웹사이트를 가로채 가짜 양식을 추가로 삽입하여, 운영자에게 더 많은 개인 정보를 넘기도록 만들기도 했습니다.

제우스 트로이 목마는 키보드 입력을 기록해 웹사이트 양식에 입력한 데이터를 탈취할 수 있습니다.

제우스는 어떤 용도로 사용되었나요?

제우스는 원래 민감한 금융 정보를 탈취하기 위해 설계되었습니다. 2009년 이미 미국银行(Bank of America), NASA, 아마존 등 수많은 기관의 컴퓨터를 공격했으며, 그해 약 360만 대의 컴퓨터를 감염시킨 것으로 추정됩니다.

제우스 배후의 사이버 범죄자들은 피해자의 계좌에서 자금을 인출한 뒤, 머니 물(money mule)이라 불리는 중개인들을 통해 돈을 자신들에게 되돌려 받았습니다. 이 중개인들은 탈취한 자금을 받아 다시 다른 곳으로 보내 최종 자금 흐름을 감추는 역할을 했습니다.

제우스는 감염된 기기에 원격 접근 권한도 부여했습니다. 이를 바탕으로 만들어진 것이 제우스의 가장 악명 높은 후속작인 게임오버 제우스(Gameover ZeuS) 봇넷입니다. 봇넷은 스팸 메일이나 피싱 이메일 발송, DDoS 공격 등에 자주 활용됩니다.

2010년, FBI는 제우스 사이버 범죄 조직을 성공적으로 적발하여 미국, 영국, 우크라이나에서 100명 이상을 검거했습니다. 당시 이 조직은 제우스 공격 피해자들에게서 7천만 달러 이상을 훔친 상태였습니다.

제우스와 게임오버 제우스의 차이점은?

게임오버 제우스는 2011년 원본 소스 코드가 공개된 이후 그 기반 위에 만들어진 수많은 악성코드 중 하나입니다. 전신인 제우스와 달리, 게임오버 제우스는 암호화된 P2P(피어 투 피어) 봇넷 구조를 특징으로 하여 법 집행 기관이 분석하기 훨씬 어려웠습니다.

게임오버 제우스는 금융 사기 외에도 강력한 크립토락커(CryptoLocker) 랜섬웨어를 확산시키는 통로로도 활용되었습니다. 이전과 마찬가지로 피해자들은 피싱 이메일에 속아 봇넷에 가입하게 되고, 컴퓨터가 연결되면 곧바로 랜섬웨어에 감염되는 방식이었습니다.

2014년, '토바르 작전(Operation Tovar)'이라 불리는 국제 사이버 보안 공동 대응 노력 끝에 게임오버 제우스는 마침내 무력화되었고, 크립토락커 복호화 키도 무료로 공개되었습니다. 하지만 랜섬웨어 제작자들은 약 300만 달러의 몸값을 챙겨 도주하는 데 성공했습니다.

흥미롭게도 이 금액은 현재 FBI가 게임오버 제우스의 배후로 지목된 인물의 체포에 결정적인 단서를 제공하는 사람에게 내걸 현상금과 정확히 같은 액수입니다.

제우스의 유산

게임오버 제우스가 제우스 코드를 활용한 가장 유명한 악성코드이지만, 유일한 사례는 아닙니다. 제우스에서 파생된 다른 악성코드들을 살펴보겠습니다.

• 크토닉(Cthonic): 개인 정보는 물론 피해자의 웹캠과 마이크까지 접근할 수 있습니다.

• 시타델(Citadel): 피해자의 비밀번호 관리자에 접근해 마스터 비밀번호를 노리고, 각종 백신 업체의 웹사이트 접속을 차단하기도 합니다.

• 아트모스(Atmos): 2015년에 등장해 은행을 직접 공격하며 금융 데이터를 수집하고 랜섬웨어를 남겼습니다.

• 터닷(Terdot): 은행 정보 외에도 소셜 미디어와 이메일 계정 정보를 노립니다.

제우스 트로이 목마 악성코드 제거 방법

컴퓨터가 감염되었다면, 제우스 트로이 목마를 제거하는 가장 좋은 방법은 트로이 목마 제거 도구를 사용하는 것입니다. 안티멀웨어 소프트웨어를 다운로드한 후, 컴퓨터 바이러스를 제거하듯 트로이 목마 감염을 깨끗이 없애면 됩니다.

1. 평판이 좋은 업체의 강력한 백신 소프트웨어를 다운로드하세요.

2. 설치 후에는 안전 모드로 컴퓨터를 재시작하여 악성코드가 인터넷에 연결되지 않도록 차단하세요.

3. 새로 설치한 백신 소프트웨어로 컴퓨터를 검사하여 트로이 목마나 기타 악성코드를 탐지하세요.

4. 악성코드가 발견되면 화면의 안내에 따라 제거하세요.

제우스 감염 예방 방법

원조 제우스 트로이 목마 자체는 더 이상 걱정할 필요가 없지만, 그 영향력은 오늘날의 악성코드 환경에 여전히 남아 있습니다. 다음 수칙들을 디지털 생활에 실천하여 제우스와 그 후속 변종들로부터 정보를 지키세요.

• 피싱 공격을 식별하는 법을 익히세요. 사이버 공격자는 은행과 같은 신뢰할 수 있는 기관이나 지인으로 위장해 감염된 첨부 파일을 열거나 위험한 웹사이트에 접속하도록 유도합니다. 이메일에서 수상한 느낌이 든다면 직감을 믿고 삭제하세요.

• 출처를 알 수 없는 첨부 파일은 다운로드하지 말고, 의심스러운 링크는 클릭하지 마세요. 예상치 못한 첨부 파일을 받았거나 이메일·소셜 미디어로 갑자기 링크가 도착했다면 반응하지 말고 삭제하세요.

• 온라인 광고를 클릭하지 마세요. 앞서 언급했듯이 온라인 광고는 '말버타이징(malvertising)'이라 불리는 수법으로 악성코드를 유포합니다. 광고를 클릭하는 순간 기기가 감염될 수 있으니, 온라인 광고를 무시하고 광고 차단기나 보안 브라우저 사용을 고려하세요.

• 소프트웨어를 항상 최신 버전으로 유지하세요. 오래된 소프트웨어는 악성코드 감염에 취약하지만, 최신 소프트웨어에는 최신 보안 패치가 적용되어 있습니다. 해커는 구버전 소프트웨어의 취약점을 악용해 기기를 감염시킵니다.

• 브라우저에 비밀번호를 저장하지 마세요. 브라우저에 접근할 수 있는 악성코드는 저장된 모든 비밀번호를 쉽게 훔쳐갈 수 있습니다.

• 비밀번호 관리자를 사용하되, 마스터 비밀번호는 저장하지 마세요. 좋은 비밀번호 관리자는 비밀번호를 안전하게 보관하고 해킹하기 어려운 비밀번호 생성을 도와줍니다. 하지만 마스터 비밀번호가 시타델 같은 악성코드에 탈취되면 모든 비밀번호가 위험에 노출됩니다. 마스터 비밀번호는 암기하는 것이 안전합니다.

• 공식 출처에서만 라이선스가 있는 소프트웨어를 다운로드하세요. 비공식 또는 무단 소프트웨어를 피하면 트로이 목마 감염 위험을 크게 줄일 수 있습니다. 토렌트가 유혹적으로 느껴질 수 있지만, 다운로드하는 파일에 악성코드가 포함되어 있지 않다고 단정할 수는 없습니다.

• 백신 소프트웨어를 사용하세요. 강력한 백신 소프트웨어는 제우스 기반 악성코드가 기기를 감염시키기 전에 탐지하고 차단합니다. 이미 감염된 경우에도 백신이 악성코드를 격리하고 제거해 줍니다.

수상 경력에 빛나는 백신으로 개인 정보를 보호하세요

Avast One은 감염된 다운로드를 차단하고, 감염된 웹사이트 접속을 막으며, 기기 내 악성코드를 탐지합니다. 이미 감염된 경우에도 기기를 전체 스캔하여 악성코드를 깨끗이 제거할 수 있습니다.

업계 선두 기업의 신뢰할 수 있는 백신 솔루션을 선택하면, 최신 악성코드 위협에 맞춰 지속적으로 업데이트되는 최첨단 사이버 보안 도구를 갖추게 됩니다. 누구나 제우스의 소스 코드를 이용해 자신만의 악성코드를 만들 수 있는 환경에서, 최선의 방어책은 즉시 대응할 준비가 된 사이버 보안 도구입니다.