[목차] == 개요 == 2003년경 인터넷을 달궜던 [[악성코드]] 중 하나. [[2003년]] [[8월 11일]] 최초 발견. 진단명 Win32/Blaster.worm.[* 다른 진단명으로는 W32.Blaster.worm, W32/Lovsan.worm, worm.Win32.Blaster.6176, Win32.HLLW.Lovesan.11296, WORM_MSBLAST.A Win32.IRC_Bot 등이 있으며, 백신 업체마다 다르다.] == 증상 == [[파일:attachment/블래스터 웜/Blaster.worm.jpg]] 가장 대표적인 증상은 컴퓨터가 꺼지는 것인데, 자꾸 '''60초 후 컴퓨터가 종료됩니다''' 라는 팝업창을 띄운 후 종료되기 때문에 일명 '''60초 바이러스'''라고 불리기도 했다. 바로 위의 화면. 취소할 수도 없으므로 꼼짝없이 컴퓨터가 시한부로 종료되는 걸 지켜볼 수밖에 없었다. 'shutdown -a'를 명령 프롬포트나 실행에 치면 일시적으로 멈출 수는 있다.[* shutdown 명령어에서 -a는 abort 즉 중단하다는 의미이며, 시스템 종료를 중지시키는 옵션이다.] [[Windows NT 4.0|윈도우 NT 4.0]], [[Windows 2000|윈도우 2000]], [[Windows XP|윈도우 XP]], [[Windows Server 2003|윈도우 서버 2003]]의 RPC(Remote Procedure Call; 원격 프로시저 호출) 버퍼가 데이터의 크기를 검사하지 않는다는 허점을 악용해서 RPC 버퍼를 꽉 채워 과부하를 일으키고 강제 재부팅을 일으키는 원리. 윈도우는 과부하로 다운된 RPC 버퍼를 되돌리기 위해 재부팅을 해야 하는데, 이 때 60초간 사용자에게 작업을 정리할 시간을 준다. ~~친절하다~~ 이 때문에 60초마다 재부팅이 되는 것. 물론 근본적으로 웜을 없애지 않는 이상 RPC 버퍼는 계속 다운되고, 계속 재부팅되기 때문에 [[무한루프|60초 재부팅만 반복될 뿐이다]]. 감염되면 실시간으로 시스템 날짜를 확인하며, 매달 16일 이후 또는 매년 9월 이후인지 확인하는 스크립트가 실행된다. 이때 감염된 날짜가 1~8월 사이이면 16일 이후에 Windows Update 서버를 공격하고, 9~12월 사이이면 매일 공격한다. 공격대상과 악성코드 안에 있는 메시지를 미루어 보아 [[빌 게이츠]]와 [[마이크로소프트]]에 반감을 가진 해커가 만든 걸로 추정된다.[* [[https://upload.wikimedia.org/wikipedia/commons/e/ec/Virus_Blaster.jpg|블래스터 웜 내부를 헥스 덤프한 내용으로 다음과 같다.]] 각각 '''I just want to say LOVE YOU SAN!!(나는 그저 샌프란시스코를 사랑한다고 말하고 싶을 뿐이다!!)''', '''billy gates why do you make this possible? Stop making money and fix your software!!(빌 게이츠, 네놈은 [[창렬|왜 이게(해킹) 가능하도록 만드는가? 돈만 벌어댈 생각 그만하고 네놈들 소프트웨어나 개선해라!!]])'''이다.][* 2003년 당시에는 마이크로소프트는 악의 제국이며 빌 게이츠는 황제라는 이미지가 대중들에게 있었으며, 특히 XP 시대에서는 그 정점을 달했다. 그러다가 비스타의 실패, 크롬의 출현으로 1차 위기를 겪고 윈도우 7을 출시하면서 정신을 차리나 했으나, 이후 안드로이드의 출현과 윈도우 8의 폭망으로 또다시 안습 행보로... 이후로는 좀 개념을 찾은 듯.] 2004년 3월 12일, 미네소타 주 홉킨스 출신의 18세 제프리 리 파슨은 B형 블래스터 웜을 개발했다는 혐의로 체포되었고, 그는 혐의를 시인하고 2005년 1월에 1년 6개월의 형을 선고받았다고 전해진다. 문제는 포맷하고 윈도우를 새로 깔아도 보안패치를 다운받으려 인터넷에 연결하면 그 사이 다시 감염된다는 것. 컴퓨터의 주소를 기억해두었다가 지속적으로 감염시키는 방식이라서 그렇다. 윈도우 NT 4.0, 2000이나 XP, 서버 2003이 [[Windows NT 3.1|깔려]][[Windows NT 3.5|있지]] [[Windows NT 3.51|않은]] [[Windows 9x|컴퓨터]]를 통해서 미리 보안패치를 다운받아 두거나 이미 보안패치가 적용된 컴퓨터를 통해서 다운받은 다음에 CD 등에 저장해두었다면 좋았겠지만, [[안습|그렇지 않은 혹은 할 수가 없었던 사람들은 눈물이 앞을 가렸다고...]] 짧은 시간에 감염되지 않기를 빌면서 최대한 빨리 보안패치를 다운받아 설치하거나, 아니면 컴퓨터를 좀 다룰 줄 안다는 친구에게서 보안패치를 받아오거나, 그것조차 안 되면 동네 수리업체이든 대기업 완제품으로 구매했다면 해당 기업체의 서비스센터에 맡기는 수밖에 없었다. 게다가 윈도우의 비밀번호도 미리 가지고 있는 데이터베이스에 의해 [[사전 공격|웬만한 비밀번호 패턴은 다 뚫렸다는 점]]. 이 방식의 악성코드는 파일을 감염시키는 것이 아니므로 백신으로 검사하기가 굉장히 힘들다. Windows NT 계열의 취약점을 악용한 공격 수법이므로 유일한 해결법은 보안패치를 설치하는 것뿐. 물론 16년 이상 지난 현재에는 블래스터 웜에 대한 보안패치 정도는 이미 나와있다.[* 정확히는 비스타(2008) 부터 10(2016, 2019) 까지의 모든 NT 계열의 윈도우들.] == 예방 == 이러한 유형의 웜에 감염되는 사태를 방지하기 위해서는 보안패치 설치를 생활화해야 한다. 백신 엔진을 최신 상태로 유지하지 않는것도 모자라 백신 자체를 아예 안 깔아놓는 것은 양반이고, 윈도우 업데이트도 안 켜놓고 지내는 컴퓨터들이 의외로 적지 않다.[* 이 때문에 [[Windows 10|윈도우 10]]([[Windows Server 2016|2016]], [[Windows Server 2019|2019]])부터는 모든 업데이트를 사용자 자율에 맡겨서 설치하는 게 아닌 '''강제로''' 설치하도록 바뀌고 말았다. 이런 블래스터까지 올 필요도 없이 2016년에 터졌던 [[워너크라이]] 및 [[인터넷나야나 랜섬웨어 감염 사태|에레버스]](리눅스 한정) 등의 랜섬웨어가 창궐했던 사례를 보면 MS의 입장이 전혀 이해가 안 된다거나 하지는 않는다. [[아몰랑|허구한 날 발생하는 부작용에 대해서 무책임하게 일관하니까 문제지]]...] 네트워크 포트를 통해 침투하는 악성코드이므로 방화벽이 켜져 있었다면 1차적으로 충분히 방어가 가능한 악성코드였지만, 당시에는 [[Windows XP]] 서비스 팩 2가 아직 나오지 않았을 때였다. 서비스 팩 2 이전에도 기본 방화벽이 있긴 했지만 기본적으로 꺼져 있었고, 켜는 옵션도 아는 사람만 알 정도로 찾기 어렵게 숨겨져 있었다.[* XP와 서버 2003(R2)에는 [[https://i-technet.sec.s-msft.com/dynimg/IC30693.jpg|이러한 설정창]] 외에도 [[https://namu.wiki/w/파일:Windows 2000 방화벽 설정방법.jpg|윈도우 2000의 TCP/IP 필터링 설정기능과 로컬보안정책(SECPOL.MSC)을 통한 IPSEC 필터링]]까지 혼재해 있었다가 비스타(2008) 부터는 IPSEC 필터링 기능만 남았다. 비스타 부터는 기본 방화벽 기능으로 대체가 가능하기에 별 쓸모는 없어졌다.] 또 당시에는 방화벽이라는 개념을 알지 못하는 사용자가 대다수였기도 했으니...[* 사실 2K부터 방화벽 기능이 있긴 하지만 일반 사용자들 입장에서는 기본 방화벽 기능이 있음을 알고있다 하더라도 편집하는 것이 극히 어려워서 없는 것이나 다름없었다. 왜 일반 사용자에게는 없는 기능이나 다름없다고 했는지는 8번 각주에 링크해둔 캡쳐된 메뉴얼을 보면 알 수 있을 것이다.] 이후 서비스 팩 2가 나오면서 방화벽이 켜진 것이 기본 옵션이 되고, [[Windows Vista]]([[Windows Server 2008|2008]])에서 [[사용자 계정 컨트롤]]이 도입되고, 매달 Windows Update를 통해 최소한의 웜과 악성코드를 제거할 수 있도록 '악성 소프트웨어 제거 도구'가 배포되는 등 사용자에게만 맡겨두었던 보안이 크게 향상되었다. 여담으로 이 웜과 관련한 기술자료를 찾는다면 [[https://support.microsoft.com/ko-kr/help/823980/ms03-026-buffer-overrun-in-rpc-may-allow-code-execution|이곳]]에 들어가 보면 된다. == 관련 문서 == * [[웜(악성코드)]] * ~~[[몰라 뭐야 그거 무서워]]~~ * ~~[[장비를 정지합니다]]~~ [[분류:악성코드]]