이번 문서의 목표: 이 파일을 다 읽으면 악성코드의 다섯 가지 주요 유형을 “전파 방식·자기복제 여부·숙주 필요 여부”라는 세 축으로 구분해 표에서 즉시 대조할 수 있고, “이 설명은 웜인가 바이러스인가”를 묻는 지문형 문제를 정확히 풀 수 있다.
왜 분류 기준부터 잡아야 하는가
악성코드(Malware, Malicious Software의 줄임말) 관련 문제는 독학사 정보보호 시험에서 “다음 설명에 해당하는 악성코드는?”이라는 지문형으로 자주 나옵니다. 이 유형은 용어의 정의를 단순 암기해서는 풀리지 않습니다. 설명 지문이 “스스로 복제해 퍼진다”는 특징만 언급하면 바이러스와 웜이 동시에 후보로 떠오르고, “실행 파일에 위장해 있다”는 특징만 언급하면 트로이목마와 일부 바이러스가 겹쳐 보이기 때문입니다.
이 혼동을 없애는 방법은 유형을 낱개로 외우지 않고, 처음부터 하나의 비교표 안에서 각 유형이 세 가지 축(전파 방식, 자기복제 여부, 숙주 필요 여부)에서 어떤 값을 가지는지 대조하는 것입니다. 이 편은 그 표를 만드는 것이 목표입니다.
쉽게 말하면: 악성코드 유형을 외울 때는 이름과 정의를 따로따로 외우지 말고, “이게 스스로 복제되나?”, “숙주(정상 프로그램)가 있어야 하나?”, “어떻게 퍼지나?” 세 가지 질문에 대한 답을 표로 채운다고 생각하면 헷갈리지 않습니다.
1. 악성코드란 무엇인가
악성코드(Malware)는 사용자나 시스템 소유자의 동의 없이 정보시스템에 설치되어, 정보의 기밀성·무결성·가용성(02편에서 다룬 CIA 삼요소)을 침해하는 모든 소프트웨어를 통칭하는 용어입니다. 바이러스·웜·트로이목마·랜섬웨어·스파이웨어는 모두 악성코드라는 큰 범주 아래의 하위 분류이며, 이 분류들은 서로 배타적이지 않습니다. 예를 들어 어떤 악성코드는 트로이목마로 위장해 침투한 뒤, 내부에서는 랜섬웨어처럼 동작할 수도 있습니다.
2. 분류 축 세 가지 — 전파 방식·자기복제·숙주 필요 여부
본격적인 비교표에 앞서 세 축의 정의를 먼저 명확히 합니다.
| 축 | 뜻 |
|---|---|
| 자기복제(Self-Replication) 여부 | 사람의 개입 없이 스스로를 복제해 개수를 늘릴 수 있는가 |
| 숙주(Host) 필요 여부 | 다른 정상 프로그램·파일에 자신을 붙여야만 실행될 수 있는가, 아니면 독립적으로 실행되는 단독 프로그램인가 |
| 전파 방식(Propagation) | 감염된 대상에서 다른 대상으로 퍼져 나가는 구체적인 경로(사용자 실행, 네트워크 자동 확산, 위장 실행 등) |
비유: 숙주가 필요하다는 것은 기생충이 반드시 몸속에 들어가 있어야 하는 것과 비슷하고, 숙주 없이 독립적으로 실행된다는 것은 스스로 걸어 다니는 로봇과 비슷합니다. 자기복제는 그 기생충(또는 로봇)이 스스로 자기 자신을 복사해 개수를 늘리는지 여부입니다.
3. 다섯 가지 주요 유형 비교
| 유형 | 자기복제 | 숙주 필요 | 전파 방식 | 핵심 목적·특징 |
|---|---|---|---|---|
| 바이러스(Virus) | 함 | 필요함(정상 파일에 기생) | 감염된 파일을 사용자가 직접 실행해야 다음 대상으로 확산 | 정상 프로그램·문서에 자신을 삽입해 실행 시 함께 동작 |
| 웜(Worm) | 함 | 필요 없음(독립 실행형) | 네트워크 취약점을 이용해 사용자 개입 없이 스스로 다른 시스템으로 이동 | 네트워크 대역폭 고갈, 빠른 대량 확산이 특징 |
| 트로이목마(Trojan Horse) | 안 함 | 필요 없음(독립 실행형이나 정상 프로그램으로 위장) | 사용자가 정상 프로그램으로 착각해 자발적으로 설치·실행 | 스스로 퍼지지 않고, 백도어·정보 유출 등 은밀한 기능을 내장 |
| 랜섬웨어(Ransomware) | 유형에 따라 다름(웜형은 자기복제, 대부분은 안 함) | 유형에 따라 다름 | 이메일 첨부·취약점 악용·트로이목마 결합 등 | 파일을 암호화해 인질로 잡고 금전(Ransom, 몸값)을 요구 |
| 스파이웨어(Spyware) | 안 함 | 필요 없음(독립 실행형이나 은밀히 설치됨) | 무료 소프트웨어에 끼워 배포, 사용자 동의를 위장한 설치 | 사용자 몰래 키 입력·화면·개인정보를 수집해 외부로 전송 |
자주 틀리는 점: “바이러스와 웜은 둘 다 자기복제를 한다”는 공통점 때문에 둘을 같은 것으로 착각하기 쉽습니다. 시험에서 이 둘을 가르는 결정적 기준은 숙주 필요 여부와 사용자 개입 여부입니다. 바이러스는 반드시 정상 파일(숙주)에 붙어 있어야 하고, 그 숙주 파일을 사용자가 실행해야 다음 감염이 일어납니다. 반면 웜은 숙주 없이 그 자체로 독립 실행되며, 네트워크를 통해 사용자 개입 없이 스스로 확산합니다. “감염을 퍼뜨리는 데 사용자의 실행 행위가 필요한가”라는 질문 하나로 구분하면 헷갈리지 않습니다.
자주 틀리는 점: “트로이목마는 스스로 복제해서 퍼진다”는 설명은 틀린 진술입니다. 트로이목마의 핵심 특징은 자기복제를 하지 않는다는 점이며, 대신 정상 프로그램(게임, 유틸리티 등)으로 위장해 사용자가 자발적으로 설치하게 만듭니다. 그리스 신화의 트로이 목마가 스스로 성벽을 넘은 것이 아니라 성 안 사람들이 직접 끌고 들어간 것과 같은 원리입니다.
4. 랜섬웨어를 별도로 다루는 이유 — 목적 중심 분류
바이러스·웜·트로이목마가 전파 방식을 기준으로 나뉜 분류라면, 랜섬웨어는 공격 목적을 기준으로 나뉜 분류입니다. 그래서 랜섬웨어는 트로이목마처럼 위장해 설치될 수도 있고, 웜처럼 네트워크 취약점을 통해 자기복제하며 퍼질 수도 있습니다(예: 2017년 워너크라이(WannaCry)는 웜형 확산 방식을 사용한 랜섬웨어였습니다).
랜섬웨어의 핵심 동작은 감염된 시스템의 파일을 공개키 암호(06편에서 다룬 개념) 등으로 암호화해 사용자가 접근할 수 없게 만든 뒤, 복호화키를 대가로 금전을 요구하는 것입니다. 정보보호 3요소 중 가용성(Availability, 정당한 사용자가 필요할 때 정보에 접근할 수 있는 성질)을 정면으로 침해하는 공격입니다.
자주 틀리는 점: “랜섬웨어는 자기복제를 하지 않는 것이 정의상 특징이다”라고 단정하는 것은 옳지 않습니다. 랜섬웨어는 전파 방식이 아니라 목적(금전 갈취)으로 정의되는 범주이므로, 자기복제 여부는 구체적인 변종에 따라 다릅니다. “랜섬웨어=목적 기준 분류”, “바이러스·웜=전파 방식 기준 분류”라는 분류 기준 자체의 차이를 기억해야 합니다.
5. 은폐 기법 개관
악성코드는 탐지를 피하기 위해 다양한 은폐(Concealment) 기법을 사용합니다. 시험에서는 다음 용어의 정의를 구분하는 문제가 나옵니다.
| 용어 | 뜻 |
|---|---|
| 루트킷(Rootkit) | 시스템 관리자 권한(Root)을 탈취한 뒤 자신의 존재 자체를 운영체제 수준에서 숨기는 도구·기법 |
| 폴리모픽(Polymorphic, 다형성) | 실행될 때마다 코드의 형태(패턴)를 스스로 바꿔 백신의 패턴 기반 탐지를 회피 |
| 백도어(Backdoor) | 정상 인증 절차를 우회해 시스템에 재진입할 수 있도록 몰래 만들어 둔 통로 |
자주 틀리는 점: 루트킷은 그 자체가 하나의 독립된 악성코드 유형(바이러스·웜과 나란한 분류)이 아니라, 은폐를 위한 기법·도구라는 점을 구분해야 합니다. 트로이목마나 웜이 침투에 성공한 뒤 루트킷을 함께 설치해 자신의 흔적을 숨기는 방식으로 결합해서 쓰이는 경우가 많습니다.
6. 기본 대응 원칙
악성코드 대응은 감염 이전(예방)과 감염 이후(대응)로 나눠 정리합니다.
| 단계 | 원칙 |
|---|---|
| 예방 | 백신·안티멀웨어 최신 패턴 유지, 운영체제·소프트웨어 정기 패치, 최소 권한 원칙(04편) 적용, 출처 불명 첨부파일·실행파일 실행 금지 |
| 탐지 | 파일 무결성 점검(해시 비교, 07편 연계), 비정상 네트워크 트래픽·프로세스 모니터링(18편의 보안관제와 연계) |
| 대응·복구 | 감염 시스템 네트워크 격리, 원인 분석 후 재설치 또는 정상 백업본 복원, 사고 보고 절차(18편) 준수 |
자주 틀리는 점: “랜섬웨어에 감염되면 몸값을 지불하고 복호화키를 받는 것이 공식적으로 권장되는 대응”이라는 설명은 틀린 보기입니다. 정보보호 관련 공신력 있는 기관(KISA 등)은 몸값 지불이 복구를 보장하지 않고 추가 범죄를 조장한다는 이유로 지불을 권장하지 않으며, 대신 평소의 정기 백업과 감염 후 격리·복원 절차를 권장 대응으로 제시합니다.
핵심 정리
- 악성코드는 자기복제 여부·숙주 필요 여부·전파 방식이라는 세 축으로 유형을 비교하면 혼동 없이 구분할 수 있다.
- 바이러스는 숙주(정상 파일)에 기생하며 사용자 실행이 있어야 확산되고, 웜은 숙주 없이 독립 실행되며 네트워크를 통해 사용자 개입 없이 스스로 확산된다.
- 트로이목마는 자기복제를 하지 않으며 정상 프로그램으로 위장해 사용자가 자발적으로 설치하게 만든다.
- 랜섬웨어는 전파 방식이 아니라 목적(파일 암호화 후 금전 요구)으로 정의되는 범주로, 자기복제 여부는 변종마다 다르다.
- 스파이웨어는 사용자 몰래 정보를 수집·유출하는 데 목적이 있으며 자기복제를 하지 않는다.
- 루트킷·폴리모픽·백도어는 악성코드의 하위 유형이 아니라 은폐·침투를 돕는 기법이다.