💌 Melissa (W97M.Melissa.A, 1999) — '중요한 메시지'라는 제목 한 줄이 100만 메일함을 삼키다

1. 배경/역사 — '매크로'가 무기가 된 날

1999년, 문서 파일은 여전히 '글'이었다. 사람들은 .doc 첨부를 열 때 그것이 실행 가능한 코드를 품고 있을 수 있다는 사실을 거의 인식하지 못했다. Melissa는 바로 그 인식의 틈을 찔렀다. Word 97·2000의 VBA(Visual Basic for Applications) 매크로는 문서를 열 때 AutoOpen 같은 약속된 이름의 루틴을 자동으로 실행했고, 당시 기본값은 '매크로 보호 꺼짐'에 가까웠다. 문서를 연다는 건, 곧 코드를 실행한다는 뜻이었다.

유포자 David L. Smith는 1999년 3월 26일, 도난당한 AOL 계정으로 성인 콘텐츠 사이트의 비밀번호가 들어 있다고 주장하는 문서를 alt.sex 유즈넷 뉴스그룹에 게시했다. 클릭을 부르는 미끼, 그 자체였다. Melissa는 스스로를 '웜'이라 부르지 않았지만, 감염된 문서를 연 컴퓨터는 자신의 Outlook 주소록을 이용해 다시 메일을 뿌렸다. 이메일이 웜의 운반체가 된 순간이었다.

• 왜 유명한가: Melissa는 대량 메일(mass-mailing) 방식으로 전파된 최초의 대형 매크로 바이러스로 꼽힌다. 신뢰하는 지인 주소록을 발판으로 삼는 '소셜 엔지니어링 + 자동 전파'의 원형을 만들었다.
• 속도: FBI는 당시 기준 '역대 가장 빠르게 퍼진 컴퓨터 감염'으로 표현했다. 유포 나흘 만에 CER그 집계로 250개 기관·최소 10만 대가 감염됐다.
• 사회적 파장: 마이크로소프트·인텔 등을 포함한 다수 기업이 게이트웨이를 차단했고, 마이크로소프트는 발신 메일을 약 5시간 정지시켰다. 미국 해병대도 영향을 받았다.
• 법적 이정표: Smith는 유포 일주일도 안 돼 체포되어, 2002년 연방 교도소 20개월·감독 석방 3년·벌금 5,000달러·사회봉사 100시간을 선고받았다. 악성코드 유포가 본격적으로 형사처벌된 대표적 선례다.

2. 감염·전파 경로 — 주소록이 곧 미사일 발사대

Melissa의 전파는 세 단계를 동시에 밟았다. 사용자 입장에서는 '지인에게서 온 문서'라는 신뢰가 모든 방어선을 무력화했다.

• ① 초기 유포: 공개 뉴스그룹(alt.sex)에 게시 → 호기심으로 내려받은 사람이 문서를 연다. 미끼는 '성인 사이트 비밀번호 목록'.
• ② 자기 증식(로컬): 문서를 연 순간 매크로가 실행되어, 자신을 Word의 기본 템플릿(Normal.dot)에 복사한다. 이후 이 PC에서 열거나 새로 만드는 모든 문서가 감염된다.
• ③ 대량 메일(네트워크): Outlook이 있으면 주소록 상위 50명에게 감염 문서를 자동 첨부해 발송한다. 제목은 "Important Message From <보낸사람 이름>", 본문은 "Here is that document you asked for ... don't show anyone else ;-)"였다. 발신자가 아는 사람이라 수신자도 열 확률이 높다 — 감염 재생산율(R0)을 스스로 끌어올리는 구조다.

즉 Melissa는 '취약점'을 악용한 게 아니라 '정상 기능(주소록·메일)·정상 행동(문서 열기)'을 무기화했다. 이것이 이후 Emotet·ILOVEYOU 등 수많은 메일 기반 악성코드의 공통 조상이었다.

3. 동작 원리 상세 분석 — 구조 레벨에서

Melissa의 심장은 Word 문서 안에 심긴 VBA 매크로다. Word는 문서를 열 때 정해진 이름의 루틴을 자동 실행하는데, Melissa는 이 훅을 진입점으로 쓴다.

• 자동 실행 훅: AutoOpen(및 Document_Open) — 사용자가 아무 버튼도 누르지 않아도 문서를 여는 것만으로 코드가 돈다.
• 자기방어(보안 저하): Melissa는 실행되자마자 Word의 매크로 경고/보호 설정을 끄는 방향으로 값을 낮춘다. 이후 열리는 문서들도 조용히 실행되도록 환경을 무력화한다 — 악성코드가 '탐지의 문턱'을 먼저 낮추는 전형적 자기방어다.
• 감염 마커(중복 방지): 자기 복제를 레지스트리 마커로 1회로 제한한다. Symantec 분석에는 kwyjibo(심슨 가족에 나오는 Bart의 가짜 단어) 값이 마커로 쓰인 것으로 기록돼 있다. 같은 PC를 반복 감염시켜 스스로를 망치지 않는 '절제된 웜' 설계다.
• 지연 페이로드(낙서): 컴퓨터 시계의 '분(minute)'이 '일(day of month)'과 같을 때에만 문서에 한 줄을 끼워 넣는다: "Twenty-two points, plus triple-word-score, plus 50 points for using all my letters. Game's over. I'm outta here." 심슨 가족의 스크래블 장면에서 따온 문구다. 파일을 지우지는 않았지만, 특정 조건에서만 튀어나오는 '지연 폭탄' 구조를 보여준다.
• 파괴력의 정체 = 트래픽: Melissa의 진짜 피해는 데이터 삭제가 아니라 메일 폭주 그 자체였다. 감염된 PC 수보다 '자동 발송되는 메일량'이 먼저 서버를 무너뜨렸다.

아래는 위 동작을 실제 악성코드 없이 재현한 모의 매크로 구조(의사코드)다. 실행되지 않으며, 구조 이해만을 위한 설명용이다.

' ---- 모의 매크로 구조 (실행 불가 의사코드 · 실제 악성코드 아님) ----
Sub AutoOpen()                                   ' 문서를 열면 자동 실행되는 진입점
    If MarkerExists("kwyjibo") Then Exit Sub      ' 호스트당 1회만 감염(중복 방지)
    SetMarker "kwyjibo"

    LowerMacroSecurity 0                         ' 매크로 경고/보호를 끔 (자기방어)
    CopySelfTo "Normal.dot"                       ' 기본 템플릿 복제 → 이후 문서 전부 감염

    If OutlookPresent() Then
        For Each addr In OutlookAddressBook(1 To 50)   ' 주소록 상위 50명
            SendMail addr, Subject:="Important Message From " + UserName(), _
                       Attachment:=ThisDocument                 ' 감염 문서 자동 첨부
        Next
    End If

    If Minute(Now) = Day(Now) Then ShowScrabbleJoke   ' 드물게 참이 되는 지연 페이로드
End Sub

4. 피해 규모/영향 — 실제 수치

• CER그 (카네기멜런, 3월 29일 기준): 250개 기관 신고 · 최소 10만 대의 업무용 컴퓨터 감염(실제는 더 많을 것으로 추정).
• FBI: 300개 이상 기업·정부기관의 메일 서버 과부하 · 약 100만 개 메일 계정 교란.
• 마이크로소프트: 발신 메일 약 5시간 중단. 인텔 등도 게이트웨이를 닫았다.
• 총 복구 비용: FBI 추정 약 8,000만 달러($80M).
• 법적 결과: Smith는 1999-04-01 체포(AOL 제보) → 1999-12-09 유죄 인정 → 2002-05-01 징역 20개월 선고. '장난이었다'는 변명이 통하지 않는다는 신호였다.

Melissa는 파일을 지우지도, 돈을 요구하지도 않았다. 그런데도 '가장 빠른 감염'으로 기록됐다. 이 사건 이후 기업·기관은 '메일에 첨부된 문서도 코드다'라는 전제로 방어 전략을 다시 짜기 시작했다.

5. PoC (개념 증명) — 동작 원리만 재현

PoC는 다음 네 가지로 구성된다. ① 모의 매크로 구조는 위 3장에 실었고, 나머지 세 개는 아래에서 직접 실행한다.

PoC ② 대량 메일 전파 시뮬레이션 — 왜 며칠 만에 멈추는가

# melissa_spread.py — 전부 가상. 실제 발송 없음. 'R0 확산' 구조만 재현.
POP, ADDR_BOOK, OPEN_P = 100_000, 50, 0.15   # 계정 / 주소록 50명 / 개봉률 15%(가정)
susceptible, infected = POP - 1, 1
for day in range(1, 11):
    mails  = infected * ADDR_BOOK            # 감염 대수가 각각 50명에게 발송
    opened = int(mails * OPEN_P)             # 그중 일부가 '연다'
    new    = min(opened, susceptible)        # 남은 계정까지만
    susceptible -= new; infected += new
    print(f"{day:2d}일차: 발송 {mails:>9,} · 신규 {new:>9,} · 누적 {infected:>9,}")

실행 결과(이번 실행 실제 출력):

계정 100,000 · 주소록 50명/회 · 개봉률 15%

 0일차: 누적 감염 1
 1일차: 발송        50 · 신규         7 · 누적 감염         8 ( 0.0%)
 2일차: 발송       400 · 신규        60 · 누적 감염        68 ( 0.1%)
 3일차: 발송     3,400 · 신규       510 · 누적 감염       578 ( 0.6%)
 4일차: 발송    28,900 · 신규     4,335 · 누적 감염     4,913 ( 4.9%)
 5일차: 발송   245,650 · 신규    36,847 · 누적 감염    41,760 (41.8%)
 6일차: 발송 2,088,000 · 신규    58,240 · 누적 감염   100,000 (100.0%)
 7일차: 발송 5,000,000 · 신규         0 · 누적 감염   100,000 (100.0%)

핵심은 발송량이 감염 대수보다 훨씬 빠르게 폭증한다는 점이다. 5일차에 이미 하루 24만 통, 6일차엔 200만 통을 쏟아낸다. 메일 서버는 '악성코드'가 아니라 '정상 메일의 홍수'로 먼저 죽는다 — Melissa가 실제로 일으킨 일이 정확히 이것이었다.

PoC ③ 트리거 & 자기방어 마커 재현

import datetime
# 1) 지연 페이로드: '분(minute)'이 '일(day)'과 같을 때만 발동 — 드물게 참이 되는 지연 폭탄
now = datetime.datetime.now()
if now.minute == now.day:
    print('트리거 발동: "Twenty-two points, ... Game\'s over. I\'m outta here."')

# 2) 자기방어 마커(가상): 실제 레지스트리 아님, 메모리 dict로만 흉내
fake_registry, MARKER = {}, r"HKCU\Software\Microsoft\Office\Melissa\kwyjibo"
set_marker = lambda r: r.__setitem__(MARKER, 1)
already    = lambda r: r.get(MARKER) == 1
print("최초 감염?", already(fake_registry)); set_marker(fake_registry)
print("재감염?",   already(fake_registry))     # → 호스트당 1회만: 스스로를 망치지 않는 설계

실행 결과(이번 실행 실제 출력):

현재 시각: 2026-10-03 22:02 (분=2, 일=3)
→ 오늘은 조건 불일치(분≠일) → 페이로드 미발동. 드물게 참이 되도록 설계된 '지연 폭탄'.
최초 감염 마커 존재? False
마커 기록 후 재감염 여부? True  (재실행 시 호스트당 1회만 발동)

PoC ④ 매크로 문서 정적 탐지 흉내 (방어 관점)

# 매크로 문서는 '확장자'가 아니라 '내장 매크로 스트림 유무'로 판단한다 (모의 바이트)
OLE_MAGIC = bytes.fromhex("D0CF11E0A1B11AE1")   # 구형 OLE/CFB(.doc) 매직 넘버
VBA_MARK  = b"VBA"                              # 내장 매크로 프로젝트 흔적(모의)
def scan(buf):
    flags = []
    if buf.startswith(OLE_MAGIC):
        flags.append("구형 OLE 문서")
        if VBA_MARK in buf:
            flags.append("⚠ 내장 VBA 매크로 존재")
    else:
        flags.append("OLE 아님")
    return flags
for name, buf in {"clean_report.doc": OLE_MAGIC + b"WordDocument",
                  "invoice_1999.doc": OLE_MAGIC + b"WordDocument VBA_Macros_AutoOpen",
                  "photo.jpg": b"\xff\xd8\xff\xe0JFIF"}.items():
    print(name, "→", scan(buf))

실행 결과(이번 실행 실제 출력):

clean_report.doc     → 구형 OLE 문서
invoice_1999.doc     → 구형 OLE 문서, ⚠ 내장 VBA 매크로 존재
photo.jpg            → OLE 아님

→ 매크로 문서는 '확장자'가 아니라 '내장 매크로 스트림 유무'로 판단한다.
→ 정책(인터넷 매크로 차단·자동실행 차단)이 켜져 있으면 트리거 자체가 실행되지 않는다.

6. 방어 방법/교훈 — 무엇을 배우나

• 매크로 자동 실행을 끈다(1차 방어): 오늘날 Office는 인터넷에서 받은 문서의 매크로를 기본 차단하고, '차단 해제'를 사용자가 명시적으로 선택하게 한다. Melissa가 성공한 전제(기본 허용) 자체를 제거한 것이다.
• '발신자 신뢰'를 경계한다: Melissa의 미끼는 아는 사람이 보낸 문서라는 점이었다. 제목이 자연스럽고 발신자가 지인이어도, 예상치 못한 첨부는 열기 전에 확인한다. 소셜 엔지니어링은 기술 취약점보다 사람을 먼저 노린다.
• 게이트웨이에서 매크로·실행 첨부를 검사한다: 확장자 화이트리스트, 매크로 포함 문서 격리·샌드박스, 첨부 리라이팅(안전 링크) 등으로 유입 단계에서 걸러낸다.
• 메일 발송량 이상탐지: Melissa류의 피해는 '대량 자동 발송'에서 온다. 한 계정/호스트의 발송 폭주를 조기에 차단하는 아웃바운드 스로틀·이상탐지가 확산 반경을 줄인다.
• 레지스트리/템플릿 무결성 감시: Normal.dot 변조·매크로 보안 설정 변경 같은 '자기방어 흔적'을 EDR로 탐지한다.
• 패치·정책은 '기본값'까지 본다: 기술적 결함이 아니라 안전하지 않은 기본 설정이 참사 규모를 키웠다. 보안은 기능이 아니라 기본값에서 결정된다.
• 법·제도 신호: '장난'으로 시작한 대량 감염이 연방 형사처벌로 이어졌다. 악성코드 제작·유포는 표현의 자유가 아니라 범죄다.

7. 출처

• Wikipedia — Melissa (computer virus): 1999-03-26 alt.sex 게시, Outlook 주소록 상위 50명 자동 발송, Normal.dot 복제·매크로 보안 저하, '분=일' 조건 Simpsons 스크래블 문구, CER그 250기관·10만 대, FBI 300+ 기관·100만 계정·$80M, MS 5시간 중단·해병대 영향, Smith 체포(1999-04-01)·선고(2002-05-01, 20개월) — en.wikipedia.org/wiki/Melissa_(computer_virus)
• Symantec(현 Gen Digital) — W97M.Melissa.A Technical Details (기술명·플랫폼·레지스트리 마커 kwyjibo 등 구조 분석) — web.archive.org (Symantec W97M.Melissa.A)
• F-Secure — Virus:W32/Melissa Description (전파 방식·매크로 동작) — f-secure.com/v-descs/melissa.shtml
• U.S. Department of Justice — Creator of Melissa Computer Virus Sentenced to 20 Months in Federal Prison (2002-05-01 보도자료) — justice.gov
• The New York Times — John Markoff, Digital Fingerprints Leave Clues to Creator of Internet Virus (1999-03-30) — nytimes.com

※ 본문의 PoC 코드는 구조 이해 목적의 교육용 모의 코드이며, 실제 Melissa 매크로 페이로드·실제 Outlook 자동화·실제 주소록 수집·실제 메일 발송·실제 IOC는 포함하지 않습니다. 모든 실습은 인터넷과 분리된 격리 랩 VM을 전제로 하며, 실제 시스템·타인 자산에 대한 실행은 불법입니다.

함께 읽기: 💥 Emotet (2014–2021) — 메일 첨부가 랜섬웨어의 1차 침투 플랫폼이 되기까지 · 🟥 Code Red (2001) — '요청 하나'가 서버를 삼킨 대량 감염 · 🌐 Log4Shell (2021) — 공급망을 흔든 제로데이 체인 · 🐛 Morris Worm (1988) — 인터넷을 처음 멈추게 한 웜