가짜 소프트웨어 설치 프로그램이 윈도우 업데이트를 비활성화하고 있습니다.

2026년 9월 8일 | 블로그

저자 : 케이티 보케티 | 편집 : 크레이그 테일러

크레이그 테일러의 사설:

검색 초창기가 기억납니다. 도그파일 , 애스크 지브스 , 알타비스타 가 있었고, 그 후 구글이 등장해서 모든 것을 바꿔놓았죠. 수년 동안 검색은 그저 잘 작동했습니다. 질문을 입력하고 검색 결과 상단에 나오는 답을 믿으면 됐죠.

최근 들어 그런 신뢰가 많이 떨어졌습니다. 구글은 이제 실제 검색 결과 위에 서너 개, 심지어 다섯 개씩이나 되는 광고들을 잔뜩 띄워놓고, 저도 모르게 그 복잡한 광고들을 건너뛰고 제가 좋아하는 AI에게 물어보게 됩니다. 향수 때문인지 몰라도, 구글 검색 페이지 맨 위가 믿을 만한 곳이었던 시절이 그립습니다.

아래 기사는 구글 검색 결과 상단에 나타나는 불필요한 정보만이 문제가 아니라는 점을 다시 한번 상기시켜 줍니다. 범죄자들은 이제 로고와 다운로드 버튼까지 똑같이 복제한 가짜 업체 페이지를 만들어 악성 소프트웨어를 컴퓨터에 심어 넣습니다. 이에 대한 해결책은 두 가지로 나뉩니다. 하나는 전통적인 방법이고, 다른 하나는 기술적인 방법입니다. 전통적인 방법은 간단합니다. 검색 결과를 맹목적으로 신뢰하지 말고, 공식 업체 웹사이트에서 직접 소프트웨어를 다운로드하세요. 그리고 설치 전에 승인을 해주는 팀원에게 감사를 표하세요. 기술적인 방법은 습관적으로 실수로 클릭하는 경우를 방지하는 것입니다. 직원들의 계정에서 관리자 권한을 제거하세요. 일반 사용자 계정은 대부분의 악성 소프트웨어 공격을 차단합니다. 공격자는 관리자 권한을 이용해 보안 시스템을 비활성화하고 업데이트를 중지해야 하기 때문입니다. 좋은 습관은 위험한 클릭을 줄여주고, 최소 권한 원칙은 한 번의 실수로 전체 시스템이 노출되는 것을 막아줍니다.

아직도 검색창에 브랜드 이름을 입력하고 첫 번째 결과를 클릭하는 사람들에게 이 글을 공유해 보세요. 분명 고마워할 거예요.

그리고 기억하세요: 웃고, 배우고, 신나게 놀아요!
크레이그

악성코드 링크가 검색 결과 상위권을 차지했습니다.

마이크로소프트는 간단한 설치 방식을 사용하는 악성코드 공격 사례에 대한 연구 결과를 발표했습니다. 사용자가 인기 소프트웨어를 검색하고 페이지 상단에 있는 검색 결과를 클릭하면, 실제 업체 사이트와 똑같이 생긴 페이지로 이동하여 설치 프로그램을 다운로드합니다. 파일이 실행되면 화면에는 아무런 문제가 없어 보입니다. 하지만 설치 프로그램은 실제로는 Windows 업데이트를 비활성화하고, Microsoft Defender 예외 항목을 추가하며, 공격자에게 다시 연결합니다. 이러한 모든 행위는 결국 악성코드 감염으로 이어집니다.

다행히도 좋은 소식이 많습니다. 대부분의 보안 도구는 이러한 설치 프로그램이 실행되기 전에 차단합니다. 만약 하나라도 차단을 피해 설치되더라도 관리자 권한이 없는 일반 사용자는 설치 프로그램이 시도하는 대부분의 작업을 차단할 수 있습니다. 또한 팀원들이 정식 소프트웨어를 어디에서 다운로드해야 하는지 알고 있다면 이러한 위협은 아예 데스크톱에 도달하지 못할 것입니다.

가짜 다운로드 사이트는 어떻게 작동하는가?

공격자들은 .com.cn, .hl.cn과 같은 국가 코드 확장자를 사용하여 실제 브랜드 이름과 유사한 도메인을 등록했습니다. 그들은 해당 업체의 웹페이지 레이아웃, 로고, 심지어 커다란 녹색 다운로드 버튼까지 그대로 복제했습니다. 사칭된 브랜드에는 웹 브라우저, PDF 편집기, 전자책 리더, 마인드맵 앱, 화면 녹화 프로그램, 디스크 유틸리티, 번역 도구, 게임 하드웨어 등이 포함되었습니다.

한 가지 특징 때문에 차단이 평소보다 더 어려워집니다. 다운로드되는 ZIP 파일의 이름은 매번 동일하지만, 내용은 요청할 때마다 바뀝니다. 방문자마다 약간씩 다른 파일을 받기 때문에 알려진 악성 파일 특징을 찾는 보안 도구는 일치하는 항목이 없습니다. 따라서 탐지는 설치 후의 동작에 초점을 맞춰야 합니다.

피해자들은 의료, 제조, 게임, 기술, 물류, 정부 및 교육 분야에 종사하는 것으로 확인되었습니다. 마이크로소프트는 이러한 활동이 수년 전부터 가짜 벤더 다운로드 페이지를 유포해 온 실버 폭스(Silver Fox)라는 그룹과 연관되어 있다고 판단하고 있으며, 그 연관성에 대해 어느 정도 확신을 갖고 있습니다.

누군가가 '실행'을 클릭하면 무슨 일이 일어날까요?

설치 프로그램은 컴퓨터에 일련의 조용한 변경 사항을 적용합니다.

이 기능은 일반적인 IT 유지 관리 작업과 동일한 이름으로 예약 작업을 생성하므로 작업 스케줄러를 잠깐 살펴보면 아무런 이상한 점을 발견할 수 없습니다.
이 프로그램은 시스템 권한으로 짧은 시간 동안 실행되는 작업을 수행하며, PowerShell을 사용하여 자체 폴더에 대한 Microsoft Defender 제외 항목을 추가합니다.
이 기능은 볼륨 섀도 복사본을 삭제하여 정상 작동 상태로 되돌릴 수 있는 쉬운 경로 하나를 제거합니다.
이 프로그램은 icacls 명령어를 사용하여 폴더 권한을 변경하므로 일반 사용자는 악성 파일을 삭제할 수 없습니다.
이 작업은 Windows 업데이트 서비스를 중지 및 비활성화하고, 업데이트 파일의 이름을 변경하고, 업데이트 캐시를 지웁니다.
그런 다음 일반적이지 않은 네트워크 포트를 통해 공격자 서버에 접속합니다.

Microsoft Defender가 해당 활동을 감지하고 자동 차단을 시작했으므로 캠페인의 최종 목표는 여전히 알 수 없습니다.

주목해야 할 단계

윈도우 업데이트를 끄는 것은 이 목록에서 가장 장기적인 피해를 초래합니다. 업데이트가 비활성화된 컴퓨터는 계속 작동하고, 이메일을 열고, 사용자에게는 아무 문제 없이 보이는 것처럼 보입니다. 하지만 새로운 보안 패치는 모두 해당 컴퓨터를 건너뛰게 됩니다. 몇 주 후, 같은 컴퓨터는 사무실의 다른 모든 데스크톱에서는 이미 수정된 취약점에 노출된 채로 방치됩니다.

패치 보고를 단순한 IT 관리 작업이 아닌 보안 신호로 간주하십시오. 업데이트 보고서에서 아무런 알림이 없는 시스템은 면밀한 검토가 필요합니다.

방어를 위한 5가지 신속 대응 조치

아래 각 단계는 세 가지 레벨로 구성되어 있습니다. '좋음' 레벨은 비용이 거의 들지 않거나 전혀 들지 않고 당장 서비스를 시작할 수 있도록 해줍니다. '더 좋음' 레벨은 약간의 노력으로 더욱 강력한 보호 기능을 제공합니다. '최고' 레벨은 가장 강력한 보호 기능을 제공하지만, 구축하고 유지하는 데 더 많은 시간과 비용이 소요됩니다.

로컬 관리자 권한을 제거하세요.
- 좋은: 사용자들이 일상적으로 사용하는 계정에서 로컬 관리자 권한을 제거하고, IT 담당자에게 설치 전용 관리자 계정을 별도로 제공하세요. 이 방법은 정책 변경 외에는 비용이 전혀 들지 않으며, 악성 프로그램이 Windows Defender와 Windows Update를 비활성화하려면 관리자 또는 SYSTEM 권한이 필요하기 때문에 이 글에서 언급된 대부분의 문제를 해결할 수 있습니다.
- 더 나은RMM 또는 엔드포인트 도구를 통해 승인 기반 권한 상승 기능을 추가하여 사용자가 정상적인 설치에 대해 일회성 권한 상승을 요청하면 몇 초 만에 승인할 수 있도록 하세요.
- 베스트셀러모든 기기에 걸쳐 완전한 권한 관리를 구현하고, 어느 곳에도 상시 관리자 권한을 부여하지 않습니다. 이는 가장 강력한 버전이며, 제대로 실행하려면 계획 수립과 유료 도구가 필요합니다.
소프트웨어의 출처를 직접 관리하세요.
- 좋은각 도구의 공식 공급업체 페이지로 사용자를 안내하여 검색 엔진을 거치지 않고 바로 소프트웨어를 다운로드할 수 있도록 하세요. 검색 엔진은 가짜 사이트들이 가장 활발하게 활동하는 곳입니다.
- 더 나은Intune 회사 포털, RMM 소프트웨어 카탈로그 또는 Mac용 Jamf와 같은 셀프 서비스 카탈로그를 구축하세요. 사용자는 승인된 도구를 한 번의 클릭으로 설치하고 검색 결과는 전혀 건드리지 않아도 됩니다.
- 베스트셀러: 직원들이 직접 설치할 필요 없이 모든 앱이 IT 부서를 통해 제공되는 완전 관리형 배포 방식으로 전환하십시오. 이는 가장 깔끔한 제어 방식이지만, 설정 및 인력 비용이 가장 많이 듭니다.
컴퓨터에서 실행되는 프로그램을 제어하세요.
- 좋은Windows 11에서 스마트 앱 제어를 켜고 Mac에서 Gatekeeper를 설정하여 App Store 및 확인된 개발자의 앱만 허용하세요. 두 기능 모두 운영 체제에 무료로 포함되어 있으며, 알 수 없는 설치 프로그램이 실행되기 전에 차단해 줍니다.
- 더 나은다운로드 폴더와 임시 폴더(설치 프로그램이 자주 실행되는 곳)에서 프로그램이 실행되지 않도록 차단합니다.
- 베스트셀러WDAC 또는 AppLocker와 같은 도구를 사용하여 완벽한 애플리케이션 허용 목록을 구축하세요. 이렇게 하면 승인된 소프트웨어만 실행될 수 있습니다. 이는 가짜 설치 프로그램에 대한 가장 강력한 방어벽이며, 구축 및 최적화에 상당한 시간이 소요되므로 신뢰할 수 있는 작업이 중단되지 않도록 해야 합니다.
네트워크 수준에서 웹을 필터링하세요.
- 좋은다운로드가 시작되기 전에 알려진 악성 도메인 및 유사 도메인을 차단하는 Quad9와 같은 무료 보호 DNS 서비스를 기기에 연결하세요.
- 더 나은: 새로 등록된 도메인을 차단하고 보고하는 필터링 서비스로 이전하세요. 그러면 공격자들이 수백 개씩 만들어내는 새로운 .com.cn 스타일 사이트를 잡아낼 수 있습니다.
- 베스트셀러사무실 및 원격 장치 전체에 걸쳐 그룹별 정책 및 로깅을 적용하여 전체 DNS 및 웹 필터링을 실행합니다. 이는 가장 광범위한 적용 범위를 제공하며, 사용자당 비용이 발생하고 지속적인 조정이 필요합니다.
방어선을 보호하고 경계하십시오.
- 좋은Microsoft Defender에서 변조 방지 기능을 켜세요. 이 무료 설정은 악성 프로그램이 추가하려는 제외 폴더를 포함하여 원치 않는 보호 변경을 차단합니다.
- 더 나은매달 무료 또는 저렴한 도구를 사용하여 패치 보고서를 검토하고, 업데이트가 중단된 시스템에 대해서는 후속 조치를 취하십시오. 업데이트가 중단된 시스템은 종종 업데이트가 비활성화되었음을 나타냅니다.
- 베스트셀러파일 지문 대신 동작을 모니터링하는 EDR 또는 관리형 MDR 서비스를 추가하세요. 이는 모든 다운로드가 고유한 파일일 때 가장 확실한 탐지 방법입니다. 가장 강력한 탐지 방식이지만 월별 비용과 설정 작업이 필요합니다.

이번 주에는 모든 항목에서 '좋음'부터 시작하세요. 하루를 시작할 때보다 더 안전한 상태로 마무리할 수 있을 것이며, 자신만의 속도로 '더 좋음'과 '최고'를 향해 나아갈 수 있을 것입니다.

의심스러운 기계에서 확인해 볼 만한 징후

새로운 예약 작업이 SYSTEM 권한으로 일반 유지 관리 이름으로 실행됩니다.
Defender 제외 경로를 추가하는 PowerShell 명령입니다.
Windows 업데이트 서비스가 변경 요청 없이 중지되거나 비활성화되었습니다.
패치 보고서에서 장치가 사라지는 현상.
비정상적으로 높은 번호의 항만으로 향하는 출국 트래픽.

이러한 징후가 나타나는 경우, 단순히 정리하는 것보다 복구하는 것이 더 나을 수 있습니다. 악성 프로그램은 섀도 복사본을 삭제하고, 자체 폴더를 잠그고, 업데이트를 방해하기 때문에 부분적인 정리로는 문제가 해결되지 않습니다. 장치를 재설치하고, 사용하는 암호를 변경한 후 안심하고 사용하세요.

다음 작은 단계

위의 각 단계에서 좋은 행동 하나씩을 선택하여 오늘 바로 실행하세요. 팀원들에게 이번 공격에 대해 알리고, 그들을 위해 추가하는 보호 조치들을 자세히 설명해 주세요. 모든 팀원에게 확실한 단서인 웹 주소를 숙지하고, 새로운 것을 설치하기 전에 반드시 당신과 상의하도록 하세요. 좋은 행동들은 몇 분밖에 걸리지 않고, 몇 시간씩 걸리지 않습니다. 각각의 행동은 오늘 아침보다 오늘 밤 조직을 훨씬 더 안전하게 만들어 줍니다. 이러한 습관을 들이고, 설치 전에 문의하는 사람들에게 보상을 제공하며, 계속해서 실천하세요.

자주 묻는 질문 (FAQ)

클릭하기 전에 가짜 다운로드 사이트를 어떻게 구별할 수 있나요?

웹 디자인보다는 웹 주소를 살펴보세요. 디자인은 거의 완벽하게 복제된 경우가 많습니다. 특이한 국가 코드 끝자리, 하이픈으로 연결된 브랜드 이름, 익숙하지 않은 서브도메인은 흔히 보이는 가짜 주소입니다. 더 확실한 해결책은 눈으로만 확인하는 것을 그만두는 것입니다. 셀프 서비스 카탈로그나 공식 공급업체 페이지와 같은 관리되는 소스에서 소프트웨어를 다운로드하세요. 그러면 가짜 검색 결과가 나타날 가능성이 줄어듭니다.

파일 지문이 바뀌는 것이 왜 중요할까요?

많은 보안 도구는 고유한 해시 값으로 악성 파일을 식별합니다. 서버가 다운로드할 때마다 악성 파일의 새로운 복사본을 생성하는 경우, 각 피해자는 고유한 파일을 받게 되므로 해시 기반 차단은 효과가 없습니다. 대신 행동 기반 탐지가 그 역할을 대신합니다.

Windows 업데이트 서비스가 비활성화된 경우 얼마나 위험할까요?

한 번의 보안 침해는 끝없는 취약점으로 이어집니다. 컴퓨터는 겉보기에는 정상적으로 작동하지만, 그 이후에 배포된 모든 패치가 적용되지 않은 상태가 됩니다. 이러한 상태의 컴퓨터는 공격자에게 몇 달 후에도 다시 침입할 수 있는 확실한 경로를 제공합니다.

Microsoft Defender가 여기서 저를 보호해 주나요?

부분적으로는 안전합니다. 마이크로소프트가 조사한 사례에서는 Windows Defender가 이 공격을 탐지하고 차단했습니다. 하지만 이 악성코드는 여전히 시스템 권한을 이용해 자체 제외 폴더를 추가하려고 시도하므로, 보안을 유지하려면 변조 방지 기능을 활성화하고, 제외 폴더 변경 사항을 검토하며, 직원이 불필요한 관리자 권한 없이 작업해야 합니다.

이는 중국에서 사업을 운영하는 기업에만 해당되는 문제인가요?

보고된 바에 따르면, 가짜 페이지가 중국어 콘텐츠를 사용하기 때문에 피해는 주로 중국에 기반을 둔 사업체와 중국어 사용 사용자에게 집중됩니다. 이러한 수법은 확산성이 뛰어납니다. 영어권 브랜드를 대상으로 하는 가짜 설치 프로그램 캠페인이 정기적으로 발생하며, 설치 후 동작은 모든 Windows 컴퓨터에서 동일하게 나타납니다.

직원들이 회사 노트북에 집에서 소프트웨어를 설치하는 경우는 어떻게 되나요?

같은 조언을 좀 더 부드럽게 전달하세요. 사람들이 업무용 기기에 개인 도구를 설치하는 이유는 업무를 효율적으로 처리하기 위해서입니다. 승인된 도구를 한 번의 클릭으로 설치할 수 있는 셀프 서비스 카탈로그, 추가 요청 방법, 그리고 관리자 권한이 없는 표준 계정을 제공하세요. 위험 부담이 큰 검색 엔진 우회 과정이 사라지고, 실수로 한 번 클릭하더라도 피해가 훨씬 줄어듭니다.