키로거는 최신 보안 업데이트가 적용된 컴퓨터까지도 손쉽게 공격할 수 있는 위험한 보안 위협입니다. 키로거의 목표는 사용자의 키 입력을 몰래 기록한 뒤 해커나 감시자에게 개인 정보를 넘기는 것입니다. 안티키로거 소프트웨어를 사용할 수도 있지만, 심각한 피해가 발생하기 전에 미리 위협을 탐지하는 것이 훨씬 효과적입니다.
이 글에서는 Windows 컴퓨터에서 키로거를 탐지하는 가장 좋은 방법들을 소개합니다. 나아가 가장 정교한 키로거조차 무력화할 수 있는 고급 예방 기술인 '키스트로크 암호화'까지 함께 알아보겠습니다.
키로거란 무엇인가?
키로거(keylogger)는 컴퓨터나 노트북 키보드, 모바일 기기에 입력되는 키 입력을 감시하는 소프트웨어 또는 하드웨어입니다. 하드웨어 키로거는 USB나 불법 드라이버 형태로 삽입되며 비교적 탐지와 제거가 쉬운 편입니다. 반면 소프트웨어 키로거는 훨씬 은밀해서 감염된 시스템에서 아예 발견되지 않는 경우도 있습니다.
일반적인 바이러스나 트로이목마와 달리 원격 키로거는 시스템 성능에는 거의 영향을 주지 않지만, 금융 정보·비밀번호·익명 게시물과 댓글 같은 개인 정보를 외부에 노출시켜 훨씬 큰 피해를 입힙니다.
가장 정교한 감시 프로그램은 키 입력의 리듬과 패턴 분석을 통해 사용자 프로필을 만들기도 합니다. 다만 어떤 키로거든 효과를 발휘하려면 먼저 컴퓨터에 제대로 설치되어야 한다는 점을 기억하면 다행입니다. 키로거는 위험 수준에 따라 다음과 같이 분류할 수 있습니다.
- 브라우저 기반 키로거: 일부 악성 웹사이트는 CSS 스크립트, MITB(Man-In-the-Browser) 공격, 웹 폼 기반 키로거를 사용합니다. 다행히 Windows 10 이상에서 Windows Defender 등 기본 보안 기능을 활성화해 두면 대부분 즉시 차단됩니다.
- 일반 스파이웨어형 키로거: 수상한 이메일 첨부파일이나 SNS·토렌트 다운로드를 통해 유입되는 전통적인 유형입니다. 역시 Windows Defender나 백신 프로그램으로 차단될 가능성이 높습니다.
- 커널 레벨 키로거: 더 위험한 유형으로, 루트킷 형태로 Windows 운영체제 아래에서 작동하며 탐지를 회피할 수 있습니다.
- 하이퍼바이저 기반 키로거: 가상화 기술을 이용해 운영체제 복제본처럼 위장한 뒤 모든 키 입력을 스캔합니다. 다만 매우 드문 위협입니다.
Windows 시스템이 키로거 공격을 받았다고 의심된다면, 아래 단계를 따라 데이터의 안전을 확인해 보세요.
작업 관리자로 키로거 확인하기
작업 표시줄을 마우스 오른쪽 버튼으로 클릭해 작업 관리자를 실행합니다. 백그라운드 프로세스 목록에서 'Windows 로그온 응용 프로그램'을 찾아보세요. 'Windows logon (1)'처럼 중복된 이름의 수상한 항목이 있다면 누군가 내 Windows 시스템에 접속하고 있다는 첫 번째 신호일 수 있습니다(참고: 다른 사람이 내 Windows PC에 로그인했는지 확인하는 방법). 해당 프로그램을 마우스 오른쪽 버튼으로 클릭해 작업을 종료하세요.
또한 '시작프로그램' 탭도 함께 확인해 부팅 시 자동 실행되는 수상한 프로그램이 있다면 사용 안 함으로 설정해 두세요.
명령 프롬프트로 의심스러운 인터넷 연결 탐지하기
다른 사용자가 로그인하지 않았음을 확인했다면, 이번에는 기기에 연결된 의심스러운 네트워크 연결이 있는지 점검해야 합니다. 명령 프롬프트를 관리자 권한으로 실행한 뒤 아래 명령어를 입력하세요.
netstat -b
현재 Windows 컴퓨터에 온라인으로 연결된 모든 사이트와 프로그램이 표시됩니다. Microsoft Store, Edge 브라우저, 'svchost.exe' 같은 시스템 프로세스는 정상이므로 걱정하지 않아도 됩니다. 낯선 IP 주소가 보이면 온라인에서 해당 IP의 위치를 조회해 원격지 연결 여부를 확인하세요.
안티루트킷 백신 솔루션 활용하기
커널 레벨 키로거의 희생자라고 생각된다면 효과적인 안티루트킷 솔루션을 사용해야 합니다.
경량 솔루션 중에는 McAfee의 무료 루트킷 제거 도구가 있습니다. 설치 즉시 업데이트를 확인한 뒤 루트킷 키로거를 포함한 커널 모드 위협을 검사합니다. 처리 속도가 빠르고 안정적이며 Windows 시스템에 부담을 주지 않습니다.
현재로서는 하이퍼바이저 레벨 키로거를 직접 탐지하는 확실한 방법이 없습니다. 가상 시스템은 눈에 보이지 않게 숨어 있어 사용자가 알아차리기 어렵기 때문입니다. 하지만 그런 감시 공격을 당했을 가능성이 있다면, 키보드가 데이터를 전송하는 것 자체를 막는 한 가지 기술이 있습니다.
고급 기술: 키스트로크 암호화
키스트로크 암호화(KeyStroke Encryption)는 키 입력이 온라인으로 전송되기 전에 모두 암호화해 키로깅을 원천적으로 차단하는 훌륭한 방법입니다. 하이퍼바이저 레벨 키로거 공격을 받더라도 악성코드가 확인할 수 있는 것은 암호화된 무작위 문자뿐입니다.
KeyScrambler는 널리 사용되는 키스트로크 암호화 솔루션으로, 바이러스 없이 안전하며 100만 명 이상의 유료 사용자를 보유하고 있습니다. 개인용(Personal) 에디션은 무료이며 60개 이상의 브라우저에서 키 입력 데이터를 보호해 줍니다. 공식 웹사이트에서 다운로드할 수 있습니다.
설치 후에는 시스템 트레이 오른쪽 아이콘에서 KeyScrambler를 활성화할 수 있습니다.
설정 메뉴에서는 키 입력 패턴 분석(keystroke profiling)에 대한 보호 기능도 켤 수 있습니다. 이 기능은 타이핑 리듬을 조절해 입력 습관으로 사용자를 식별하려는 웹사이트로부터 익명성을 지켜 줍니다.
Chrome이나 Firefox 등 브라우저에서 키를 입력하는 순간 KeyScrambler가 모든 키 입력을 암호화하며, 그 과정을 화면에서 실시간으로 확인할 수 있습니다.
키로거는 심각한 위협이지만, 이를 막는 일은 생각만큼 어렵지 않습니다. Windows Defender를 활용해 방어력을 높이고 다음과 같은 경고 신호에 주의하세요. 시스템이 평소보다 현저히 느려졌거나, 원치 않는 팝업과 광고가 나타나거나, 브라우저 설정이나 기본 검색엔진이 임의로 변경되었다면 시스템이 침해되었을 가능성이 있습니다. 위에서 소개한 방법들을 활용해 문제의 핵심을 찾아내시길 바랍니다.
혹시 키로거 피해를 의심하고 계신가요? 어떤 이유로 그렇게 생각하게 되었는지 댓글로 공유해 주세요.
이미지 출처: Robert van der Steeg