작업 관리자에서 shellexperiencehost.exe 프로세스가 시스템 리소스(특히 CPU)를 지속적으로 사용하는 것을 발견하고, 이것이 정상적인 시스템 프로세스인지 궁금해하는 사용자들이 많습니다. 대부분의 경우 이 프로세스는 정품 Windows Shell Experience Host이지만, 피해자의 CPU를 이용해 모네로(Monero) 등 암호화폐를 채굴하는 트로이 목마 계열의 악성 실행 파일일 가능성도 배제할 수 없습니다.
이 글에서는 shellexperiencehost.exe의 역할과 기능을 설명하고, 정품 실행 파일과 트로이 목마 감염을 구별하는 방법까지 자세히 안내합니다.
ShellExperienceHost.exe란 무엇인가?
Windows Shell Experience Host는 유니버설 앱을 창 인터페이스로 표시하는 기능을 담당하는 정품 Windows 프로세스입니다. 핵심적으로 이 프로세스는 앱 인터페이스의 여러 그래픽 요소를 처리하는데, 대표적으로 다음과 같은 것들이 있습니다.
- 작업 표시줄 및 시작 메뉴의 투명 효과
- 달력과 시계 표시
- 배경 화면 동작
- 알림(Notifications) 시각 효과 등
Windows Shell Experience Host는 Windows 10에 처음 도입되었을 때 버그가 많고 CPU와 RAM을 과도하게 소모하는 문제가 있었습니다. 하지만 최신 업데이트를 거치면서 이 프로세스의 성능과 안정성은 크게 개선되었습니다.
shellexperiencehost.exe의 정상적인 동작은 CPU를 거의 사용하지 않는 것입니다. 다만 새로운 그래픽 요소가 렌더링될 때 일시적으로 CPU 사용량이 순간적으로 상승했다가 곧 0으로 돌아오는 것은 자연스러운 현상입니다. 또한 많은 앱이 Windows Shell Experience Host를 사용하더라도 메모리 사용량은 300MB를 넘지 않아야 합니다.
보안 위협 가능성은 없을까?
shellexperiencehost.exe가 정품이 아니라고 의심된다면, 몇 가지 방법으로 직접 확인해 볼 수 있습니다. 먼저 해당 프로세스의 리소스 사용량을 모니터링해 보세요. CPU를 정기적으로 20% 이상, RAM을 수백 MB씩 지속적으로 소모한다면 가짜 실행 파일일 가능성이 높습니다.
실제로 조사 결과, 피해자의 CPU를 이용해 암호화폐를 채굴하는 두 가지 트로이 채굴 프로그램(ShellExperienceHost.exe 및 MicrosoftShellHost.exe)이 발견된 바 있습니다. 특히 shellexperiencehost.exe로 위장하는 것으로 알려진 트로이 목마 계열은 모네로(Monero) 디지털 화폐를 채굴하는 데 사용됩니다.
파일 위치로 진위 확인하기
트로이 목마를 의심한다면 파일 위치가 가장 확실한 단서가 됩니다. 아래 절차를 따라 확인해 보세요.
- 작업 관리자(Ctrl + Shift + Esc)를 열고 프로세스 탭에서 shellexperiencehost.exe(Windows Shell Experience Host)를 찾습니다.
- Windows Shell Experience Host를 마우스 오른쪽 버튼으로 클릭한 후 파일 위치 열기(Open File Location)를 선택합니다.
참고: 드롭다운 메뉴를 확장해야 ShellExperienceHost.exe의 위치에 접근할 수 있는 경우도 있습니다.
표시된 경로가 C:\Windows\SystemApps\ShellExperienceHost_cw5n1h2txyewy라면 안심해도 됩니다. 이 경우 해당 실행 파일은 악성이 아닙니다.
반면 실행 파일이 다른 위치에 있고 지속적인 높은 리소스 사용량이 관찰된다면, 암호화폐를 채굴하는 트로이 목마에 감염되었을 가능성이 큽니다. 이 의심을 빠르게 확인하려면 해당 실행 파일을 VirusTotal에 업로드하여 분석해 보세요. 분석 결과 악성 파일로 판명되면 즉시 제거 조치를 취해야 합니다.
백신 프로그램이 준비되어 있지 않다면, 감염 제거를 위해 Malwarebytes 사용을 권장합니다.
ShellExperienceHost.exe를 삭제해야 할까?
ShellExperienceHost.exe 프로세스가 정품임을 확인했다면, 이를 비활성화하거나 삭제할 이유는 거의 없습니다. 이 프로세스를 비활성화하면 운영체제가 시각적 요소를 정상적으로 표시하는 능력이 심각하게 저하됩니다. 게다가 ShellExperienceHost 실행 파일을 삭제하더라도 컴퓨터를 재부팅하면 Windows가 자동으로 다시 생성합니다.
참고로 "Shell Experience Host가 작동을 멈췄습니다"라는 오류 메시지가 나타나던 대부분의 Windows 10 문제는 최신 업데이트를 통해 해결되었습니다.