요즘에는 광고를 표시하거나 바이러스 감염을 알린다며 나타나는 팝업 창을 닫기가 무척 어렵습니다. 닫아도 곧바로 다시 뜨기 때문에 매우 짜증스러운데요. 어떤 팝업은 플래시 플레이어 업데이트를 요구하고, 어떤 것은 브라우저 업데이트를 권하거나 컴퓨터가 바이러스에 감염되었을 수 있다고 경고하기도 하며, 자바(Java) 플러그인이 오래되었다고 알려주기도 합니다.
이번 글에서는 특히 Zoomify 바이러스에 대해 다룹니다. 이 악성코드는 쉽게 제거되지 않으며 대부분의 백신 프로그램에서도 탐지되지 않습니다. 실제로 저는 최신 버전의 Norton 백신이 실행 중인 상태에서 ADWCleaner, HitmanPro, Malwarebytes, ESET 온라인 스캐너로 컴퓨터를 검사했지만 여전히 브라우저를 열 때마다 팝업이 나타났습니다.
여러 시도 끝에 작업 관리자(Task Manager)에서 실행 중인 프로세스를 확인해 보았고, 그제서야 낯선 서비스들이 실행되고 있는 것을 발견했습니다. 하나를 종료해도 다시 살아나며, 해당 서비스와 연결된 파일조차 삭제할 수 없었습니다.
 |
| 작업 관리자에 표시되는 Coz32host.exe 바이러스 프로세스 |
인터넷에서 이 프로세스들의 정체를 검색하고 분석 도구로 조사한 결과, 이 프로그램은 Zoomify 악성코드와 연관된 것으로 팝업을 생성하고 브라우저를 강제로 리디렉션하는 원흉임을 알게 되었습니다. 즉, 이것은 바이러스입니다.
바이러스 유형: 유해한 리디렉션 바이러스
Zoomify 바이러스가 하는 일
- 브라우저를 장악하고 기본 설정을 임의로 변경합니다.
- 홈페이지, 시작 페이지, 검색 엔진 등 설정이 변경되며, 열어보는 모든 웹사이트에 평소 피하고 싶은 사이트로 연결되는 과도한 링크가 삽입됩니다.
- 악성코드·애드웨어·기타 잠재적으로 유해한 프로그램(PUP)이나 유해한 브라우저 확장 기능을 설치하도록 속이거나, Java 또는 Flash Player 업데이트를 위장한 가짜 메시지를 표시합니다.
- 끝없이 성가신 광고를 팝업으로 띄워 사용을 방해합니다.
- 많은 CPU 자원을 소모합니다.
- PC 성능을 심각하게 저하시킵니다.
- ZoomifyApp 바이러스는 사용자의 온라인 활동을 감시하고 개인 정보를 수집할 수 있습니다.
제거 방법
문제 해결 전 준비사항: 아래 절차를 시작하기 전에 현재 사용 중인 백신 또는 보안 소프트웨어를 최신 상태로 업데이트하고 전체 검사를 이미 수행했다고 가정합니다.
1단계. RKill을 실행해 악성 프로세스 종료하기
RKill은 본격적인 문제 해결에 앞서 반드시 먼저 실행해야 하는 도구입니다. 이 프로그램은 컴퓨터에서 실행 중인 모든 악성 프로세스를 종료하려고 시도하므로, 이후 단계를 진행할 때 악성 소프트웨어의 방해를 받지 않습니다. 프로세스가 종료되면 시스템 성능도 일시적으로 향상되어 작업을 더 빠르게 처리할 수 있습니다. RKill은 BleepingComputer.com에서 개발한 도구입니다.
공식 최신 버전의 RKill을 다운로드하여 사용하세요. 참고로 악성 소프트웨어가 이 유틸리티의 실행을 차단하지 못하도록 이름이 변경된 버전을 사용합니다. 일부 악성코드는 특정 파일명이 아니면 프로세스 실행을 허용하지 않기 때문에 RKill은 다양한 파일명으로 배포됩니다.
다운로드한 iExplore.exe 파일을 더블클릭하여 RKill을 시작합니다.
 |
| RKill 실행 화면 |
RKill이 실행되면 악성 프로세스를 종료하고, 잘못된 실행 파일 연결을 제거하며, 특정 도구 사용을 막는 정책을 수정합니다. 완료되면 실행 중 종료된 프로세스 목록이 담긴 로그 파일이 표시됩니다. RKill 실행 후에는 컴퓨터를 재부팅하지 마세요. 재부팅하면 악성 프로그램이 다시 실행됩니다.
이제 문제 해결 절차를 훨씬 수월하게 진행할 수 있습니다.
2단계. Zoomify 바이러스 관련 프로세스 중지하기
ZoomifyApp은 제어판에서 제거할 수 없고 백신 프로그램도 잡아내지 못하므로, 수동으로 제거해야 합니다. 작업을 시작하기 전에 반드시 레지스트리를 백업하세요. 또한 폴더 옵션에서 숨김 파일 및 폴더 표시를 활성화해야 합니다.
제어판 → 폴더 옵션으로 이동한 뒤 '보기' 탭을 클릭하고, '숨김 파일, 폴더 및 드라이브 표시'를 선택합니다. 그리고 아래 그림과 같이 '운영 체제 보호 파일 숨기기' 항목의 체크를 해제한 후 확인을 누릅니다.
 |
| 폴더 옵션 설정 |
작업 관리자를 열고 백그라운드에서 실행 중인 ZoomifyApp 프로세스를 중지합니다.
Zoomify App.exe
3단계. ZoomifyApp 바이러스 관련 파일 및 폴더 모두 삭제하기
아래 경로에 있는 파일과 폴더를 찾아 삭제하거나 이름을 변경합니다.
%program files%\Zoomify App
%documents and settings%\all users\application data\ZoomifyApp
%AllUsersProfile%\Application Data\ZoomifyApp.exe
%progran files%\Ads by Zoomify App.exe
%AllUsersProfile%\Application Data.exe
C:\WINDOWS\system32\drivers\serial.sys
C:\Users\Vishruth\AppData\Local\Temp\random.xml
C:\windows\system32\drivers\mrxsmb.sys(random)
C:\WINDOWS\system32\drivers\redbook.sys(random)
만약 Zoomify App 프로세스나 cozhost.exe, cozwhost.exe, cozahost.exe, cozadhost.exe, coz32host.exe, cozad32host.exe, zoomifyL32.exe, zoomifyD32.exe, zoomify.exe, wzoomifyd.exe 등 유사한 서비스들을 중지할 수 없다면, 해당 프로세스를 마우스 오른쪽 버튼으로 클릭한 후 아래 그림과 같이 '파일 위치 열기'를 선택합니다.
 |
| 실행 중인 프로세스의 위치 열기 |
해당 파일이 실행 중인 폴더가 열리면 여기 표시된 파일을 모두 삭제해야 합니다. 전체 선택 후 Shift+Delete 키를 눌러 영구적으로 삭제하세요.
파일이 실행 중이거나 사용 중이라 삭제할 수 없는 경우(저 역시 그랬습니다), 해당 .exe 및 .dll 파일의 이름을 xyz 같은 다른 이름으로 변경하세요.
또한 아래 위치의 모든 파일과 폴더를 삭제하거나 이름을 변경합니다.
%program files%\Zoomify App\
%documents and settings%\all users\application data\ZoomifyApp
%AllUsersProfile%\Application Data\ZoomifyApp.exe
%progran files%\Ads by Zoomify App.exe
%AllUsersProfile%\Application Data\.exe
C:\Program Data\Zoomify
C:\WINDOWS\system32\drivers\serial.sys
C:\Users\Vishruth\AppData\Local\Temp\random.xml
C:\windows\system32\drivers\mrxsmb.sys(random)
C:\WINDOWS\system32\drivers\redbook.sys(random)
%TEMP%\nsb3.tmp\StdUtils.dll
%TEMP%\nsb3.tmp\nsisos.dll
C:\Documents and Settings\LocalService\Local Settings\Temporary Internet Files\Content.IE5\CJCTQ25G\CAQ30L6F.php
%TEMP%\nsb3.tmp\UserInfo.dll
%WINDIR%\Tasks\Tempo Runner cozahost.job
%WINDIR%\Tasks\Tempo Runner coz32host.job
%TEMP%\nsb3.tmp\nsislog.dll
%TEMP%\nsb3.tmp\InstallerUtils.dll
4단계. 레지스트리에서 Zoomify 바이러스 흔적 지우기
레지스트리 편집기를 열고 ZoomifyApp 악성코드가 추가한 모든 레지스트리 키를 제거합니다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run "[ZoomifyApp]"
HKEY_CLASSES_ROOT\CLSID\[random numbers]
HKEY_CURRENT_USER\Software\AppDataLow\Software\ZoomifyApp
HKEY_CURRENT_USER\Software\ZoomifyApp
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Zoomify App
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\[random numbers]
숙련된 사용자라면 Zoomify를 완전히 없애기 위해 레지스트리에서 아래 파일명들을 검색하고 관련된 모든 항목을 삭제할 수 있습니다. 단, 레지스트리 작업 시 각별히 주의해야 하며, 반드시 아래 이름과 관련된 항목만 삭제하세요. 필요한 값을 잘못 삭제하면 컴퓨터가 불안정해질 수 있습니다.
cozhost.exe, cozwhost.exe, cozwdhost.exe, cozahost.exe, coz32host.exe*32, cozadhost.exe, coz32host.exe, cozad32host.exe, zoomifyL32.exe, zoomifyD32.exe, zoomify.exe, wzoomifyd.exe
5단계. Temp 및 %Temp% 폴더를 비우고 모든 브라우저 초기화하기
6단계. CCleaner 활용하기
CCleaner를 다운로드하여 실행하고 모든 정크 파일을 정리합니다. 이후 좌측의 '도구'를 클릭하고 '시작 프로그램'으로 이동한 뒤 '예약된 작업' 항목에서 알 수 없는 불필요한 작업을 모두 선택하여 삭제합니다. 이렇게 하면 Zoomify 바이러스가 일정 간격으로 서비스를 다시 시작하거나 스스로를 복구하려는 시도를 차단할 수 있습니다.
 |
| CCleaner 예약된 작업 정리 |
또한 Windows 시작 프로그램 항목도 점검하여 필요 없는 항목을 제거합니다.
CCleaner 창 왼쪽의 '레지스트리' 메뉴를 클릭한 후 레지스트리 문제를 검사하고 아래와 같이 수정합니다.
 |
| CCleaner 레지스트리 복구 |
7단계. 컴퓨터 재시작하기
컴퓨터를 재시작하면 이제 정상적으로 작동할 것입니다.
참고:- Zoomify 바이러스 앱은 'Zoompic'이라는 또 다른 이름으로도 유포됩니다. 이 경우 C:\Program Data\makulitsidwe 폴더에 있는 ZoompicL64.dll이라는 관련 파일이 함께 존재하므로, 이 폴더를 찾아 삭제하는 것이 좋습니다.