맥(Mac) 브라우저에서 Genieo·Conduit·Downlite·Spigot 등 애드웨어와 스파이웨어 완벽하게 제거하는 방법

"맥은 바이러스나 멀웨어에 감염되지 않는다"는 말은 이제 옛날 이야기가 되었습니다. 지금 바로 자신의 브라우저를 점검해 보시길 권합니다. 어쩌면 이미 감염되어 있을 수도 있습니다.

현재 가장 널리 퍼져 있는 애드웨어는 바로 이스라엘 기업이 배포하는 Genieo(제니오)입니다. InstallMac이라는 이름으로도 불리며, 2013년 1월부터 활발하게 유통되고 있습니다. 설치 파일은 회사 공식 웹사이트를 통해서도 배포되지만, 실제로는 가짜 Adobe Flash Player 설치 프로그램처럼 다른 소프트웨어로 위장한 형태로 퍼지는 경우가 훨씬 많습니다. 회사 측은 매번 이런 행위를 "서드파티 파트너" 탓으로 돌리고 있습니다.

더 큰 문제는 Genieo에 포함된 공식 제거 프로그램(uninstaller)입니다. 겉보기에는 정상적으로 삭제되는 것처럼 보이지만, 실제로는 시스템 곳곳에 여러 구성 요소를 남겨두고 백그라운드에서 계속 실행됩니다. 감염된 시스템은 사용자의 웹 검색 행동을 추적당하고, 합법적인 웹사이트조차 광고 배너로 덮여 클릭을 유도하는 피해를 입게 됩니다.

Genieo란 무엇인가?

Genieo는 검색 엔진 프로그램으로, 설치되는 순간 브라우저의 홈페이지와 기본 검색 엔진 설정을 강제로 변경합니다. 엄밀히 말해 바이러스로 분류되지는 않지만(17개 보안 솔루션이 맥용 버전을 애드웨어로 분류), 검색 결과에 과도한 수의 스폰서 링크와 광고를 섞어서 노출시킵니다.

애드웨어 문제는 운영체제 종류와 상관없이 모든 플랫폼에서 심각한 이슈가 되었습니다. 그 주요 원인은 인기 있는 무료 프로그램(프리웨어)에 잠재적으로 원치 않는 응용 프로그램(PUP)이 몰래 묶여서 배포되기 때문입니다.

감염 경로

대부분의 애드웨어·멀웨어·스파이웨어 감염은 동영상 다운로더, 파일 변환기, PDF 생성기 같은 서드파티 개발자의 "프리웨어"를 설치할 때 발생합니다. 또한 다른 사이트 페이지의 광고를 통해 다운로드되는 경우도 있습니다. 이런 광고는 흰 글씨로 "Download" 또는 "Download Now"라고 적힌 커다란 초록색 버튼을 사용해, 같은 페이지에서 다른 것을 내려받으려던 사람들을 혼동시키도록 설계되어 있습니다.

팁: 다운로드한 파일이 예상했던 것과 다르다면 즉시 삭제하세요.

감염 확인 방법

Genieo에 감염되었다면 브라우저 홈페이지가 아래 화면처럼 Genieo 검색 엔진으로 변경되어 있을 것입니다.

Pic-33(a)

또는 메뉴 막대 상단에 작은 집(Home) 아이콘이 나타납니다.

Pic-33(b)

InstallMac에 감염된 경우에는 아래와 같은 홈페이지가 표시됩니다.

Pic-33(c)

Genieo 외에도 다양한 이름의 애드웨어와 스파이웨어가 맥 OS X 사용자들을 위협하고 있습니다. 대표적인 목록은 다음과 같습니다.

• Awesome Screenshot
• ChatZum
• ClickAgent
• Conduit
• Codec-M
• Deal Finder
• Downlite
• Delta-Search.com
• FkCodec
• Genieo
• GoPhoto.it
• Jollywallet
• MacDeals
• MacSter
• Omnibar
• PalMall, MacVX, MacShop, MacSmart, News Ticker Remover
• Rvzr-a.akamaihd.net
• Savekeep, saVe keeep, suave keepo 등 유사한 이름
• Searchme, Slick Savings, Amazon Shopping Assistant, Ebay Shopping Assistant
• Spigot
• Trovi
• Vidx, Viddxx, Vidox, Viidax, ViiDDx 등 유사한 이름
• Yontoo, Torrenthandler

위 목록 중 하나라도 감염되었다면 걱정하지 마세요. 신뢰할 수 있는 애드웨어 제거 도구만 실행하면 모두 깨끗하게 없앨 수 있습니다.

방법 1. TSM Adware Removal Tool로 자동 제거하기 (권장)

가장 좋은 제거 도구는 thesafemac.com에서 제공하는 TSM Adware Removal Tool입니다. https://www.thesafemac.com/art/ 에서 내려받을 수 있습니다. 이 도구는 애플스크립트(AppleScript) 기반으로, 알려진 모든 맥 애드웨어를 제거하도록 설계되어 있습니다.

사용 방법

1단계. 다운로드 폴더에서 도구를 실행하면 이후 과정은 거의 자동으로 진행됩니다. 실행 전에 먼저 메뉴 막대 우측 상단의 집 아이콘을 클릭하여 Quit Genieo를 선택해 백그라운드에서 실행 중인 Genieo를 종료하세요.

Pic-33(d)

2단계. Finder에서 다운로드 폴더를 열고 TSM Adware Removal Tool 폴더 안의 TSM Adware Removal Tool.app 파일을 실행합니다. 스크립트는 먼저 업데이트를 확인하며, 최신 버전이 있다면 새로 내려받도록 안내합니다. 기존 버전으로 계속할 수도 있지만, 가급적 최신 버전을 사용하는 것이 안전합니다.

Pic-33(e)

Pic-33(f)

Pic-33(g)

3단계. 웹 브라우저를 닫아도 되는지 묻습니다. 만약 작성 중인 글이 있다면 여기서 중단하고 나중에 다시 실행할 수 있습니다. 괜찮다면 스크립트가 브라우저를 자동으로 닫습니다.

Pic-33(h)

4단계. 발견된 애드웨어의 제거가 시작됩니다. 구성 요소는 곧바로 삭제되지 않고 휴지통으로 이동되므로, 최종 삭제 여부는 사용자가 결정할 수 있습니다.

Pic-33(i)

Pic-33(j)

5단계. 청소가 끝나면 휴지통 비우기 또는 재시작 중 어떤 작업을 할지 물어봅니다. 안내에 따라 진행하세요.

Pic-33(k)

6단계. 특수한 두 가지 경우에는 추가 선택지가 주어집니다.

GoPhoto.it 관련: Firefox 환경설정 파일(prefs.js)에 수백 KB의 GoPhoto.it 관련 JavaScript 코드가 감염되어 있을 수 있습니다. 이 코드를 삭제해야 애드웨어가 완전히 제거되지만, 일부 Firefox 설정이 초기화됩니다. prefs.js 파일을 지금 삭제하지 않기로 선택했다면, 나중에 스크립트를 다시 실행하거나 백업에서 깨끗한 파일을 복원하거나, 직접 악성 코드를 제거할 수 있습니다.

launchd.conf 삭제 여부: 일부 Genieo 변종은 잘못 삭제하면 컴퓨터가 멈추고 재시작조차 불가능해지는 파일을 설치합니다. launchd.conf 파일에 Genieo 관련 악성 설정이 발견되면, 스크립트는 신중하게 해당 파일 삭제 여부를 묻습니다. 파일을 삭제하거나 직접 수정할 수 있으며, 어느 쪽이든 변경 사항을 적용하려면 재시작이 필요합니다. 삭제 후 스크립트를 한 번 더 실행하면, 감염된 launchd.conf가 남아 있는 동안은 안전하게 지울 수 없었던 나머지 구성 요소들도 제거됩니다.

Pic-33(l)

결론: 화면에 표시되는 메시지를 성급하게 넘기지 말고 반드시 읽고 따르세요. 그것만 지켜도 안전합니다.

방법 2. 수동으로 제거하기 (Manual Removal)

⚠ 경고: 아래 절차를 정확히 따르지 않으면 컴퓨터가 멈추고 재부팅조차 되지 않을 수 있습니다. 작업 전 반드시 모든 데이터를 백업하고, 부팅이 불가능해졌을 때 복원하는 방법을 알고 있어야 합니다. 백업 방법을 모른다면 Apple 지원 사이트의 "파일 백업 및 복원 방법" 문서를 먼저 참고하세요.

절차

1. 먼저 관리자(Administrator) 계정으로 로그인했는지 확인합니다. Genieo가 설치되어 있다면 메뉴 막대에 "집" 아이콘이 보일 것입니다. 아이콘을 클릭하고 Quit Genieo를 선택해 종료합니다. 일부 변종에는 Genieo 앱이 없으므로, 이 경우 이 단계는 생략해도 됩니다.

Pic-33(m)

앱이 종료되지 않거나 집 아이콘이 보이지 않는다면, 활성 상태 보기(Activity Monitor) 앱(응용 프로그램 > 유틸리티 폴더)을 열어 Genieo 프로세스를 찾습니다. 선택한 후 도구 모음의 X 표시가 있는 정지 버튼을 눌러 강제 종료합니다.

Pic-33(n)

2. /private/etc/launchd.conf 파일을 찾아 휴지통으로 이동합니다. 이 파일을 성공적으로 찾아 삭제했다면, 이 시점에는 절대 휴지통을 비우지 마세요. 파일을 찾지 못했다면 4단계에 나열된 .dylib 파일들은 삭제하지 마세요. 이 파일이 존재하는데 제대로 제거하지 못하면 컴퓨터가 멈추고 부팅이 불가능해질 수 있습니다!

참고로 Genieo 공식 제거 프로그램을 이미 실행했다면 launchd.conf 파일은 이미 함께 삭제되었을 것이므로, 그냥 다음 단계로 진행하면 됩니다.

3. launchd.conf 파일을 찾아 삭제했다면 컴퓨터를 재시작합니다. 아니라면 재시작 없이 계속 진행합니다.

4. 아래 항목들을 휴지통으로 이동(또는 드래그)하여 삭제합니다. 일부 항목은 존재하지 않을 수 있으며, 실제로 발견된 것만 제거하면 됩니다.

/Applications/Genieo
/Applications/InstallMac
/Applications/Uninstall Genieo
/Applications/Uninstall IM Completer.app
~/Library/Application Support/com.genieoinnovation.Installer/
~/Library/Application Support/Genieo/
~/Library/LaunchAgents/com.genieo.completer.download.plist
~/Library/LaunchAgents/com.genieo.completer.update.plist
/Library/LaunchAgents/com.genieoinnovation.macextension.plist
/Library/LaunchAgents/com.genieoinnovation.macextension.client.plist
/Library/LaunchAgents/com.genieo.engine.plist
/Library/LaunchAgents/com.genieo.completer.update.plist
/Library/LaunchDaemons/com.genieoinnovation.macextension.client.plist
/Library/PrivilegedHelperTools/com.genieoinnovation.macextension.client
/usr/lib/libgenkit.dylib
/usr/lib/libgenkitsa.dylib
/usr/lib/libimckit.dylib
/usr/lib/libimckitsa.dylib

5. 컴퓨터를 재시작한 후, 존재한다면 아래 항목도 휴지통으로 이동합니다.
/Library/Frameworks/GenieoExtra.framework
이제 휴지통을 비워도 안전하므로 비워줍니다.

6. Omnibar 확장 프로그램 제거 — Safari를 열고 상단 메뉴에서 Safari > Reset Safari(사파리 재설정)를 선택합니다. 그다음 Safari 메뉴의 환경설정(Preferences)을 열고 확장 프로그램(Extensions) 탭에서 좌측 목록의 omnibar를 선택한 뒤 제거(Uninstall)를 클릭합니다.

Pic-33(m)

Pic-33(o)

7. 마지막으로 브라우저의 홈페이지와 기본 검색 엔진을 원하는 값으로 다시 설정합니다.

Pic-33(p)

방법 3. Bitdefender 도구로 자동 제거하기

1. Bitdefender 공식 웹사이트에서 무료 제거 도구를 내려받습니다.

Pic-33(q)

2. 도구를 열고 간단한 안내에 따라 진행합니다. 모든 Genieo 파일이 삭제되고 Safari, Chrome, Firefox가 자동으로 초기화됩니다.

3. 필요하다면 맥을 재시작하고, 브라우저의 홈페이지와 기본 검색 엔진을 다시 설정합니다.

참고 자료:
https://www.thesafemac.com/arg-genieo/