정보를 검색할 때는 브라우저를 열고 검색어만 입력하면 가장 관련성 높은 결과가 화면에 나타납니다. 사용하는 검색 엔진에 따라 검색 결과가 달라질 수 있지만, 구글(Google), 야후(Yahoo), 빙(Bing) 같은 주요 검색 엔진들은 대체로 비슷한 결과를 보여줍니다.
검색 엔진마다 다른 결과를 한 번에 확인하고 싶은 마음은 누구나 있기 마련입니다. 그리고 바로 이런 심리를 파고드는 것이 Chrome의 SearchPulse 바이러스입니다. 이 프로그램은 최대 세 개의 검색 엔진을 선택해 검색 결과를 한 페이지에서 동시에 볼 수 있다고 홍보합니다. 매번 검색 엔진 사이트를 일일이 방문할 필요 없이, 검색창에 검색어를 한 번만 입력하면 세 개의 검색 엔진에서 각각 다른 결과를 받아볼 수 있다는 것이죠. 언뜻 들으면 꽤 편리해 보입니다.
하지만 겉모습과 달리 속사정은 전혀 다릅니다. SearchPulse는 단순히 검색 정보를 제공하는 것 이상의 일을 합니다. 사용자의 허락도 없이(경우에 따라서는 인지조차 못한 채) Mac에 스스로를 심어 의심스러운 활동을 벌이는 것입니다.
Mac의 SearchPulse란 무엇인가?
'SearchPulse는 유용한 Mac 소프트웨어'라고 생각할 수도 있습니다. 하지만 Google Chrome의 설정을 자세히 들여다보면 기본 설정이 모르는 사이에 다른 값으로 변경되어 있는 것을 발견하게 됩니다. 동의나 사전 고지 없이 브라우저 설정이 통째로 바뀌어 버린 것이죠. 바로 이런 이유로 SearchPulse는 일반적으로 브라우저 하이재커(browser hijacker), 즉 브라우저 납치 프로그램으로 분류됩니다.
Search Pulse는 home.searchpulse.net 또는 search.searchpulse.net이라는 이름으로도 알려져 있습니다. 이 브라우저 하이재커는 Chrome을 포함해 사용 중인 웹 브라우저를 장악하도록 설계되었습니다. Chrome 외에도 Safari, Firefox, Opera 등 주요 브라우저에 영향을 미치는 것으로 알려져 있습니다. 다른 브라우저 하이재커들과 달리 Search Pulse는 Microsoft .NET 언어로 개발되었고, 정당한 서비스처럼 보이도록 .net 도메인 확장자를 사용했습니다.
더욱 진짜처럼 보이기 위해 Search Pulse는 구글, 야후, 빙 등 주요 검색 엔진의 레이아웃과 디자인까지 흉내 냅니다. 하지만 실제로는 사용자 데이터를 수집하고 팝업 광고를 삽입해 피해자에게 큰 불편을 주는 악성코드입니다.
SearchPulse가 할 수 있는 일
일부 애드웨어는 브라우저 하이재커나 다른 악성 구성 요소를 포함하지 않는 경우가 많습니다. 대부분의 애드웨어는 광고, 팝업, 특가 정보, 쿠폰, 체험판 등을 삽입하는 방식으로 작동합니다. 반면 Search Pulse는 두 가지를 모두 수행하기 때문에 오늘날 가장 악질적인 애드웨어 중 하나로 꼽힙니다. 또한 검색 요청을 search.searchpulse.net을 통해 전달한 뒤, 합법적인 검색 엔진인 search.yahoo.com에서 결과를 가져옵니다.
야후 검색 엔진은 물론 악성코드가 아니며 자체 광고 네트워크를 갖춘 정상적인 검색 엔진입니다. 하지만 사용자가 Search Pulse에 검색어를 입력하면 그 정보가 수집되어 애드웨어 제작자에게 전달됩니다. 게다가 브라우저 하이재커이기 때문에 브라우저를 초기화하고 이 원치 않는 확장 프로그램을 삭제하기 전까지는 사용자가 이를 변경할 방법이 없습니다.
Search Pulse는 IP 주소, 시스템 정보, 암호화되지 않은 비밀번호 등 안전하지 않은 네트워크 연결을 통해 전송되는 민감한 정보를 계속해서 수집합니다.
이러한 위험 외에도 Search Pulse는 웹 브라우저에 다음과 같은 변화를 일으킵니다.
- 온라인 상태일 때마다 웹 페이지에 자동으로 삽입되는 성가신 광고. 웹 페이지의 텍스트와 키워드도 링크로 변환되어 팝업을 띄우거나 새 창을 열거나 페이지 내부에 광고를 생성합니다.
- 가짜 또는 위험한 소프트웨어 추천. 플래시(Flash)나 시스템 최적화 제품 같은 위험한 프로그램 추천 문구가 갑자기 나타날 수 있습니다.
- 온라인 중 표시되는各종 배너 광고. 위험한 웹 페이지로 리디렉션되어 웹 양식 작성이나 비밀번호 입력을 요구받을 수도 있습니다.
이 모든 활동은 결국 이 애드웨어 제작자에게 트래픽과 광고 수익을 가져다주기 위한 것입니다. 나아가 Mac에 안전하지 않은 백도어 역할을 하며 추가적인 보안 위험을 초래할 수 있습니다.
Mac에서 SearchPulse 제거하기
Mac에서 Search Pulse를 제거하는 것은 어렵지 않지만 번거로운 작업입니다. 감염된 파일이 조금이라도 남으면 Search Pulse가 빠르게 재생성될 수 있으므로, 제거 과정에서 꼼꼼함이 무엇보다 중요합니다.
macOS에서 이 악성코드를 제거하려면 아래 지침을 순서대로 따르고 어떤 단계도 건너뛰지 않도록 주의하세요.
1단계: Search Pulse 관련 프로세스 모두 종료
무엇보다 먼저 악성코드와 관련된 모든 프로세스를 종료해야 이후 단계가 성공적으로 진행됩니다. 유틸리티(Utilties) 폴더를 열고 활성 상태 보기(Activity Monitor)를 실행한 뒤, 의심스러운 프로세스를 모두 선택하여 강제 종료하세요.
2단계: Search Pulse 관련 파일 모두 삭제
Finder > 이동 > 폴더로 이동으로 이동한 후, 아래 폴더들을 검색하여 이 브라우저 하이재커와 관련된 악성 파일을 찾아 삭제합니다.
- /Library/Application Support/
- /Library/LaunchAgents/
- /Library/LaunchDaemons/
- /Library/PrivilegedHelperTools/
- /System/Library/Frameworks/
또한 Mac 클리너를 사용해 컴퓨터를 청소하면 감염된 파일이 하나도 남지 않았는지 확실하게 확인할 수 있습니다.
3단계: Search Pulse 로그인 항목 제거
악성코드가 부팅 시 함께 실행된다면 로그인 항목(Login Items)에 자체 항목을 만들어 둔 것입니다. 이 항목을 제거하려면 Apple 메뉴 > 시스템 환경설정 > 사용자 및 그룹 > 로그인 항목으로 이동한 뒤, (-) 버튼을 클릭해 해당 항목을 삭제하세요.
4단계: Chrome에서 Search Pulse 삭제
마지막 단계는 Chrome 브라우저에서 Search Pulse를 제거하는 것입니다. 방법은 다음과 같습니다.
- Chrome을 실행한 뒤 우측 상단의 메뉴(Menu)를 클릭합니다.
- 설정(Settings)을 선택합니다. 또는 주소창에 chrome://settings/를 직접 입력해 접속할 수도 있습니다.
- 왼쪽 메뉴에서 확장 프로그램(Extensions)을 클릭합니다.
- 목록에서 Search Pulse를 찾아 삭제(Remove) 버튼을 누릅니다.
- 확인 창이 뜨면 다시 한번 삭제(Remove)를 클릭해 완료합니다.
브라우저 하이재커의 흔적을 완전히 없애기 위해 브라우저를 기본 설정으로 초기화하는 것도 좋은 방법입니다. 설정 페이지에서 '고급'을 클릭한 뒤 '초기화 및 정리' 옵션을 선택하면 됩니다.
다른 브라우저에도 Search Pulse가 감염되었다면, 확장 프로그램 삭제와 브라우저 초기화 절차는 기본적으로 위와 유사합니다.
브라우저 하이재커 감염 예방법
브라우저 하이재커는 악성 리디렉션을 일으키고 감염된 브라우저를 성가시고 무관한 광고로 도배하는 것으로 악명이 높습니다. 이런 종류의 악성코드는 주로 앱 번들링(app bundling) 방식으로 유포되므로, 프로그램을 설치할 때 각별히 주의해야 합니다. 또한 생소한 발신자나 수상한 이메일 주소로부터 메일을 받았을 때도 경계해야 합니다. 메일 본문의 링크를 클릭하면 이 악성코드를 배포하는 웹사이트로 리디렉션될 수 있으니 링크는 절대 클릭하지 마세요.