최근 몇 년간 애드웨어(adware)는 디지털 환경에서 가장 큰 사이버 보안 위협 중 하나로 자리 잡았습니다. 실제로 지난해에는 공격이 한층 더 강력해져 Windows, Mac, Android 기기를 사용하는 기업과 일반 사용자들이 집중적으로 표적이 되었습니다. Malwarebytes의 보고서에 따르면 Windows에서 약 2,400만 건, Mac에서 약 3,000만 건의 애드웨어 탐지가 발생한 것으로 나타났습니다.
애드웨어가 이렇게 널리 퍼진 이유는 많은 사용자가 이를 다른 종류의 악성코드만큼 위험하다고 인식하지 않기 때문입니다. 실제로 감염된 컴퓨터 사용자 대부분은 자신이 애드웨어에 감염되었다는 사실조차 모르는 경우가 많습니다. 브라우저에 광고가 많이 표시되어도 단순히 '방문 중인 웹사이트에서 띄우는 광고'라고 여기고 넘겨버리곤 합니다.
하지만 안타깝게도 대부분의 사람들은 애드웨어 감염의 결과를 심각하게 과소평가하고 있습니다. 애드웨어 자체는 트로이 목마나 랜섬웨어 같은 다른 악성코드만큼 위험하지 않을 수 있습니다. 그러나 진짜 위험은 감염된 사용자를 잠재적으로 유해한 웹사이트로 리디렉션할 수 있다는 점에 있습니다.
현재 가장 널리 퍼진 애드웨어 중 하나가 바로 Turbostream(터보스트림)입니다. 이 브라우저 리디렉션 악성코드는 사용자를 속여 푸시 알림을 구독하게 만든 뒤, 감염된 컴퓨터에 원치 않는 성가신 광고를 전달합니다. 작동 방식은 다른 악성코드와 비슷하지만, 이 애드웨어는 여러 개의 도메인을 활용해 악성 소프트웨어를 확산시킨다는 특징이 있습니다.
만약 내 기기나 컴퓨터가 Turbostream에 감염된 것으로 의심된다면, 이 글이 도움이 될 것입니다. 이 애드웨어가 시스템에 어떤 영향을 미치는지, 처음에는 어떻게 침투했는지 설명하고, 단계별 제거 방법까지 안내해 드립니다.
Turbostream이란?
Turbostream은 악성 팝업 알림을 통해 배포되는 애드웨어로, 사용자를 속여 푸시 알림을 구독하게 만든 후 피해자의 컴퓨터로 원치 않는 광고를 직접 전송합니다. 이러한 알림은 악성코드 유포 목적으로 만들어진 Turbostream 관련 웹사이트에 방문할 때 나타납니다. Turbostream 팝업이 확인된 주요 URL은 다음과 같습니다.
- Turbostream.club
- Turbostream.bar
- Turbostream.icu
- Turbostream.fun
- Videostay.site
- Videostay.uno
- Antihipe.club
웹사이트 이름에서 알 수 있듯이, 이 사이트들은 무료 영화를 시청하고 싶은 사용자를 유인하기 위해 가짜 스트리밍 사이트로 위장하고 있습니다. 이런 사이트에 접속하면 즉시 팝업 메시지가 뜨며 해당 사이트의 모든 알림 구독을 요구합니다. 새 콘텐츠나 업데이트 소식을 알려주기 위해 많은 정상적인 웹사이트도 알림을 요청하기 때문에 언뜻 무해해 보일 수 있지만, Turbostream의 알림 메시지는 일반적인 알림과 전혀 다른 방식으로 작동합니다.
일반적으로 마주하게 되는 팝업 메시지는 다음과 같습니다.
Turbostream.club wants to Show notifications
Please Press Allow to Continue Watch!
위에 나열된 모든 URL에서 동일한 메시지가 표시됩니다. 'Allow(허용)' 버튼을 클릭하면 해당 웹사이트를 떠난 후에도, 때로는 브라우저를 닫은 상태에서조차 Turbostream의 원치 않는 팝업 광고가 계속해서 쏟아지게 됩니다.
'Allow' 버튼을 누르는 순간 애드웨어는 컴퓨터에 스스로를 설치하고, 브라우저에 확장 프로그램을 추가하며, 브라우저 설정을 변경하고, 원치 않는 광고로 웹 브라우저를 도배할 기회를 얻게 됩니다. 또한 사용자가 부여한 권한을 직접 수동으로 제거해야 합니다.
Turbostream 애드웨어는 다른 애드웨어 유형의 악성코드 및 사이트들과 같은 방식으로 작동하는 불량 웹사이트 네트워크로 구성되어 있습니다. 앞서 나열한 URL에 접속해 보면 실제로 유용한 콘텐츠는 전혀 없다는 것을 알 수 있습니다. 화면에는 미디어 플레이어처럼 보이는 검은색 사각형만 있고, 곧 화면이 회색으로 변하면서 알림 팝업이 뜹니다. 'Allow' 버튼을 클릭해도 실제 콘텐츠는 로드되지 않으며, 대신 성가신 광고가 호스팅된 다른 웹사이트로 리디렉션됩니다. 'Block(차단)' 버튼을 눌러도 결과는 마찬가지입니다. 즉, 어떤 버튼을 누르든 애드웨어 다운로드가 실행되며, 팝업 메시지 내 아무 곳이나 클릭하기만 해도 악성코드가 다운로드됩니다.
Turbostream 웹사이트는 알림 구독 창을 띄우고, 스폰서 페이지 및 기타 광고주의 추가 콘텐츠를 표시하기 위해서만 만들어졌습니다. 이러한 사이트들은 모두 PUP(잠재적으로 원치 않는 프로그램) 개발자와 광고주가 운영하며, Pushtoday.icu, Nextyourcontent.com, Solo84.biz, Eztv.io, utorrentie.exe 등과 유사한 방식으로 설계되었습니다.
Turbostream은 사회공학(social engineering) 기법을 기반으로 설계되었기 때문에, 이 애드웨어가 표시하는 팝업, 알림, 광고 등은 각종 추가 콘텐츠를 유발할 수도 있습니다. 엄밀히 말해 Turbostream은 광고를 표시하는 것 외에는 별다른 행위를 하지 않는 악질 악성코드는 아닙니다. 하지만 반복되는 성가신 리디렉션 문제 외에도, 이런 웹사이트를 방문하면 기기가 더욱 유해한 악성코드에 노출될 위험이 있습니다.
Turbostream은 어떻게 유포되는가?
악성코드가 가장 흔히 유포되는 경로는 기만적인 웹사이트 광고입니다. 어딘가에서 Turbostream 웹사이트를 홍보하는 광고를 클릭하여 악성 사이트로 연결되었을 가능성이 큽니다. 이런 광고 대부분은 스폰서 광고 형태로 특정 대상에게 맞춰 표시됩니다. 광고를 클릭하는 순간 앞서 언급한 Turbostream URL 중 하나로 이동하게 됩니다.
또 다른 대표적인 유포 방식은 앱 번들링(app bundling)입니다. 이는 주로 무료 소프트웨어(freeware)나 무료로 사용할 수 있는 소형 앱을 다운로드할 때 발생합니다. 파일 변환기, 파일 다운로더, 토렌트 클라이언트, 파일 관리자, 시스템 클리너, 무료 템플릿 등 다양한 무료 유틸리티가 대표적인 예입니다. 이런 프로그램은 어떻게 수익을 낼까요? 답은 제3자로부터 돈을 받고 설치 패키지에 악성 앱을 포함시키는 것입니다.
무료 프로그램을 설치할 때 보통 '빠른 설치(Quick Install)'와 '사용자 지정 설치(Custom Install)' 두 가지 옵션이 제공됩니다. 대부분의 사용자는 mp3 변환기나 YouTube 다운로더 하나 설치하는 데 복잡한 과정을 거치고 싶지 않아 빠른 설치를 선택합니다. 하지만 빠른 설치 과정에는 번들된 악성 앱이 자동으로 설치된다는 사실을 모르는 경우가 많습니다. 반면 사용자 지정 설치를 선택하면 설치 과정의 모든 단계를 확인할 수 있고, 다운로드한 앱과 함께 악성코드가 설치를 시도하는 것도 미리 파악할 수 있습니다.
번들링과 스폰서 광고 외에도 Turbostream은 피싱(phishing)을 통해서도 유포됩니다. Turbostream 링크가 포함된 스캠 이메일은 청구서, 보안 경고, 소프트웨어 업데이트 안내 등 다양한 피싱 이메일로 위장하는 경우가 많습니다. 링크를 클릭하면 바로 Turbostream 웹사이트로 연결됩니다.
Turbostream이 하는 일은 무엇인가?
Turbostream 관련 웹사이트에 접속하면 가짜 미디어 플레이어가 있는 스트리밍 사이트처럼 보이는 페이지가 먼저 나타납니다. 하지만 이것은 모두 가짜입니다. 미디어 플레이어는 아무것도 재생하지 않고 검은 상자처럼 보일 뿐입니다. 사이트에서 아무 작업도 하기 전에 스트리밍을 계속하려면 알림을 허용하라는 메시지가 팝업으로 뜹니다. 그러나 어떤 옵션을 선택하든 애드웨어는 결국 다운로드되며, 이후 수많은 광고가 표시되는 여러 웹사이트로 리디렉션됩니다.
컴퓨터가 Turbostream에 감염되었음을 나타내는 주요 징후는 다음과 같습니다.
- 본인의 동의 없이 웹 브라우저 홈페이지가 이유 없이 변경되었습니다. 새 홈페이지의 URL을 확인해 보면 앞서 나열한 Turbostream 웹사이트 중 하나임을 알 수 있습니다.
- 광고가 자주 나타납니다. 광고가 Turbostream 웹사이트에 국한되지 않고 다른 웹사이트에서도 표시되며, 심한 경우 브라우저를 닫은 상태에서도 광고가 나타납니다.
- 다른 웹사이트의 링크를 클릭하면 예상과 전혀 다른 사이트로 리디렉션됩니다. Turbostream은 일반 단어와 문구를 하이퍼링크로 바꾸어 자신들의 광고에 연결하기 때문입니다. 즉, 화면에 보이는 것은 실제 링크가 아니라 악성코드가 전달하는 광고입니다.
- 평소 자주 방문하던 일부 웹사이트가 애드웨어 때문에 제대로 로드되지 않습니다. 악성코드가 웹페이지의 레이아웃과 콘텐츠를 조작하기 때문입니다.
- 본인이 설치한 적 없는 앱이 컴퓨터에 의문스럽게 설치되어 있습니다.
브라우저 리디렉션과 과도한 광고의 출현은 애드웨어 감염의 가장 대표적인 신호입니다. 일부 애드웨어는 악성 소프트웨어의 작동을 돕는 PUP(잠재적으로 원치 않는 프로그램)를 함께 포함하고 있기도 합니다. 이러한 기능 외에도 대부분의 애드웨어 앱은 피해자의 검색 기록, 검색어, 구매 행동 등 타겟 광고를 더 정교하게 전달하는 데 활용되는 개인 정보를 수집합니다.
그러나 Turbostream이 진정으로 위험한 이유는 랜섬웨어나 트로이 목마 같은 위험한 악성코드가 호스팅되어 있을 수 있는 외부 웹사이트로 사용자를 리디렉션할 수 있기 때문입니다.
Turbostream 제거 방법
Turbostream 애드웨어는 다른 악성코드에 비해 덜 위험할 수 있지만, 최대한 빨리 컴퓨터에서 제거해야 합니다. 성가신 광고를 견딜 수 있다 하더라도, 리디렉션이 초래하는 위험과 Turbostream이 수행하는 데이터 수집 활동은 반드시 고려해야 합니다.
다만 Turbostream을 제거하는 일은 말처럼 쉽지 않습니다. 다시 돌아오지 않도록 모든 구성 요소를 완전히 삭제해야 하기 때문입니다. 아래의 단계별 제거 지침을 따라 차근차근 진행해 보세요.
1단계: 모든 Turbostream 프로세스 종료하기
가장 먼저 할 일은 애드웨어와 관련된 모든 프로세스를 종료하는 것입니다. PUP를 제거하거나 브라우저 기본 설정을 되돌리려 해도, 관련 프로세스가 살아 있으면 작업이 실패하고 변경 사항이 적용되지 않습니다. 아래 지침에 따라 작업 관리자(Task Manager)를 통해 모든 Turbostream 프로세스를 종료하세요.
- 작업 표시줄의 빈 곳을 마우스 오른쪽 버튼으로 클릭한 뒤, 메뉴에서 '작업 관리자'를 선택합니다.
- '프로세스' 탭에서 이름에 Turbostream이 포함된 항목을 찾습니다.
- 의심스러운 프로세스를 클릭한 후 '작업 끝내기' 버튼을 누릅니다.
- 작업 관리자에서 의심스러운 모든 프로세스에 대해 위 단계를 반복합니다.
2단계: Turbostream PUP 제거하기
애드웨어가 PUP와 함께 설치되었거나, 컴퓨터에 본인이 설치한 기억이 없는 앱이 발견된다면 해당 프로그램들을 제거해야 합니다. 설정 > 앱 > 앱 및 기능으로 이동한 뒤, PUP 또는 의심스러운 앱을 찾아 '제거' 버튼을 클릭하세요. 의심스러운 앱이 모두 삭제될 때까지 이 과정을 반복합니다.
3단계: 남은 파일 검사하기
앱 제거를 마쳤다면, 백신·안티멀웨어 프로그램을 사용해 컴퓨터를 검사하고 감염된 파일을 모두 삭제하세요. 정기적으로 검사를 실행하는 습관을 들이면 악성코드가 보안망을 뚫고 들어오는 것을 예방할 수 있습니다.
4단계: 브라우저 설정 되돌리기
마지막 단계는 애드웨어가 변경한 브라우저 설정을 원래대로 되돌리는 것입니다. Firefox, Chrome, Internet Explorer, Safari 등 사용 중인 브라우저에서 애드웨어가 수정한 설정을 확인하고, 아래 단계에 따라 복원하세요.
Chrome에서 설정을 되돌리는 방법은 다음과 같습니다.
- 메뉴 > 도구 더보기 > 확장 프로그램으로 이동해 Turbostream 확장 프로그램을 제거합니다. 제거하려는 확장 프로그램의 '삭제' 버튼을 클릭하세요.
- 메뉴 > 설정 > 검색엔진으로 이동한 뒤, '주소창에서 사용되는 검색엔진' 옆의 드롭다운을 클릭해 기본 검색엔진을 다시 설정합니다.
- 왼쪽 메뉴에서 '모양'을 클릭한 후 새 탭 페이지와 홈페이지를 원하는 값으로 변경합니다.
- 모든 설정을 초기화하고 싶다면 '고급'을 클릭하고 아래로 스크롤하여 '설정 초기화' 섹션으로 이동합니다. '설정을 기본값으로 되돌리기' > '설정 초기화'를 순서대로 클릭하세요.
다른 브라우저에서도 세부적인 차이만 있을 뿐 절차는 기본적으로 동일합니다. 설정 메뉴로 들어가 수정하고 싶은 항목을 찾아 변경하면 됩니다.
요약
Turbostream 애드웨어를 제거하는 일은 제거 과정에서 꼼꼼함이 필요하기 때문에 다소 번거로울 수 있습니다. 하지만 위에서 안내한 단계를 순서대로 따라 하면 생각보다 복잡하지 않게 완전히 제거할 수 있습니다. 제거 후에는 정기적인 백신 검사와 함께 출처 불명의 무료 프로그램 설치, 수상한 알림 허용 요청에 주의하는 습관을 들이는 것이 재감염을 막는 가장 좋은 방법입니다.