구글에서 검색을 하고 링크를 클릭했는데, 이유도 모른 채 원하는 결과 페이지로 이동하지 못한 적이 있으신가요?
한 번이 아니라 몇 번을 눌러도 같은 상황이 반복된다면, 브라우저 리디렉션 바이러스에 감염되었을 가능성이 높습니다. 이 악성코드는 단순히 사용자를 짜증나게 하는 것에서 그치지 않고, 검색 결과를 조작해 수익을 얻고 개인 정보까지 수집하는 무서운 존재입니다.
요즘은 PC 보안만 어느 정도 신경 써도 감염되기 어렵지만, 여전히 이런 바이러스는 곳곳에 존재합니다. 이번 글에서는 브라우저 리디렉션 바이러스의 작동 원리와 감염 경로, 그리고 확실하게 제거하는 방법까지 단계별로 살펴보겠습니다.
브라우저 리디렉션 바이러스는 어떻게 작동할까?
감염 여부는 스스로 알아차릴 수 있습니다. 무엇보다 원하는 페이지가 열리지 않고 엉뚱한 사이트로 계속 연결되어 큰 불편을 겪게 됩니다. 자세히 보면 계속 로딩되는 페이지에 구글 검색창처럼 낯익은 요소가 포함되어 있는 경우가 많습니다.
이때 주소창의 URL이 다음과 같은 형태를 띤다면 의심해볼 필요가 있습니다.
- icityfind.com
- scour.com
- fastsfind.com
- amusede.in
- 1freefiledownload.com
- find-quick-results.com
- bidvertiser.com
이러한 감염은 루트킷(rootkit), 부트킷(bootkit), 그리고 악성 브라우저 확장 프로그램 등이 원인일 수 있으며, 이들의 목적은 오직 돈 버는 것과 사용자 정보 수집입니다.
그렇다면 어떻게 돈을 벌까요? 핵심은 바로 '검색'입니다. 일반적인 구글 검색 결과에는 소수의 스폰서 광고만 노출되지만, 리디렉션 바이러스에 감염되면 모든 검색 결과와 링크가 수익 창출 대상으로 바뀝니다. 게다가 즐겨찾기 사이트 목록부터 신원 도용에 악용될 수 있는 개인 정보까지, 사용자 데이터가 몰래 기록되어 추후 사용될 수 있습니다.
결론적으로, 브라우저 리디렉션 바이러스가 발견되었다면 제거가 완료될 때까지 컴퓨터의 어떤 브라우저에서도 개인 정보를 입력하지 않는 것이 안전합니다.
조작된 Hosts 파일 점검하기
윈도우 사용자라면 Hosts 파일을 알아두면 좋습니다. C 드라이브에 저장된 텍스트 파일로, 차단하고 싶은 웹사이트 URL 목록을 담을 수 있습니다. Hosts 파일은 URL 차단 용도 외에도, 특정 IP 주소 접속 시 어떤 웹사이트가 표시될지 지정하는 용도로도 활용됩니다.
방법은 간단합니다. Hosts 파일(Windows\System32\Drivers\etc)을 찾아 메모장으로 엽니다(파일 우클릭 후 연결 프로그램 → 메모장). 파일 끝의 빈 공간에 차단할 URL이나 IP 주소를 추가하고 저장하면 해당 주소가 차단됩니다.
같은 원리를 응용하면 자주 방문하는 사이트의 바로가기를 만들어 입력 시간을 줄일 수도 있습니다. 문제는 브라우저 리디렉션 바이러스 역시 이 Hosts 파일을 악용한다는 점입니다. 바이러스는 원본 파일을 덮어쓰거나 자체 데이터로 교체해 검색 결과를 조작합니다. 크리스 호프먼(Chris Hoffman)의 윈도우 Hosts 파일 가이드를 참고하면 더 자세한 내용을 확인할 수 있습니다.
브라우저 리디렉션 바이러스 제거: 먼저 안전 모드로 진입하세요
브라우저 리디렉션 바이러스의 제거 과정은 XP부터 Windows 8까지 대체로 동일합니다. 첫 번째 단계는 컴퓨터를 안전 모드(Safe Mode)로 재부팅하는 것입니다.
Windows XP~7의 경우: 컴퓨터를 재부팅하고 부팅 디스크 요약 화면이 나타나는 즉시 F8 키를 반복해서 누릅니다. 윈도우 로딩 화면이 이미 나타났다면 늦은 것이므로 처음부터 다시 시도해야 합니다. 무선 키보드는 인식이 잘 안 될 수 있으니, 가능하면 USB 유선 키보드를 사용하세요.
고급 부팅 옵션(Advanced Boot Options) 화면이 나타나면 키보드 방향키로 두 번째 항목인 네트워크가 있는 안전 모드(Safe Mode with Networking)를 선택하고 Enter 키를 누릅니다.
Windows 8의 경우: 설정(Settings)과 전원(Power) 메뉴를 엽니다. 다른 작업을 하기 전에 Shift 키를 누른 상태에서 다시 시작(Restart)을 선택합니다. 재시작 메뉴가 나타나면 문제 해결(Troubleshoot) → 고급 옵션(Advanced options) → 시작 설정(Startup Settings) 순으로 이동한 뒤 다시 다시 시작을 누릅니다. 마지막으로 키보드에서 5번 키를 눌러 네트워크가 있는 안전 모드 사용을 활성화하면, 인터넷 연결이 유지된 상태로 안전 모드가 시작됩니다.
프록시 설정 확인하기
다음으로 시스템의 프록시(proxy) 설정을 점검합니다. 브라우저 리디렉션 바이러스는 평소 인터넷에 연결하는 서버가 아닌 원격 서버를 통해 트래픽을 우회시키기도 합니다. 이 설정을 비활성화하면 바이러스 제거에 한 걸음 더 가까워질 수 있습니다.
제어판에서 인터넷 옵션(Internet Options)을 엽니다. Windows 8이라면 시작 화면에서 "internet options"라고 입력하면 빠르게 실행할 수 있습니다. 연결(Connections) 탭을 클릭하고 LAN 설정(LAN Settings)을 확인합니다. 프록시 서버(Proxy Server) 항목에 체크가 되어 있다면(주소가 있든 없든) 체크를 해제하고 대신 설정 자동 감지(Automatically detect settings)를 선택한 후 확인을 눌러 저장하고 종료합니다.
브라우저 관리하기
이 시점에서는 아직 바이러스의 정확한 출처를 알기 어렵습니다. 제거 도구의 분석 결과를 확인해야 출처를 파악할 수 있으므로, 우선 브라우저에서 애드온(add-on), 확장 프로그램(extension), 툴바(toolbar)를 모두 삭제하고 홈페이지를 기본값으로 되돌리는 것이 좋습니다.
정리가 끝났다면 CCleaner를 다운로드해 설치합니다(설치 과정에서 구글 툴바 같은 불필요한 번들 프로그램 설치를 유도하므로 주의하세요). CCleaner로 임시 인터넷 파일 속의 정크 데이터를 검사합니다. Cleaner 탭에서 Windows 항목 아래 Internet Explorer 관련 옵션을 모두 체크하고, Applications 보기에서 설치된 다른 브라우저에 대해서도 동일하게 적용합니다. Run Cleaner를 클릭하고 정리가 완료될 때까지 기다립니다.
모든 정리가 끝났다면(CCcleaner 사용 가이드를 참고하면 어떤 옵션을 선택해야 할지 더 명확합니다) 다음 단계로 넘어갑니다.
브라우저 리디렉션 바이러스 제거에 효과적인 3가지 필수 도구
현재 브라우저 리디렉션 바이러스에 대응할 수 있는 도구는 여러 가지가 있습니다. 일부 전문가는 여러 도구를 순서대로 모두 실행할 것을 권장하고, 어떤 이들은 한두 가지만 사용해도 충분하다고 말합니다.
가장 효과적인 조합은 카스퍼스키의 루트킷 제거 도구 TDSSKiller를 먼저 실행한 뒤, 검증된 Malwarebytes를 실행하는 것입니다. 추가 점검이 필요하다면 HitmanPro까지 활용하면 좋습니다.
1. Kaspersky TDSSKiller
이 유틸리티는 별도 설치가 필요 없습니다. tdsskiller.exe 파일을 더블클릭해 실행한 후 Change Parameters(매개변수 변경) 버튼을 클릭합니다. 화면에서 Detect TDLFS file system(TDLFS 파일 시스템 검색)을 활성화하고 OK를 눌러 진행한 뒤, Start Scan(검사 시작)을 클릭합니다. 검사가 완료되면 위협이 발견된 경우 요약 페이지와 권장 조치 목록이 표시됩니다. Continue(계속)를 클릭해 조치를 승인하면 TDSSKiller가 바이러스를 처리합니다. 완전한 제거를 위해서는 재부팅이 필요할 수 있으니, 이후 다시 네트워크가 있는 안전 모드로 부팅해야 한다는 점을 기억하세요.
2. Malwarebytes Anti-Malware Free
설치가 완료되면 자동으로 실행되며 업데이트를 권장하는 메시지가 표시됩니다. Fix Now(지금 수정)를 클릭해 첫 검사를 시작합니다. 검사가 끝나면(소프트웨어가 먼저 업데이트 버튼을 누르라고 요청할 수 있습니다) 발견된 위협 목록이 나타납니다. Quarantine All(모두 격리)을 클릭한 뒤 Apply Actions(작업 적용)을 누르면 됩니다.
3. HitmanPro
HitmanPro는 설치 후 실행하거나(설치 없이 1회 실행 옵션도 제공됩니다), 컴퓨터에서 잘 지워지지 않는 루트킷, 악성코드 및 관련 파일을 검사합니다. 발견되는 즉시 파일 목록이 표시되며, 검사가 완료되면 Next(다음)를 클릭해 제거합니다. HitmanPro의 30일 무료 체험판을 이용하려면 Activate free license(무료 라이선스 활성화)를 클릭해야 하며, 구매할 계획이 아니라면 이 단계가 필요합니다.
이 세 가지 검사를 마쳤다면, 마지막으로 평소 사용하던 백신 프로그램으로 전체 검사를 진행하세요. Avira, AVG, Kaspersky 같은 무료 백신이나 BitDefender Internet Security 같은 유료 보안 제품 모두 좋은 선택입니다.
마무리: 브라우저 초기화까지 잊지 마세요
모든 검사와 제거 도구의 작업이 끝났다면 마지막 단계가 하나 남아 있습니다. 위협의 흔적을 완전히 없애려면 브라우저를 초기화(reset)해야 합니다. 사용 중인 브라우저에 따라 방법이 다릅니다.
- Internet Explorer: 설정(Settings) 버튼을 클릭한 후 인터넷 옵션 > 고급(Advanced)으로 이동하면 초기화(Reset) 버튼이 있습니다. Reset을 클릭하기 전에 반드시 개인 설정 삭제(Delete personal settings)를 선택하고, 완료되면 닫기(Close)를 누른 뒤 브라우저를 재시작합니다.
- Mozilla Firefox: 메뉴(Menu) > 도움말(Help) > 문제 해결 정보(Troubleshooting Information)로 이동하면 Firefox 초기화…(Reset Firefox) 버튼이 있습니다. 클릭 후 확인하면 브라우저가 초기화됩니다.
- Google Chrome: 햄버거 메뉴(≡)에서 설정(Settings)을 선택하거나 주소창에 chrome://settings를 입력합니다. 고급 설정 표시(Show advanced settings)를 클릭하고 아래로 스크롤해 설정 초기화(Reset settings) 버튼을 찾습니다. 클릭 후 확인 창에서 승인하면 브라우저가 초기화됩니다.
이제 모든 과정이 끝났습니다. 앞으로는 더 안전하게 인터넷을 사용하는 습관을 들이세요. 브라우저 리디렉션 바이러스는 대부분 허술한 보안 습관에서 비롯됩니다. 바이러스 감염 예방 가이드를 참고하고, 브라우저를 항상 최신 버전으로 유지하며, 무엇보다 운영체제 보안 업데이트를 정기적으로 확인해 보안 취약점을 미리 막는 것이 중요합니다.
이제 브라우저 리디렉션 바이러스는 완전히 제거되었을 것입니다. 악성코드의 불편함 없이 쾌적하게 컴퓨터를 사용하시길 바랍니다. 궁금한 점이 있다면 댓글로 남겨주세요.
대표 이미지 출처: Shutterstock / URL Phishing