한 가지 백신 제품만 파일을 의심한 것도 아니다. VideoCardz는 FileScan.IO, MetaDefender, VirusTotal을 통해 파일을 확인했고, YARAify에서는 ClamAV 탐지명 Malware.Agentb와 Asruex 관련 탐지 2건이 보고됐다. 이 가운데 하나는 Win.Trojan.Asruex로 표시됐다. 같은 파일 해시와 관련된 분석·탐지 보고는 2024년 12월까지 거슬러 올라간다.

여러 독립적인 보안 도구에서 일관되게 경고가 나온 만큼 해당 설치 파일을 실행하지 않을 이유는 충분하다. 다만 스캐너의 탐지 결과만으로 파일의 모든 실제 동작이 입증되는 것은 아니며, 오탐 가능성을 완전히 배제하거나 피해자 수를 산출할 수 있는 기술 분석이 공개된 것도 아니다.

왜 드라이버 설치 파일이 특히 위험한가

드라이버 설치 프로그램은 운영체제에 시스템 수준의 변경을 가해야 하기 때문에 일반적으로 관리자 권한을 요청한다. 만약 해당 실행 파일이 악성 동작을 수행한다면, 이 권한을 이용해 시스템 설정을 바꾸거나 추가 구성 요소를 설치하고 데이터에 접근할 가능성이 있다. Tom’s Hardware도 드라이버 설치 프로그램에 악성 코드가 포함될 경우 관리자 권한을 얻을 수 있다는 점을 경고했다.

이는 관리자 권한 실행이 초래할 수 있는 위험을 설명한 것이지, 해당 파일이 실제로 가능한 모든 동작을 수행했다는 증거는 아니다. 따라서 여분의 PC나 테스트용 시스템에서 직접 실행해 확인하는 것도 피해야 한다.

GEEKOM의 해명과 현재 영향 범위

GEEKOM은 신형 지원 시스템으로 전환하는 과정에서 오래된 지원 페이지의 설치 파일이 제때 삭제되지 않았다고 설명했다. 해당 페이지는 더 이상 사이트의 일반적인 메뉴에서 연결되지 않았지만, 검색엔진에 남아 있던 링크를 통해 계속 접근할 수 있었다는 것이다.

회사는 현재 운영 중인 드라이버 페이지를 검토한 결과 유사한 문제를 발견하지 못했다고 밝혔다. 또한 이번 문제가 GEEKOM 하드웨어 자체나 미니 PC에 미리 설치된 Windows 운영체제에는 영향을 주지 않는다고 설명했다. GEEKOM은 문제가 된 구형 파일과 페이지를 제거하고, 리소스 관리 및 검토 절차를 강화하겠다고 밝혔다.

GEEKOM은 VideoCardz에 최초 보도를 내려달라고 요청했지만, VideoCardz는 이를 받아들이지 않았다. 해당 파일이 GEEKOM의 자체 인프라에서 실제로 다운로드됐고, GEEKOM도 그 사실을 확인했으므로 보도의 핵심 내용은 바뀌지 않는다는 이유였다.

여전히 답이 나오지 않은 핵심 질문도 있다. GEEKOM은 악성코드로 탐지된 실행 파일이 처음 어떻게 아카이브에 들어갔는지, 또는 왜 서버에 남아 있었는지를 설명하지 않았다. 구형 페이지가 계속 접근 가능했던 이유는 설명했지만, 파일의 최초 출처까지 밝힌 것은 아니다.

파일을 내려받은 사용자가 해야 할 일

GEEKOM이 제시한 대응 방법은 다음과 같다.

1. 실행하지 말고 삭제한다. 아직 실행하지 않은 설치 파일이 컴퓨터에 남아 있다면 실행하지 말고 로컬 사본을 삭제한다.
2. 보안 검사를 진행한다. 파일을 내려받았거나 실행했다면 Windows 보안, Microsoft Defender 또는 신뢰할 수 있는 다른 안티멀웨어 도구로 컴퓨터를 검사한다.
3. 네트워크 드라이버를 다른 경로로 교체한다. Windows Update, 부품 제조사의 공식 다운로드 페이지, 또는 GEEKOM의 현재 지원 페이지를 이용하고 구형 아카이브는 사용하지 않는다.
4. 실행했다면 Windows 재설치를 고려한다. 설치 파일을 실제로 실행했거나 가장 보수적으로 대응하고 싶다면 Windows를 새로 설치하는 방법을 고려할 수 있다. Tom’s Hardware는 가능하다면 시스템 전체 초기화를 권고했으며, 최소한 Windows Defender 오프라인 검사를 진행하라고 안내했다.

여기서 중요한 차이는 ‘다운로드’와 ‘실행’이다. 파일을 내려받았다는 사실만으로 시스템이 침해됐다고 단정할 수는 없으며, 실행하지 않은 파일은 삭제하면 된다. 반면 실행 과정에서는 설치 프로그램에 관리자 권한이 부여될 가능성이 있어 더 강한 대응이 필요하다.

2024년 AceMagic 사례와는 어떻게 다른가

이번 GEEKOM 사례는 구형 LAN 드라이버 아카이브 안에서 내려받을 수 있었던 실행 파일에 관한 문제다. 악성코드가 출고 당시 설치된 Windows 이미지에 포함됐던 사례와는 성격이 다르다. 제공된 보도에 따르면 GEEKOM 미니 PC에 사전 설치된 운영체제는 이번 문제의 영향을 받지 않았다.

반면 2024년 AceMagic 사건은 일부 시스템에 변조된 출고용 Windows 이미지가 설치돼 있었고, 해당 이미지에서 Bladabindi와 Redline 악성코드가 발견된 사례로 언급된다.

따라서 구형 드라이버 설치 파일을 내려받거나 실행하지 않은 GEEKOM 사용자가 미니 PC의 사전 설치 Windows를 통해 해당 파일을 받았다는 근거는 현재 제공된 자료에서 확인되지 않는다. 다만 문제의 설치 파일을 실행한 사용자는 앞서 안내한 전체 검사와 Windows 재설치 같은 보다 강한 예방 조치를 검토하는 편이 안전하다.

한 가지 백신 제품만 파일을 의심한 것도 아니다. VideoCardz는 FileScan.IO, MetaDefender, VirusTotal을 통해 파일을 확인했고, YARAify에서는 ClamAV 탐지명 Malware.Agentb와 Asruex 관련 탐지 2건이 보고됐다. 이 가운데 하나는 Win.Trojan.Asruex로 표시됐다. 같은 파일 해시와 관련된 분석·탐지 보고는 2024년 12월까지 거슬러 올라간다.

여러 독립적인 보안 도구에서 일관되게 경고가 나온 만큼 해당 설치 파일을 실행하지 않을 이유는 충분하다. 다만 스캐너의 탐지 결과만으로 파일의 모든 실제 동작이 입증되는 것은 아니며, 오탐 가능성을 완전히 배제하거나 피해자 수를 산출할 수 있는 기술 분석이 공개된 것도 아니다.

왜 드라이버 설치 파일이 특히 위험한가

드라이버 설치 프로그램은 운영체제에 시스템 수준의 변경을 가해야 하기 때문에 일반적으로 관리자 권한을 요청한다. 만약 해당 실행 파일이 악성 동작을 수행한다면, 이 권한을 이용해 시스템 설정을 바꾸거나 추가 구성 요소를 설치하고 데이터에 접근할 가능성이 있다. Tom’s Hardware도 드라이버 설치 프로그램에 악성 코드가 포함될 경우 관리자 권한을 얻을 수 있다는 점을 경고했다.

이는 관리자 권한 실행이 초래할 수 있는 위험을 설명한 것이지, 해당 파일이 실제로 가능한 모든 동작을 수행했다는 증거는 아니다. 따라서 여분의 PC나 테스트용 시스템에서 직접 실행해 확인하는 것도 피해야 한다.

GEEKOM의 해명과 현재 영향 범위

GEEKOM은 신형 지원 시스템으로 전환하는 과정에서 오래된 지원 페이지의 설치 파일이 제때 삭제되지 않았다고 설명했다. 해당 페이지는 더 이상 사이트의 일반적인 메뉴에서 연결되지 않았지만, 검색엔진에 남아 있던 링크를 통해 계속 접근할 수 있었다는 것이다.

회사는 현재 운영 중인 드라이버 페이지를 검토한 결과 유사한 문제를 발견하지 못했다고 밝혔다. 또한 이번 문제가 GEEKOM 하드웨어 자체나 미니 PC에 미리 설치된 Windows 운영체제에는 영향을 주지 않는다고 설명했다. GEEKOM은 문제가 된 구형 파일과 페이지를 제거하고, 리소스 관리 및 검토 절차를 강화하겠다고 밝혔다.

GEEKOM은 VideoCardz에 최초 보도를 내려달라고 요청했지만, VideoCardz는 이를 받아들이지 않았다. 해당 파일이 GEEKOM의 자체 인프라에서 실제로 다운로드됐고, GEEKOM도 그 사실을 확인했으므로 보도의 핵심 내용은 바뀌지 않는다는 이유였다.

여전히 답이 나오지 않은 핵심 질문도 있다. GEEKOM은 악성코드로 탐지된 실행 파일이 처음 어떻게 아카이브에 들어갔는지, 또는 왜 서버에 남아 있었는지를 설명하지 않았다. 구형 페이지가 계속 접근 가능했던 이유는 설명했지만, 파일의 최초 출처까지 밝힌 것은 아니다.

파일을 내려받은 사용자가 해야 할 일

GEEKOM이 제시한 대응 방법은 다음과 같다.

1. 실행하지 말고 삭제한다. 아직 실행하지 않은 설치 파일이 컴퓨터에 남아 있다면 실행하지 말고 로컬 사본을 삭제한다.
2. 보안 검사를 진행한다. 파일을 내려받았거나 실행했다면 Windows 보안, Microsoft Defender 또는 신뢰할 수 있는 다른 안티멀웨어 도구로 컴퓨터를 검사한다.
3. 네트워크 드라이버를 다른 경로로 교체한다. Windows Update, 부품 제조사의 공식 다운로드 페이지, 또는 GEEKOM의 현재 지원 페이지를 이용하고 구형 아카이브는 사용하지 않는다.
4. 실행했다면 Windows 재설치를 고려한다. 설치 파일을 실제로 실행했거나 가장 보수적으로 대응하고 싶다면 Windows를 새로 설치하는 방법을 고려할 수 있다. Tom’s Hardware는 가능하다면 시스템 전체 초기화를 권고했으며, 최소한 Windows Defender 오프라인 검사를 진행하라고 안내했다.

여기서 중요한 차이는 ‘다운로드’와 ‘실행’이다. 파일을 내려받았다는 사실만으로 시스템이 침해됐다고 단정할 수는 없으며, 실행하지 않은 파일은 삭제하면 된다. 반면 실행 과정에서는 설치 프로그램에 관리자 권한이 부여될 가능성이 있어 더 강한 대응이 필요하다.

2024년 AceMagic 사례와는 어떻게 다른가

이번 GEEKOM 사례는 구형 LAN 드라이버 아카이브 안에서 내려받을 수 있었던 실행 파일에 관한 문제다. 악성코드가 출고 당시 설치된 Windows 이미지에 포함됐던 사례와는 성격이 다르다. 제공된 보도에 따르면 GEEKOM 미니 PC에 사전 설치된 운영체제는 이번 문제의 영향을 받지 않았다.

반면 2024년 AceMagic 사건은 일부 시스템에 변조된 출고용 Windows 이미지가 설치돼 있었고, 해당 이미지에서 Bladabindi와 Redline 악성코드가 발견된 사례로 언급된다.

따라서 구형 드라이버 설치 파일을 내려받거나 실행하지 않은 GEEKOM 사용자가 미니 PC의 사전 설치 Windows를 통해 해당 파일을 받았다는 근거는 현재 제공된 자료에서 확인되지 않는다. 다만 문제의 설치 파일을 실행한 사용자는 앞서 안내한 전체 검사와 Windows 재설치 같은 보다 강한 예방 조치를 검토하는 편이 안전하다.