Windows에서 WinRing0을 제거하고 실제로 바이러스인지 확인하는 방법

가젯 뉴스 » 일반 » 튜토리얼 » Windows에서 WinRing0을 제거하고 바이러스인지 확인하는 방법

Windows 10 또는 Windows 11을 사용 중인데 갑자기 Microsoft Defender에서 HackTool:Win32/WinRing0 또는 VulnerableDriver:WinNT/Winring0.G와 같은 경고를 받았다면 , PC에 심각한 트로이 목마가 감염된 것은 아닌지 걱정될 수 있습니다. 설상가상으로 모니터링 도구, 냉각 팬 또는 RGB 조명이 갑자기 작동을 멈췄을 수도 있습니다.

우선 알아두셔야 할 점은 대부분의 경우 파일을 감염시키거나 하드 드라이브를 암호화하는 일반적인 바이러스가 아니라 , 윈도우가 적극적으로 차단하기로 결정한 알려진 취약점을 가진 드라이버라는 것입니다. 그렇다고 해서 완전히 무해하다는 의미는 아니지만, 접근 방식과 드라이버를 활성화 상태로 유지할지 여부를 결정하는 데 상당한 영향을 미칩니다.

WinRing0은 무엇이며, Windows Defender는 왜 이를 위협으로 감지하는 걸까요?

WinRing0은 수많은 PC 모니터링 및 제어 애플리케이션에서 오랫동안 사용되어 온 저수준 하드웨어 액세스 드라이버 입니다 . 이 라이브러리/드라이버를 사용하면 프로그램이 Windows 커널 및 특정 마더보드 구성 요소와 거의 직접 통신할 수 있어 일반적인 보안 계층을 우회할 수 있습니다.

WinRing0은 이러한 심층적인 하드웨어 접근 덕분에 센서 판독, 팬 속도 관리, RGB 조명 제어, 시스템 매개변수 미세 조정 등을 필요로 하는 타사 애플리케이션들 사이에서 매우 인기를 얻었습니다 . 하드웨어와의 이처럼 긴밀한 상호 작용을 허용하는 몇 안 되는 무료 오픈 소스 옵션 중 하나입니다.

문제는 2020년에 WinRing0 드라이버가 보안 취약점(CVE-2020-14979 )으로 분류되었다는 점입니다 . 이 취약점으로 인해 드라이버가 시스템에 로드되면 관리자 권한이 없는 애플리케이션이라도 시스템 메모리의 보호된 영역에 대한 읽기 또는 쓰기 권한을 요청할 수 있게 되어, 권한 상승이나 중요 프로세스 조작으로 이어질 수 있습니다.

이러한 이유로 마이크로소프트는 서명되지 않았거나 안전하지 않은 WinRing0 드라이버를 Windows Defender에서 잠재적으로 위험한 소프트웨어로 표시하기 로 결정했으며 , Hacktool:Win32/Winring0 또는 VulnerableDriver:WinNT/Winring0.G와 같은 탐지 항목으로 나타납니다. 기술적인 관점에서 볼 때 이러한 탐지는 타당합니다. 해당 드라이버에는 실제 취약점이 있으며 악성코드가 이를 악용할 수 있기 때문입니다.

그렇다고 해서 사용 중인 WinRing0 파일이 바이러스라는 의미는 아닙니다. 다만 악성 프로그램이 악용할 수 있는 기능을 포함하고 있다는 뜻 입니다. 혼란을 야기하는 이유는 정식 드라이버와 이를 위장하여 탐지를 피하는 악성 프로그램 모두 같은 이름을 사용하기 때문입니다.

WinRing0에 의존하는 애플리케이션 및 도구

이 문제가 큰 화제를 불러일으킨 이유 중 하나는 많은 인기 애플리케이션이 정상적인 작동을 위해 WinRing0에 의존하기 때문입니다. Microsoft Defender 정책이 강화되면서 이러한 애플리케이션들은 모두 탐지, 차단 및 사용자 PC에서 비정상적인 동작의 영향을 받았습니다.

가장 큰 영향을 받는 도구로는 수많은 하드웨어 모니터링 프로그램, 게임, RGB 또는 팬 관리 유틸리티가 있습니다. 여러 보고서와 사용 후기에서 CapFrameX, EVGA Precision X1(구 버전), FanCtrl, HWiNFO, Libre Hardware Monitor, MSI Afterburner, Open Hardware Monitor, OpenRGB, OmenMon, Panorama9, SteelSeries Engine, ZenTimings 등이 언급되고 있습니다.

또한 일부 제조업체의 주변기기 및 게임 장비 관리 소프트웨어 제품군은 과거에 WinRing0을 사용해 왔습니다. 포럼에서 언급된 실제 사례로는 Razer Synapse 앱이 백그라운드에서 실행되면서 드라이버가 통합된 경우, 해당 파일이 항상 "사용 중"으로 표시되어 Windows Defender가 직접 제거할 수 없었던 경우가 있습니다.

다른 사례로, 또 다른 사용자는 WinRing0 드라이버가 시력 건강상의 이유로 디더링을 일시적으로 비활성화해야 하는 접근성 애플리케이션에 필수적 이라고 설명했습니다 . 해당 드라이버가 없으면 노트북을 전혀 사용할 수 없으며, Windows Defender는 드라이버를 삭제하거나 차단하여 쉽게 복원할 수 있는 옵션을 제공하지 않는다고 했습니다.

이 모든 것은 디펜더 정의 업데이트 이후 갑자기 많은 사용자들이 즐겨 사용하는 도구가 실행되지 않거나 , 팬이 제어할 수 없을 정도로 최대 속도로 회전하거나, RGB 조명이 잘못 설정되는 등의 문제를 겪고 있다는 것을 의미합니다. 이는 이러한 모든 기능을 조율하는 핵심 드라이버가 격리되었기 때문입니다.

실제 보안 위험: 취약점 vs. 바이러스

개념을 명확히 구분하는 것이 중요합니다. WinRing0은 랜섬웨어 또는 일반적인 뱅킹 트로이목마가 아니라 , 악성 소프트웨어가 시스템을 보다 쉽게 ​​장악할 수 있도록 악용될 수 있는 취약한 컨트롤러입니다.

WinRing0은 시스템에 로드되면 보호된 리소스에 대한 무제한 액세스를 제공합니다 . 따라서 모든 프로세스는 드라이버에게 다른 프로세스, 비밀 정보, 임시 암호 또는 내부 Windows 커널 구조를 포함한 중요한 메모리 주소에서 읽거나 쓰도록 지시할 수 있습니다.

보안 관점에서 볼 때, 이는 윈도우를 보호하는 근본적인 장벽 중 하나인 사용자 공간과 커널 공간의 분리를 무너뜨리기 때문에 특히 우려스러운 문제입니다. WinRing0을 악용하는 공격은 운영 체제 자체를 손상시키지 않고도 일반적인 방어 체계를 우회할 수 있습니다.

이러한 이유로 마이크로소프트는 서명되지 않았거나 취약한 버전의 WinRing0을 "해킹 도구" 또는 위험한 드라이버 로 취급합니다 . 마찬가지로 많은 전문가들은 가능한 한 WinRing0 사용을 피하거나, 최소한 연구실 환경이나 위험 감수가 가능한 환경과 같이 매우 특수하고 통제된 상황에서만 사용하도록 권장합니다.

하지만 Windows Defender가 WinRing0을 경고 표시한다고 해서 암호가 도용되었거나 키로거가 설치되었거나 파일이 암호화되었다는 의미는 아닙니다 . 대부분의 경우, 이미 설치된 정상적인 애플리케이션이 해당 드라이버를 사용하기 때문에 경고 표시가 나타나는 것이며, 변경된 것은 사용자의 행동이 아니라 Microsoft의 기준입니다.

윈도우가 지금 이를 차단하는 이유는 무엇이며, 크라우드스트라이크는 이와 무슨 관련이 있습니까?

많은 사람들이 WinRing0이 수년 동안 취약했다면 왜 이제야 Windows Defender가 이를 적극적으로 차단하기 시작했는지 궁금해했습니다 . 명확한 공식 답변은 없지만, 상황을 이해하는 데 도움이 되는 몇 가지 단서가 있습니다.

한편, 마이크로소프트는 커널 드라이버에 대한 보안 정책을 오랫동안 강화해 왔습니다 . 보안 업데이트의 결함으로 전 세계 시스템을 마비시킨 크라우드스트라이크 취약점과 같은 대규모 사건 이후, 이처럼 높은 권한으로 실행될 수 있는 소프트웨어의 종류를 제한해야 한다는 압력이 커졌습니다.

게다가 마이크로소프트는 수년 전부터 커널에 접근하는 드라이버가 특정 커널 서명 인증서를 사용하여 디지털 서명되도록 요구해 왔습니다. 이 인증서를 얻으려면 공인된 회사여야 하고 서명 비용을 지불해야 하는데, 이는 지속적인 비용 부담으로 이어집니다. 대기업에게는 감당할 수 있는 수준이지만, 많은 오픈 소스 프로젝트에는 어려운 과제입니다.

널리 사용되는 오픈 소스 라이브러리 인 WinRing0은 시간이 지남에 따라 패치와 개선 사항이 적용되어 왔지만, Windows에서 신뢰할 수 있는 버전으로 인정받으려면 새 버전이 나올 때마다 검토 및 서명을 받아야 합니다. 여러 개발자에 따르면 최근 몇 년 동안 여러 차례 패치가 이루어졌지만, Microsoft가 새 버전에 대한 서명을 중단하거나 드라이버의 기본 철학이 너무 위험하다고 판단할 경우 이러한 상황은 더 이상 지속될 수 없게 됩니다.

실제로 마이크로소프트는 서명되지 않은 WinRing0 버전을 사용하는 게임 및 모니터링 애플리케이션이 위협으로 분류되었다는 보고를 인지하고 있다고 밝혔습니다. 마이크로소프트는 조사를 계속 진행 중이라고 밝히면서도, Windows Defender는 서명되지 않은 드라이버를 계속해서 위협으로 간주할 것이며, 장기적인 보안을 저해하지 않으면서 오탐을 방지하기 위해 탐지 로직을 검토하고 있다고 설명했습니다.

사용자에게 미치는 영향: 팬이 미친 듯이 돌아가고, RGB 조명이 고장 나고, 앱이 실행되지 않음

일반 사용자가 가장 쉽게 알아차릴 수 있는 영향은 하룻밤 사이에 많은 하드웨어 제어 도구가 작동을 멈춘다는 것입니다 . Windows Defender는 WinRing0을 감지하여 격리하거나 삭제하는데, 이 과정에서 해당 프로그램의 핵심 구성 요소를 무력화시킵니다.

일부 시스템에서는 WinRing0이 사라지자마자 팬을 제어하던 애플리케이션이 센서나 마더보드 컨트롤러와 더 이상 통신할 수 없게 되어 팬이 제어 없이 최대 속도로 회전하는 문제가 발생합니다. 또 다른 시스템에서는 RGB 조명이 멈추거나 설정이 초기화되거나, 해당 앱이 실행되자마자 종료되는 현상이 나타납니다.

일부 사용자는 Windows Defender에서 VulnerableDriver:WinNT/Winring0.G 또는 Hacktool:Win32/WinRing0과 같은 위협적인 이름의 경고를 보고 자신의 PC가 매우 정교한 트로이 목마에 감염되었다고 생각하는 경우도 있습니다 . 심지어 원격 접속, 키로거 등과 같은 악몽 같은 상황을 두려워하여 Windows를 처음부터 다시 설치하는 것까지 고려하는 사용자도 있습니다.

포럼에 보고된 사례에 따르면, 한 사용자가 Razer 소프트웨어와 관련된 파일에서 악성코드를 발견하고 삭제를 시도했지만, Windows에서 해당 파일이 다른 프로그램에서 "사용 중"이라는 이유로 삭제를 차단했습니다. Windows Defender는 해당 파일을 여러 번 삭제하려고 시도했지만 실패했습니다. 결국 사용자가 작업 관리자에서 관련 프로세스를 수동으로 종료한 후에야 백신 프로그램이 파일을 삭제할 수 있었고, 문제가 해결되었습니다.

또 다른 사례에서는 원격 접속 시도가 차단된 후, 한 사용자가 WinRing0이 감지되자 고위험 트로이목마 감염을 의심했습니다. 그는 컴퓨터를 안전 모드로 부팅하여 전체 검사를 실행했고 , 심지어 시스템 포맷까지 진지하게 고려했습니다. 이러한 경우 항상 주의를 기울이는 것이 좋지만, 실제 원인이 잘 알려진 도구의 드라이버였다면 굳이 그 정도로 극단적인 조치를 취할 필요는 없었습니다.

기존 프로그램을 계속 사용할 수 있는 옵션: 제외 사항 및 대안

영향을 받는 애플리케이션(예: 고급 모니터링 도구, 팬 컨트롤러, RGB 소프트웨어 또는 필수 접근성 앱)이 반드시 필요한 경우, 몇 가지 옵션이 있으며 각 옵션에는 장단점이 있습니다. 완벽한 해결책은 없지만 , 위험과 편의성 사이에서 균형을 맞출 수 있는 다양한 방법이 있습니다.

첫 번째 방법은 애플리케이션 자체의 업데이트를 찾아보는 것 입니다 . 일부 개발자는 WinRing0을 제거하거나 자체 개발 또는 다른 드라이버로 대체하는 새 버전을 출시하기 시작했지만, 많은 경우 이러한 작업에는 수개월의 시간과 상당한 비용이 소요됩니다.

예를 들어, SignalRGB는 2023년에 WinRing0 사용을 중단하고 자체 SMBus 드라이버를 개발했다고 설명했습니다. 이는 취약하거나 다른 소프트웨어 버전과 충돌할 수 있는 시스템 수준 드라이버에 의존하는 것을 피하기 위한 조치였습니다. 그들 스스로도 이 과정이 어려웠고 상당한 엔지니어링 자원이 필요했다고 인정했습니다.

또 다른 방법은 WinRing0에 더 이상 의존하지 않는 대체 도구를 사용하는 것 입니다 . 새로운 커널 서명 요구 사항에 맞춰 다른 드라이버로 마이그레이션된 하드웨어 모니터링 및 관리 유틸리티가 있지만, 이 과정에서 일부 고급 기능이 손실될 수 있습니다.

셋째, 일부 개발자와 사용자는 WinRing0이 계속 작동하도록 Microsoft Defender에 예외 항목을 추가할 것을 조심스럽게 권장합니다 . 이 옵션은 취약한 드라이버를 시스템에 유지하는 위험을 감수해야 하므로, 특히 민감한 데이터가 있거나 인터넷에 지속적으로 접속하는 컴퓨터의 경우 신중하게 고려해야 합니다.

Microsoft Defender에 WinRing0 제외 항목을 추가하는 방법 (사용자 책임 하에 진행)

자세한 내용을 살펴보기 전에 마이크로소프트의 공식 입장을 강조하는 것이 중요합니다. 보안을 약화시키거나 보호 기능을 비활성화하는 모든 변경 사항은 신중하게 평가해야 합니다 . 이러한 조치는 특정 문제에 대한 임시 해결책으로 유용할 수 있지만, 항상 추가적인 위험을 감수해야 합니다.

WinRing0을 사용하는 애플리케이션이 반드시 필요한 경우(예: 과열된 컴퓨터의 팬을 제어하거나 접근성 요구 사항을 충족하기 위해) Microsoft Defender Antivirus에 예외를 추가하여 관련 파일이나 폴더를 차단하지 않도록 할 수 있습니다.

Windows 10 및 Windows 11에서의 일반적인 단계는 다음과 같습니다.

• 앱 열기 Windows 보안 시작 > 설정 > 업데이트 및 보안 > Windows 보안에서 찾거나 시작 메뉴에서 검색하여 찾을 수 있습니다.
• 메인 패널에서 해당 섹션으로 들어갑니다. 바이러스 및 위협으로부터 보호.
• 바이러스 및 위협 방지 설정 섹션에서 다음을 클릭하세요. 설정 관리.
• 해당 블록에 도달할 때까지 아래로 스크롤하세요. 제외 "제외 항목 추가 또는 제거"를 선택합니다.
• 클릭 제외 추가 다음으로 특정 파일, 전체 폴더 또는 프로세스를 제외할지 선택합니다. 그다음 WinRing0과 관련된 항목 또는 영향을 받는 애플리케이션을 선택합니다.

그 시점부터 Windows Defender는 제외 목록에 추가한 모든 항목을 검사하고 차단하지 않습니다 . 이는 하드웨어 오작동 문제를 해결할 수 있지만, 보안에 사각지대를 만들 수 있으므로 제외할 항목과 그 이유를 정확히 알고 있을 때만 사용해야 합니다.

탐지된 위협이 취약한 드라이버뿐인지 아니면 시스템에 다른 문제가 있는 것인지 확신이 서지 않는다면, 다른 안티멀웨어 솔루션으로 추가 검사를 실행하고 , 최근에 설치한 프로그램을 검토하고, 필요한 경우 전문 포럼에서 도움을 요청하는 것이 현명합니다. 이는 잠재적인 악성코드에 노출될 수 있는 문을 열기 전에 반드시 해야 하는 작업입니다.

Windows Defender가 WinRing0을 삭제하지 않거나 계속 감지하는 경우 어떻게 해야 할까요?

경우에 따라 Windows Defender는 백그라운드 프로그램에서 WinRing0 파일을 사용하고 있기 때문에 해당 파일을 반복적으로 제거하려고 시도 할 수 있습니다 . 이로 인해 경고 및 제거 시도가 계속 반복되면서 사용자는 활성 위협 경고를 반복적으로 보게 됩니다.

가장 흔한 원인은 드라이버를 사용하는 애플리케이션이 현재 실행 중이거나 상주 서비스가 실행 중인 경우입니다. 이 경우, 바이러스 백신이 작동하기 전에 해당 프로그램과 관련 프로세스를 수동으로 종료해야 합니다 . 작업 관리자를 사용하여 이 작업을 수행할 수 있습니다.

• 를 엽니 다 작업 관리자 (Ctrl+Shift+Esc를 누르거나 작업 표시줄을 마우스 오른쪽 버튼으로 클릭한 다음 작업 관리자를 선택하세요.)
• 관련 애플리케이션(예: Razer 소프트웨어, RGB 도구 등)의 메인 프로세스를 찾아 종료하십시오.
• 또한 백그라운드 프로세스 탭에서 동일한 프로그램에 연결된 서비스가 있는지 확인하십시오.

WinRing0에 의존하는 모든 프로그램을 중지한 후 Windows Defender에서 검사 및 제거를 다시 실행하세요 . 여러 사용자의 경험에 따르면, 이렇게 하면 Windows를 재설치하거나 다른 강력한 조치를 취하지 않고도 바이러스 백신이 탐지 목록에서 WinRing0을 제거할 수 있었습니다.

만약 해당 문제가 계속해서 발생한다면, 애플리케이션이 시작될 때마다 드라이버를 재설치하거나 다시 생성하는 것일 수 있습니다 . 이 경우, 프로그램을 완전히 제거하거나, WinRing0을 사용하지 않는 업데이트된 버전을 찾거나, (사용자 책임 하에) 제외 기능을 사용하여 이 지속적인 충돌을 피하는 방법을 결정해야 합니다.

마이크로소프트에 대한 피드백 및 개발자들의 입장

WinRing0에 대한 처리 방식 변경은 개발자와 고급 사용자들 사이에서 상당한 불안감을 불러일으켰는데, 이는 특히 이러한 유형의 드라이버에 의존하는 오픈 소스 프로젝트를 포함하여 타사 하드웨어 모니터링 및 제어 생태계 거의 전체에 직접적인 영향을 미치기 때문 입니다.

HWiNFO나 Fan Control 같은 도구 개발자들은 드라이버 변경이 단순한 마이너 업데이트가 아니라 프로그램의 상당 부분을 재작업해야 하는 작업이며, 수년간의 노력과 쌓아온 명성을 뒤로하고 상당한 시간과 비용을 들여야 한다고 설명했습니다.

마이크로소프트는 오탐 보고를 인지하고 있으며 탐지 로직을 개선하기 위해 재평가 중이라고 만 밝혔 지만, 동시에 서명되지 않았거나 잠재적으로 취약한 드라이버는 장기적인 위험을 줄이기 위해 계속해서 위협으로 간주할 것이라고 강조했습니다.

이러한 상황에 대응하여 흥미로운 기업이 등장했습니다. 바로 조립식 게이밍 PC 전문 기업인 iBuyPower입니다. 이 회사의 제품 담당자에 따르면, 마이크로소프트가 디지털 서명한 WinRing0의 최신 버전을 확보하기 위해 노력하고 있다고 합니다 . iBuyPower는 이 작업이 성공하면 서명된 라이브러리를 개발자 커뮤니티와 공유하여 개발자들이 검증된 드라이버를 포함한 애플리케이션 버전을 배포할 수 있도록 지원할 계획입니다.

서명된 버전이 나온다고 해도 근본적인 문제는 해결되지 않을 것입니다. WinRing0은 커널에 대한 광범위한 접근 권한을 허용하는 기본 설계를 유지하기 때문에 악성코드가 이를 사칭하거나 악용할 경우 여전히 위험을 초래할 수 있습니다. 많은 전문가들은 이러한 문제를 해결하는 가장 확실한 방법은 처음부터 더 엄격한 제한과 최신 보안 모델을 적용하여 새롭게 설계된 드라이버로 마이그레이션하는 것이라고 생각합니다.

윈도우에서 피드백을 보내고 피드백 수준을 제어하는 ​​방법

이러한 탐지로 인해 불편을 겪고 있고 마이크로소프트의 접근 방식 개선이 필요하다고 생각되면 Windows에서 직접 피드백을 제출할 수 있습니다 . 마이크로소프트는 Windows Defender 및 기타 시스템 구성 요소 관련 문제를 보고하기 위해 내장 도구를 사용할 것을 권장합니다.

한편, 윈도우는 주기적으로 자동으로 피드백을 요청하도록 설정되어 있습니다. 이 자동 피드백 설정을 확인하거나 조정하려면 다음과 같이 하면 됩니다.

• 이동 홈 > 설정 > 개인정보 및 보안 > 진단 및 피드백.
• 피드백 빈도 섹션에서 Windows에서 주기적으로 피드백을 요청하도록 하려면 "자동(권장)"으로 설정되어 있는지 확인하십시오.

반면에, 시스템에서 요청할 때까지 기다리지 않고 언제든지 피드백 허브를 통해 수동으로 피드백을 제출할 수도 있습니다.

• 작업 표시줄의 검색 상자에 "피드백 센터"를 입력하고 엽니다.
• 애플리케이션 내에서 해당 섹션으로 이동하세요. 댓글 "새 댓글 추가"를 선택하세요.
• 관련 범주를 선택하세요. 예를 들어 "보안, 개인 정보 및 계정 > Windows용 Microsoft Defender 바이러스 백신"을 선택하세요.

이러한 방식으로 WinRing0 관련 경험, 오탐지 또는 정품 드라이버 관리의 어려움 등이 기록되어 Microsoft가 향후 버전에서 정책 및 탐지 도구를 조정하는 데 도움이 될 수 있습니다 (적어도 이론상으로는).

진단 및 피드백 설정에서는 Microsoft로 전송되는 데이터의 종류 와 세부 정보 수준을 제어할 수 있습니다. 이는 개인 정보 보호에 민감한 사용자에게 중요합니다. 동일한 설정 섹션에서 사용 가능한 옵션을 검토하고 원하는 대로 조정할 수 있습니다.

오늘날 WinRing0의 상황은 기능성과 보안 사이의 오랜 타협의 결과입니다. WinRing0은 하드웨어 저수준 접근을 위한 매우 유용한 드라이버이지만 , 동시에 악용될 수 있는 취약점을 내포하고 있으며, 이제 Microsoft Defender의 공격 대상이 되었습니다. 만약 경고를 받으셨다면, 악성 트로이목마 때문이 아니라 설치된 모니터링 도구, 팬 제어 소프트웨어 또는 RGB 소프트웨어 때문일 가능성이 높습니다. 따라서 가능한 경우 소프트웨어를 업데이트하거나 변경하고, WinRing0을 예외 목록에 추가하여 위험을 감수하면서 유지할지, 아니면 시스템 보안을 강화하기 위해 WinRing0을 완전히 제거할지 결정해야 합니다.