트로이목마 랜섬웨어 치료 복구방법｜Windows Defender 안전모드 무료 백신 다운로드
윈도우11을 부팅할 때마다 알약·V3·Windows 보안·Malwarebytes에서 트로이목마, 랜섬웨어, 악성코드 감염 알림이 반복된다면 단순히 감염 파일 하나만 남은 문제가 아닐 수 있습니다. 시작프로그램, 작업 스케줄러, 서비스, 브라우저 확장, 임시폴더, USB 또는 자동실행 항목이 악성 파일을 다시 생성하는 경우도 있기 때문입니다.
특히 랜섬웨어는 악성 실행 파일 제거와 암호화된 문서 복구가 서로 다른 문제입니다. 백신에서 “치료 완료”가 떠도 이미 암호화된 PSD·AI·DWG·NX 데이터·엑셀·사진이 자동으로 원래 상태로 돌아오는 것은 아닙니다.
따라서 감염 의심 단계에서는 검사 버튼부터 반복해서 누르기보다 확산 차단 → 증상 기록 → Windows 자체 검사 → 자동실행 확인 → 복구 판단 순서로 접근하는 편이 안전합니다.
감염이 의심되면 가장 먼저 할 일
① 인터넷·회사망·NAS 연결을 끊습니다.
② 외장 SSD·USB·백업디스크가 연결되어 있다면 분리합니다.
③ 백신이 표시한 위협 이름·파일 경로·검출 시간을 화면 캡처합니다.
④ 문서 확장자가 바뀌거나 파일이 열리지 않는다면 랜섬웨어 가능성을 우선 봅니다.
⑤ 감염 PC에 깨끗한 백업디스크를 새로 연결해 무작정 복사하지 않습니다.
⑥ 회사 PC라면 개인적으로 포맷하거나 악성 파일을 지우기 전에 IT·보안 담당자 절차를 우선합니다.
Windows 10 사용자라면 한 가지를 더 확인해야 합니다.
일반 Windows 10은 2025년 10월 14일 지원이 종료됐습니다. 2026년에 계속 사용한다면 Windows 11 업그레이드 가능 여부나 Microsoft의 Windows 10 ESU 적용 상태를 먼저 확인하는 편이 좋습니다.
증상별로 가장 먼저 해야 할 조치
| 증상 | 가능성이 높은 상황 | 우선 조치 | 다음 단계 |
|---|---|---|---|
| 부팅할 때 같은 위협 반복 | 자동실행·스케줄러·서비스·재생성 | Defender 오프라인 검사 | Autoruns 확인 |
| 문서 확장자 변경·열리지 않음 | 랜섬웨어 | 네트워크·외장장치 즉시 분리 | 랜섬노트·암호화 파일 보존, 복구판단 |
| 브라우저 광고·검색엔진 변경 | PUP·애드웨어·확장프로그램 | 확장 제거·보조 검사 | 브라우저 초기화 검토 |
| USB 파일이 사라지고 바로가기만 생성 | USB 웜·숨김 속성 변경 | USB 검사 | 숨김속성 복원 후 데이터 백업 |
| 계정 로그인 알림·비밀번호 변경 | Infostealer·자격증명 탈취 가능성 | 감염 PC 격리 | 깨끗한 기기에서 계정 보호 |
| 오프라인 검사 후에도 재검출 | 지속성 강한 감염·손상 | 보조 검사·Autoruns | 데이터 검증 후 클린 설치 판단 |
Windows 11 Microsoft Defender로 먼저 치료
Windows 11에는 Microsoft Defender Antivirus와 Windows 보안이 기본 포함되어 있습니다.
다른 실시간 백신이 활성화된 PC에서는 Defender 상태가 달라질 수 있으므로 먼저 Windows 보안 → 바이러스 및 위협 방지에서 현재 보호 공급자를 확인합니다.
보안 인텔리전스 업데이트 후 전체 검사
Windows 보안 → 바이러스 및 위협 방지 → 검사 옵션
- Windows 보안을 실행합니다.
- 바이러스 및 위협 방지를 선택합니다.
- 보호 업데이트에서 보안 인텔리전스를 최신으로 갱신합니다.
- 검사 옵션으로 이동합니다.
- 전체 검사를 실행합니다.
- 완료 후 보호 기록에서 위협 이름과 처리 결과를 확인합니다.
부팅 반복감염은 Microsoft Defender 오프라인 검사
재부팅 후 Windows가 완전히 올라오기 전에 검사
일반 검사로 제거했는데 같은 위협이 다시 나타난다면 Microsoft Defender Antivirus (오프라인 검사)를 사용합니다.
Microsoft 공식 안내에 따르면 이 검사는 PC를 재부팅한 뒤 Windows Recovery Environment에서 진행되므로, Windows가 실행 중일 때 숨거나 자신을 방어하는 지속성 악성코드를 확인하는 데 유리합니다.
검사가 끝나면 다시 Windows 보안의 보호 기록에서 결과를 확인합니다. “위협을 제거했다”는 메시지만 보고 끝내지 말고 재부팅 후 같은 이름·같은 경로에서 다시 검출되는지 확인해야 합니다.
Microsoft Safety Scanner로 보조 검사
Microsoft Safety Scanner는 설치형 실시간 백신이 아니라 필요할 때 내려받아 수동 실행하는 보조 검사 도구입니다. Microsoft 공식 문서에 따르면 다운로드 후 10일이 지나면 만료되므로, 예전에 받아둔 파일을 계속 쓰기보다 검사할 때 최신 버전을 다시 받는 것이 좋습니다.
| 도구 | 역할 | 추천 상황 | 주의사항 |
|---|---|---|---|
| Microsoft Defender 전체 검사 | Windows 기본 정밀 검사 | 첫 번째 검사 | 보안 인텔리전스 업데이트 |
| Defender 오프라인 | WinRE에서 지속성 위협 검사 | 부팅 반복감염·루트킷 의심 | 자동 재부팅 |
| Microsoft Safety Scanner | 수동 1회성 보조 검사 | Defender 이후 재확인 | 다운로드 후 10일 만료 |
| Sysinternals Autoruns | 자동실행 위치 분석 | 재부팅 때 악성코드 재생성 | 모르는 항목을 무작정 삭제하지 않음 |
Microsoft Safety Scanner 공식 다운로드에서 최신 64비트 또는 32비트 버전을 받습니다. 상세 로그는 Microsoft 문서 기준 %SYSTEMROOT%\debug\msert.log에서 확인할 수 있습니다.
부팅할 때 트로이목마가 다시 생기면 Autoruns 확인
Defender가 파일을 제거해도 부팅할 때 같은 경로에 악성 파일이 다시 만들어진다면 시작프로그램만 볼 것이 아니라 Logon, Scheduled Tasks, Services, Drivers, Explorer 확장, WMI 등 자동실행 위치를 함께 확인해야 합니다.
Microsoft Sysinternals의 Autoruns는 이런 자동실행 위치를 한 화면에서 확인하는 도구입니다.
Autoruns에서 먼저 확인할 항목
서명 확인과 Microsoft 항목 숨기기부터
- Microsoft Sysinternals Autoruns를 공식 사이트에서 받습니다.
- 관리자 권한으로 실행합니다.
- 옵션에서 Microsoft·Windows 서명 항목을 숨겨 타사 항목을 좁혀봅니다.
- Logon, Scheduled Tasks, Services, Drivers 탭을 확인합니다.
- 백신이 반복 검출한 파일 경로 또는 이름과 연결되는 항목이 있는지 비교합니다.
- 모르는 항목은 바로 삭제하지 말고 먼저 체크를 해제해 비활성화하고 재부팅 결과를 확인합니다.
안전모드에서 검사해야 하는 경우
일반 Windows 상태에서 악성 프로세스가 계속 실행 중이라 삭제가 되지 않거나 보안 프로그램 설치·검사가 방해될 때는 안전모드가 도움이 될 수 있습니다.
Windows 11의 기본 경로는 설정 → 시스템 → 복구 → 고급 시작 옵션 → 지금 다시 시작 → 문제 해결 → 고급 옵션 → 시작 설정입니다.
F8 부팅 메뉴는 선택사항
일부 UEFI 환경에서는 기본 고급 시작 메뉴가 더 안정적
예전 Windows처럼 F8 메뉴를 쓰기 위해 bcdedit /set {default} bootmenupolicy legacy를 적용하는 방법도 알려져 있지만, 악성코드 치료를 위해 반드시 필요한 설정은 아닙니다.
최신 UEFI PC에서는 Windows 복구의 시작 설정 경로를 우선 사용하는 것이 좋습니다.
USB 파일이 숨겨졌다면 attrib 명령은 치료 후 사용
USB 드라이브 문자부터 확인
예시가 E드라이브일 때만 E:를 사용
attrib -s -h -r E:\*.* /s /d이 명령은 숨김·시스템·읽기전용 속성을 해제하는 것이지 바이러스를 제거하는 명령이 아닙니다. 반드시 USB를 먼저 검사하고, E: 부분은 실제 USB 드라이브 문자로 바꿉니다. C드라이브 전체에 그대로 적용하는 방식은 권하지 않습니다.
V3·알약·Malwarebytes·ESET은 어떻게 같이 사용할까?
실시간 감시 백신을 여러 개 동시에 설치하면 파일 감시·웹 보호·격리 기능이 충돌하거나 PC가 느려질 수 있습니다. 기본 원칙은 실시간 보호 제품은 하나를 주력으로 사용하고, Microsoft Safety Scanner·Malwarebytes Free·ESET Online Scanner처럼 필요할 때 실행하는 도구를 보조 검사에 활용하는 것입니다.
| 프로그램 | 2026년 기준 역할 | 추천 사용방법 | 공식 확인 |
|---|---|---|---|
| Microsoft Defender | Windows 기본 실시간 보호·전체·오프라인 검사 | Windows 11 첫 번째 검사 | Microsoft |
| V3 Lite | 개인용 무료 PC 백신 | 주력 실시간 백신으로 사용할 경우 다른 실시간 제품과 중복 주의 | AhnLab |
| 알약 3.0 | Windows 10 이상 지원 개인용 백신 | 실시간 감시·정밀검사 | ESTSecurity |
| Malwarebytes Free | 감염 후 정리·수동 검사 중심 | Defender 이후 보조 검사 | Malwarebytes |
| ESET Online Scanner | 무료 1회성 악성코드 검사 | 추가 교차검사 | ESET |
| Bitdefender·Norton 등 | 유료 실시간 보안 제품군 | 구독 기능·갱신조건을 확인해 주력 제품으로 선택 | 각 제조사 공식 사이트 |
Malwarebytes의 2026년 공식 안내 기준 무료 기능은 감염 후 정리·검사에 적합하고 실시간 보호는 유료 기능에 포함됩니다.
따라서 “무료 백신을 하나 더 상시 켜두는 방식”보다 필요할 때 보조검사로 활용하는 흐름이 이해하기 쉽습니다.
랜섬웨어 감염은 치료와 파일 복구를 분리해야 합니다
문서·사진·CAD 파일의 확장자가 갑자기 바뀌고 열리지 않거나 폴더마다 결제 안내문·랜섬노트가 생성된다면 랜섬웨어 가능성을 봅니다.
이때 가장 중요한 것은 감염 확산을 멈추고 암호화 파일과 랜섬노트를 보존하면서 복구 가능성을 판단하는 것입니다.
랜섬웨어 의심 시 하지 말아야 할 행동
복구 가능성을 확인하기 전에 원본을 지우지 않기
- 감염 PC를 회사망·NAS·공유폴더에 계속 연결하지 않습니다.
- 깨끗한 외장 백업디스크를 감염 PC에 바로 연결하지 않습니다.
- 암호화된 원본 파일과 랜섬노트를 전부 삭제하지 않습니다.
- 출처를 모르는 복호화 프로그램을 임의로 실행하지 않습니다.
- 복구 가능성을 확인하기 전에 포맷부터 진행하지 않습니다.
- 몸값을 지불한다고 복호화 키 제공이나 완전한 복구가 보장되는 것은 아닙니다.
무료 복호화 도구가 있는지 확인
No More Ransom에서 랜섬웨어 종류별 복호화 도구 확인
No More Ransom에는 일부 랜섬웨어에 대한 복호화 키와 도구가 공개되어 있습니다. 모든 랜섬웨어가 복호화 가능한 것은 아니므로 위협 이름, 확장자, 랜섬노트 정보를 바탕으로 지원 여부를 확인합니다.
OneDrive를 사용했다면 이전 시점 복원 확인
먼저 감염 장치를 정리한 뒤 클라우드 파일 복원
Microsoft는 OneDrive에서 랜섬웨어를 감지한 경우 감염 파일 확인 → 모든 연결 장치 정리 → OneDrive 복원 순서로 복구하도록 안내합니다.
Microsoft 365 구독자는 OneDrive 전체를 이전 시점으로 복원하는 기능도 확인할 수 있습니다. 감염 PC를 정리하지 않은 상태에서 파일부터 복원하면 다시 암호화될 수 있으므로 순서를 지키는 것이 중요합니다.
트로이목마가 계정정보를 훔쳤을 가능성도 확인
트로이목마 중에는 브라우저 비밀번호·세션 토큰·가상자산 지갑·메일 계정 정보를 노리는 Infostealer가 있습니다. 이런 유형은 악성 파일을 지웠다고 계정 위험까지 사라지는 것이 아닙니다.
- 감염 PC를 네트워크에서 격리합니다.
- 깨끗한 스마트폰이나 다른 PC에서 이메일·Microsoft·Google 등 핵심 계정의 비밀번호를 변경합니다.
- 모든 로그인 세션·신뢰 장치를 검토하고 의심 세션을 로그아웃합니다.
- 가능하면 MFA·2단계 인증을 활성화합니다.
- 금융·업무 계정에 이상 활동이 있는지 확인합니다.
- 회사 PC라면 회사 보안팀에 감염 사실과 탐지명을 전달합니다.
감염 후 Windows 보안 설정 다시 점검
제어된 폴더 액세스로 중요 폴더 보호
Windows 보안 → 바이러스 및 위협 방지 → 랜섬웨어 방지 관리
Microsoft Defender의 제어된 폴더 액세스(Controlled Folder Access)는 신뢰되지 않은 앱이 문서·사진 같은 보호 폴더를 변경하지 못하도록 차단하는 랜섬웨어 방어 기능입니다.
기본적으로 꺼져 있을 수 있으므로 사용 중인 CAD·Adobe·백업 프로그램이 정상적으로 파일을 저장하는지 확인하면서 적용합니다.
- Windows 보안 → 바이러스 및 위협 방지로 이동합니다.
- 랜섬웨어 방지 관리를 선택합니다.
- 제어된 폴더 액세스를 켭니다.
- 필요하면 설계 프로젝트·문서 폴더를 보호 폴더로 추가합니다.
- NX·Solid Edge·Adobe 같은 정상 프로그램이 차단되면 실행 파일을 확인한 뒤 허용 앱으로 추가합니다.
이 기능은 이미 랜섬웨어에 감염된 파일을 복구하는 기능이 아니라 감염 전 예방 기능입니다. 켠 뒤에는 정상 프로그램이 차단되는지 보호 기록을 확인합니다.
DNS·VPN보다 중요한 것은 업데이트와 실행 습관
DNS·VPN을 바꿨다고 악성코드 감염 자체가 해결되지는 않습니다. 피싱 차단 기능이 있는 DNS는 보조 역할을 할 수 있지만 Windows 업데이트, 브라우저 업데이트, 불법 크랙·키젠 미사용, 메일 첨부파일 확인, 오프라인 백업이 더 기본적인 예방책입니다.
DNS 설정이 필요하다면 윈도우11 DNS IPv4·IPv6 인터넷 보안 설정을 별도로 참고할 수 있습니다.
반복 감염이면 언제 Windows 클린 설치를 해야 할까?
| 상태 | 계속 치료 시도 | 클린 설치 검토 |
|---|---|---|
| 1회 탐지 후 재부팅해도 재검출 없음 | 가능 | 필수 아님 |
| 같은 경로가 계속 재생성 | 오프라인·Autoruns까지 검사 | 반복되면 적극 검토 |
| 시스템 파일·보안 기능이 손상됨 | 복구 가능성 확인 | 업무 안정성이 중요하면 검토 |
| Infostealer·원격제어형 악성코드 확인 | 계정 조치 병행 | 신뢰 회복을 위해 검토 |
| 랜섬웨어로 광범위하게 암호화 | 복구 자료 보존 | 디스크 보존 필요 여부 판단 후 재설치 |
| 회사·고객 기밀 PC | 개인 판단 금지 | 회사 IT·보안정책에 따름 |
클린 설치를 선택할 때는 백업한 파일도 다시 검사합니다.
특히 .exe, .scr, 매크로가 포함된 Office 문서, 의심스러운 압축파일과 크랙 도구를 새 Windows에 그대로 옮기면 재감염될 수 있습니다.
윈도우 악성코드 자동 진단｜버튼 없이 바로 확인
아래 진단기는 치료 프로그램을 결정하는 도구가 아니라 어떤 조치를 먼저 할지 정하는 용도입니다. 증상을 바꾸면 결과가 바로 표시됩니다.
※ 회사 PC, 랜섬웨어, 계정탈취가 의심되면 개인 정리보다 보안 담당자·전문 복구 절차가 우선될 수 있습니다.
함께 보면 좋은 디크리노랗 글
윈도우 트로이목마·랜섬웨어 치료 FAQ
트로이목마가 부팅할 때마다 계속 검출되는 이유는 무엇인가요?
시작프로그램·작업 스케줄러·서비스·브라우저 확장·임시폴더 같은 자동실행 위치가 악성 파일을 다시 만드는 경우가 있습니다. Defender 오프라인 검사와 Autoruns 확인을 같이 진행합니다.
Windows Defender만으로 악성코드 치료가 가능한가요?
일반 악성코드는 Defender 전체·오프라인 검사로 처리되는 경우가 많습니다. 반복감염이나 불확실한 경우 Safety Scanner, Autoruns, Malwarebytes 또는 ESET 같은 보조 검사로 교차 확인할 수 있습니다.
Defender 오프라인 검사는 언제 사용하나요?
일반 검사 후에도 같은 위협이 다시 생기거나 Windows 실행 중 숨는 지속성 악성코드가 의심될 때 사용합니다. 재부팅 후 Windows Recovery Environment에서 검사합니다.
Microsoft Safety Scanner는 계속 설치해두는 백신인가요?
아닙니다. 수동으로 실행하는 보조 검사 도구이며 Microsoft 공식 안내상 다운로드 후 10일이 지나면 만료됩니다. 다시 검사할 때 최신 버전을 다시 받는 것이 좋습니다.
랜섬웨어에 걸리면 백신이 암호화 파일도 복구해주나요?
보통 그렇지 않습니다. 백신은 악성 실행 파일 제거를 담당하고 이미 암호화된 파일은 백업·OneDrive 복원·해당 랜섬웨어용 복호화 도구를 별도로 확인해야 합니다.
랜섬웨어에 걸리면 바로 포맷하는 것이 가장 안전한가요?
복구가 필요하다면 암호화 파일과 랜섬노트, 감염 정보를 먼저 보존하는 것이 좋습니다. 회사 장비는 보안 담당자에게 전달하고, 복구 필요성이 없다면 데이터 검증 후 클린 설치를 검토합니다.
V3와 알약, Defender를 동시에 설치하면 더 안전한가요?
실시간 감시 백신 여러 개를 동시에 사용하는 것은 충돌과 성능저하를 만들 수 있습니다. 주력 실시간 백신은 하나를 사용하고 나머지는 수동 보조 검사 도구 위주로 활용하는 편이 좋습니다.
USB attrib 명령으로 바이러스를 치료할 수 있나요?
아닙니다. attrib은 숨김·시스템·읽기전용 속성을 바꾸는 명령입니다. USB를 먼저 검사한 뒤 파일 표시를 복원할 때만 사용합니다.
트로이목마를 제거했는데 비밀번호도 바꿔야 하나요?
Infostealer나 자격증명 탈취형 악성코드가 의심된다면 깨끗한 기기에서 이메일·Microsoft·Google·금융 계정 비밀번호를 변경하고 기존 세션을 종료하며 MFA를 켜는 것이 좋습니다.
Windows 10에서도 같은 방법을 사용할 수 있나요?
일부 Windows 보안 기능은 사용할 수 있지만 일반 Windows 10 지원은 2025년 10월 14일 종료됐습니다. 2026년에는 Windows 11 업그레이드 또는 ESU 적용 여부를 확인하는 것이 중요합니다.
반복감염은 오프라인 검사와 자동실행, 랜섬웨어는 복구를 따로 봅니다
윈도우11에서 트로이목마가 부팅할 때마다 다시 검출되면 백신 프로그램을 계속 추가하기보다 Microsoft Defender 전체·오프라인 검사와 Autoruns 자동실행 항목을 순서대로 확인하는 것이 핵심입니다. 탐지 파일만 지워도 다시 생성된다면 원인이 되는 지속성 항목을 찾아야 합니다.
랜섬웨어는 더 조심해야 합니다. 감염 확산을 먼저 막고 암호화 원본과 랜섬노트를 보존한 뒤 깨끗한 백업, OneDrive 복원, 공식 복호화 도구 가능성을 확인합니다. 복구가 필요하지 않거나 시스템 신뢰성을 회복하기 어렵다면 백업 파일을 검사한 후 Windows 클린 설치를 검토하는 흐름이 현실적입니다.
공식 참고자료
- Microsoft Support｜Windows 보안 바이러스 및 위협 방지
- Microsoft Support｜Microsoft Defender 오프라인 검사
- Microsoft Learn｜Microsoft Safety Scanner
- Microsoft Sysinternals｜Autoruns
- Microsoft Learn｜Controlled Folder Access
- Microsoft Support｜OneDrive 랜섬웨어 감지 및 복구
- Microsoft Support｜Windows 10 지원 종료
- AhnLab｜V3 Lite 공식 다운로드
- ESTSecurity｜알약 3.0
- Malwarebytes｜Free Malware Scanner
- ESET｜Online Scanner
- No More Ransom｜공식 복호화 도구 저장소
