Microsoft Defender, Tor 브라우저를 트로이목마로 탐지하고 시스템에서 제거

• Windows 10/11에 기본 내장된 Microsoft Defender가 최신 Tor 브라우저를 "Win32/Malgent!MTB" 악성코드로 탐지하는 문제가 다수 사용자에게서 보고됨
• Tor 브라우저는 onion routing 방식으로 익명 인터넷 접속을 지원하는 무료 오픈소스 소프트웨어
• 이번 오탐은 Tor를 악용해 활동을 숨기는 트로이목마를 식별하려는 새로운 휴리스틱 탐지 방식 때문으로 추정되나, Defender가 Tor 자체를 악성으로 표시하는 상황
• 휴리스틱 탐지는 사전 정의된 규칙과 알고리듬으로 의심 행위를 식별하는 방식으로, 기존 시그니처 기반 탐지와 달리 오탐(false positive) 가능성 존재
• Tor 측은 공식 사이트에서 설치했다면 경고를 오탐으로 간주하고 예외 목록 추가 및 격리 복원으로 대응할 것을 권고

---

문제 발생 현황

• Windows 사용자들이 최근 대규모로 보고한 내용으로, Windows 10 및 11에 기본 통합된 Microsoft Defender 백신이 최신 버전 Tor 브라우저를 "Win32/Malgent!MTB" 악성코드로 탐지
• Tor 브라우저는 onion routing을 사용해 익명으로 인터넷을 탐색하는 무료 오픈소스 소프트웨어로, 온라인 프라이버시 확보에 필수적인 도구

오탐 원인 분석

• 전문가들은 이번 오류가 Microsoft Defender의 새로운 휴리스틱 탐지 방식 때문으로 봄
  • 이 방식은 Tor를 이용해 활동을 숨기는 트로이목마를 식별하도록 설계되었으나, Defender가 트로이목마에 그치지 않고 Tor 자체를 악성으로 표시
• 휴리스틱 탐지는 사전 정의된 규칙과 알고리듬으로 의심스러운 동작을 식별하는 방식
  • 알려진 악성코드의 특정 데이터베이스에 의존하는 시그니처 기반 탐지와 차이가 있음
  • 새로운 위협 탐지에 효과적일 수 있으나, 오탐(false positive) 을 자주 유발 가능

권장 대응 방안

• Tor 측은 브라우저가 공식 웹사이트에서 설치되었는지 확인하도록 안내
  • 정식 공식 소스로 다운로드한 경우, Defender 경고를 오탐으로 간주해야 함
• 개발자들은 Tor를 Microsoft 보호 소프트웨어의 예외 목록(exclusion list) 에 추가하도록 권고
  • Defender가 Tor 작동에 영향을 준 경우 격리에서 "tor.exe" 복원을 권장
• 작성 시점 기준 Microsoft는 이 문제에 대해 공식 입장을 내놓지 않음

[GN⁺]

Hacker News 의견들

• 예전에 안티멀웨어 팀에서 일했는데, 이 일과 관련해 논쟁적인 쟁점이 두 가지 있었음
  첫째, 무엇을 멀웨어로 볼 것인가가 생각보다 정의하기 매우 어렵다. 성가신 프로그램과 악성 프로그램의 경계가 흐리고, 보안 도구도 개인정보 보호를 명분으로 악성 소프트웨어가 흔적을 숨길 때 쓰는 행동을 할 수 있음
  둘째는 오탐임. 알려진 정상 바이너리로 테스트해 부적절하게 탐지되는지 확인하는 등 오탐을 피하려고 정말 노력했고, 미탐보다 오탐을 더 두려워했음
  Microsoft 안티멀웨어 팀도 오늘 하루가 안 좋았을 뿐, 악의적으로 행동한 건 아니라고 봄

  • 나도 악의가 있었다고 보지는 않고, 클릭베이트 제목이 암시하듯 시스템에서 무언가가 제거되는 것도 아님
    사용자는 제거를 막을 수 있고, 팀도 “Tor를 Microsoft 보호 소프트웨어 제외 목록에 추가하고 Defender가 Tor 동작에 영향을 줬다면 격리된 tor.exe를 복원하라”고 권장함. 충분히 합리적으로 보임
  • 안티멀웨어 도구가 4k 인트로나 더 작은 데모신 작품까지 잡아내는 걸 보면 특히 웃김
    그런 작업을 하는 사람들은 바이트 단위로 깎아내며 음악과 3D 그래픽을 HN 글 여러 개보다 작은 단일 실행 파일에 넣고 있음. 그 뒤에 멀웨어까지 넣을 공간이 남는다면 말도 안 됨
    이런 것들이 자주 멀웨어로 잡히는 이유는 보통 실행 시점 압축과 다양한 공간 절약 꼼수를 쓰기 때문인데, 이런 기법은 정상 프로그램에서는 드물고 멀웨어에서는 흔함. 멀웨어 스캐너가 crinkler나 kkrunchy 같은 것들을 지원할 수도 있겠지만, 너무 틈새라 신경 쓰기 어려울 듯함
  • 안티멀웨어에도 법적 책임이 생길 수 있을까? 예를 들어 어떤 소프트웨어를 멀웨어로 표시했다가 명예훼손으로 고소당할 수 있는지 궁금함
  • 모두를 만족시키는 멀웨어 정의가 어렵다고 했지만, 쉬운 정의도 있음: 사용자에게 가치를 주는가, 아니면 사용자 이익에 반하는가? 전자는 멀웨어가 아니고 후자는 멀웨어임
    물론 그 정의라면 Windows 자체도 멀웨어로 간주될 수 있음
    여기서 명예훼손을 언급한 다른 답글 때문에 “잠재적으로 원치 않는 프로그램” 같은 분류를 자주 쓰는 것 같음
  • 악의가 아니라고? Windows Defender는 KMS Tools를 멀웨어 트로이목마로 표시함

• 이미 과거형으로 “표시됐던” 일임: https://forum.torproject.org/t/torbrowser-12-5-6-no-longer-f...
  “최신 서명 데이터베이스(1.397.1910.0)에서는 tor.exe가 더 이상 Windows Defender에서 트로이목마로 간주되지 않습니다”

  • 차가 결국 보행자 위에서 굴러 내려갔다고 해서 뉴스거리가 아닌 건 아님
    보도대로라면 Tor Browser 대량 제거가 일어났고 피해는 이미 생겼음. 많은 개인정보 보호·보안 기능이 비활성화됐고, 사용할 수 없었고, 일부는 다시 설치되지 않을 것이며, 재설치 시점에는 추가 취약성이 생김
    Microsoft가 이런 일을 쉽게 할 수 있다는 시연 자체도 이런 일이 일어나길 원치 않는 사람들과, 그런 능력을 원할 사람들 모두에게 관심사임
    게다가 Microsoft가 경쟁 웹 브라우저를 능동적으로 제거한 셈인데, 과거에도 경쟁 브라우저 주변의 은근한 꼼수 때문에 경고를 받은 적이 있음

• Windows Defender가 정말 싫음. 우리가 만드는 비교적 작은 비디오 게임 업데이트를 배포할 때마다 자주 플레이어 컴퓨터에서 표시되고 제거됨
  그러면 Microsoft에 파일을 제출해서 오탐 해제를 받아야 함. 재미있는 건 안내문에는 애플리케이션 실행에 필요한 모든 파일이 담긴 전체 패키지를 올리라고 되어 있지만, 실제로는 오탐 신고를 하고 .exe만 올려도 다음 날 누군가 해제해 줬음. 정말 지침

  • 그리고 나면 다른 백신 업체들도 전부 상대해야 함. 정말 지침
    참고로 이 유용한 목록도 있음. 안타깝게도 점점 오래되고 있음: https://github.com/hankhank10/false-positive-malware-reporti...
  • 아니면 연간 약 800달러짜리 EV 코드 서명 인증서를 사서 바이너리를 “입증되기 전까지 멀웨어”에서 “입증되기 전까지 무해함”으로 바꾸는 방법도 있음. 사실상 보호비 갈취임
  • 이 지옥 같은 플랫폼에서 사업하는 비용임

• 더 걱정되는 건 EDR 시스템이 있는데도 백신 업계가 도도새처럼 사라지지 않았다는 점임
  EDR은 바이너리 안에서 우연히 바이트 패턴을 봤다는 이유만으로 격리로 보내는 대신, 행위 분석 기반으로 경고를 내보냄

  • 개발 중에 내 프로그램이 바이러스로 오탐된 적이 있음. 정말 기묘한 경험이었음: Visual Studio에서 “실행”을 누르면 빌드는 성공한 것처럼 보이는데 실행 파일이 없어서 실행이 안 됨. 뭐지?
    알고 보니 직접 작성한 base64 디코더가 어떤 트로이목마에 쓰인 base64 디코더와 충분히 비슷했던 모양임. 그 트로이목마도 같은 버전의 MSVC로 빌드된 듯했고, decode_base64 함수를 제거하거나 충분히 다시 쓰니 탐지가 안정적으로 사라졌음
    그래서 이제 바이러스 서명이라는 것들이 꽤 임의적이라는 걸 믿게 됨
  • “바이너리에서 바이트 패턴을 봤다는 이유만으로”라는 게 정말 이상함
    앱을 만들었더니 여러 백신에 잡혔고, 그중 다수에는 오탐 제출 기능이 있어서 결국 탐지가 제거됐음. 거기에 수동 검토가 들어갔을 리 없으니 악의적인 행위자도 똑같이 할 수 있을 것 같음
    이런 오분류는 극히 흔하고, 특정 개발자들에게 더 큰 영향을 주는 듯함. 예를 들어 내 Go 바이너리가 특정 트로이목마/웜으로 잡혔는데, GitHub의 다른 Go 프로젝트에서도 흔한 일이었던 모양임
  • 정말 싫음
    내가 만드는 작은 취미 프로젝트들이 이런 기계학습 백신 시스템에 잡히고, 개발자로서 대응할 방법이 거의 없어 보임
    규모는 작지만 사용자 커뮤니티에 문제와 혼란을 일으킴
  • 그런 시스템은 해시/패턴 매칭 스캐너보다도 더 쓸모없음. 예전에 내 장비에 CrowdStrike가 있었는데, RPC 인터페이스로 루트 수준 접근을 노출해도 아무렇지 않았을 것임
  • 하드웨어 업체들이 장치를 제어하려고 지저분한 꼼수를 쓰지 않는다면 좋겠지만 현실은 그렇지 않음
    내 노트북 중 하나의 팬 제어 소프트웨어는 아직도 오픈소스 커널 드라이버를 필요로 하는데, 누군가가 한때 그걸 EFI 부트킷 설정에 사용해서 이제는 취약한 드라이버 차단 목록을 영원히 꺼둔 채로 써야 함

• 여기서 그런 경우라는 뜻은 아니지만, 독재 정권 손에 들어가면 Microsoft Defender, Play Protect, Gatekeeper 같은 시스템은 비판자·반체제 인사·박해받는 집단을 드러내고 침묵시키는 데 쓰일 수 있음
  암호화와 OCSP를 이용해 사용자가 자기 기기에서 실행하는 것을 원격으로 승인하거나 거부할 수 있는, 기업이 강제하는 불투명한 시스템은 국민을 탄압하려는 지도자들이 탐낼 만함

• 몇 달 전에 이와 관련해 즐거운 일을 겪었음. 회사 내부 도구로 작은 WPF GUI를 만들었는데, 하는 일이라고는 XML 파일에서 데이터를 읽고 직렬 포트로 몇 바이트를 내보내는 것뿐이었음
  빌드를 압축해서 생산팀에 보냈더니 Windows가 열기를 거부함. 트로이목마 같은 거라고 강하게 우김. 다행히 Defender를 무시하고 일을 계속할 수 있는 옵션은 있었음
  검증을 위해 빌드를 Microsoft에 제출했더니 완전히 깨끗하다고 나옴. 참 고맙다
  서명되지 않은 모든 것에 Defender 경고가 뜨고, 서명된 것에도 Defender 경고가 뜸. “진짜” 서명 인증서를 위해 월 몇백 달러를 더 내야 하는 모양임. 이미 돈을 내는 인증서는 Defender 경고를 끌 만큼 안전하지 않다는 건가?
  완전히 갈취 사업처럼 들림

• 참고로 VirusTotal에도 일부 샌드박스 탐지가 있음. [1] 몇몇 회사는 VirusTotal 데이터를 가져오려고 돈을 냄. Microsoft도 Defender에서 그 결과를 재정의해야 했을 가능성이 큼
  [1] - https://www.virustotal.com/gui/file/88c33af6f1963eb94683be1f...

• 어제 공개 IPv4가 붙은 원격 WinSvr2012R2 VM에 더 이상 로그인할 수 없는 이유를 “조사”하는 일을 도왔음
  예상대로 해킹당했는데, 웃겼던 건 해커 지망생이 설치한 물건이었음. “자기” 머신을 다른 해커 지망생들로부터 보호하려고 RDPGuard를 설치해 둠
  몇 년 전에는 mIRC가 Windows “루트킷”의 인기 구성 요소였음. 제어와 통신 기능이 내장되어 있었기 때문임
  Tor도 멀웨어가 안전하게 통신하는 데 쓰이니 백신을 트리거할 수 있는 건 이상하지 않음. 자세한 내용은 [0] 참고
  https://news.ycombinator.com/item?id=37740584

• 여기 있는 모든 컴퓨터에서 Windows 11을 쓰고, 데스크톱과 노트북에서 Tor Browser를 실행하지만 이런 현상은 못 봤음
  사실 오늘 아침에도 Tor Browser를 실행했음. 최악으로 봐도 해결된 일시적 문제였다고 생각함

• MDE EP2의 문제는 서명 기반 정의를 충분한 테스트 없이 모든 고객의 모든 플릿에 배포하는 것처럼 보인다는 데 있음
  이 때문에 앱 바로가기를 전부 삭제해 버린 상황이 있었고, 최종 사용자들은 앱이 모두 제거됐다고 믿게 됨
  머신에 멀웨어가 있다면 이미 침해된 것이므로, 이른바 “교정”으로 선택적이고 임의로 고칠 게 아니라 이미지를 다시 떠야 함. 애초에 신뢰할 수 없는 출처의 임의 소프트웨어 실행을 막아서 머신에 멀웨어가 없어야 함
  서명 기반 안티멀웨어는 최후의 방어선이고, 이미 침해가 일어난 뒤라 머신 침해를 막지 못하는 경우가 많은 사후 대응 보안임
  또 다른 문제는 멀웨어가 너무 새롭거나 널리 발견되지 않아, 그중 일부에만 서명이 존재한다는 점임
  마지막 문제는 해를 끼치지 않지만 일부 집단이 싫어하는 일을 한다는 이유로 “멀웨어”로 잘못 분류하는 것임. 원격 제어, 비밀번호 복구, 불법 키 생성기 같은 것들이 여기에 들어감