LG 모니터, 사용자 동의 없이 Windows Update로 소프트웨어 설치

 (videocardz.com)
4P by GN⁺ | ★ favorite | 댓글 4개
  • 일부 LG 모니터를 Windows PC에 연결하면 LG Monitor App Installer가 자동 설치돼 McAfee 구독을 홍보하며, 사용자 승인 절차는 제공되지 않음
  • Windows Update가 LG 확장 및 소프트웨어 구성 요소 패키지를 설치한 뒤 약 1분 후 앱 설치가 시작됐고, 동의 창이나 다운로드 승인도 없었음
  • Gamers Nexus가 LG UltraGear 34GX900A-B로 32회 연속 부팅한 결과 31회 McAfee 광고가 표시됐으며, 나머지 1회에는 LG 모니터 유틸리티가 홍보됨
  • 3년 전에 구매한 LG UltraFine 32UN880-B에서도 팝업이 나타났고 관련 불만이 최소 2024년부터 이어져, 새 제품에만 국한된 동작이 아님
  • Windows 그룹 정책으로 장치 연계 앱의 자동 다운로드를 막을 수 있지만, 필요한 모니터·주변기기 소프트웨어도 직접 설치해야 할 수 있음

사용자 승인 없는 자동 설치

  • 일부 LG 모니터를 Windows PC에 연결하면 McAfee 구독을 홍보하는 소프트웨어가 자동 설치될 수 있음
  • 모니터 소유자들의 제보를 받은 Gamers Nexus는 LG UltraGear 34GX900A-B에서 같은 동작을 재현함
  • Windows Update가 먼저 LG 확장 패키지와 소프트웨어 구성 요소 패키지를 설치함
    • Windows Reliability Monitor에는 약 1분 후 LG Monitor App Installer가 나타남
    • 설치 과정에 동의 창이 없었으며, 사용자가 다운로드를 승인할 필요도 없었음

반복되는 McAfee 홍보

  • Gamers Nexus는 애플리케이션을 32회 연속 부팅하며 시험함
    • 31회에는 McAfee 프로모션이 표시됨
    • 나머지 1회에는 LG 자체 모니터 유틸리티 가운데 하나가 홍보됨
  • McAfee 팝업은 30일 무료 체험을 제공한 뒤 유료 구독으로 전환되는 조건이었음

구형 모니터까지 이어진 동작

  • 자동 설치는 새로 구매한 디스플레이에만 한정되지 않음
    • 3년 전에 구매한 LG UltraFine 32UN880-B에서도 팝업이 나타남
    • LG Monitor App Installer 관련 사용자 불만은 최소 2024년까지 거슬러 올라감
  • 최근 제보 증가는 더 많은 모델이 앱을 받기 시작했을 가능성과 맞물리지만, 정확한 적용 모델 범위는 확인되지 않음
  • Microsoft Store는 해당 앱의 기능으로 인터넷 및 모든 시스템 리소스 접근을 기재함
  • LG 개인정보 보호 문서가 포괄하는 범위도 Gamers Nexus의 우려 대상이 됨

Dell에서도 확인된 유사 방식

  • 장치를 감지한 뒤 Windows Update로 소프트웨어를 자동 배포하는 방식은 LG에만 한정되지 않음
  • Dell도 Windows가 호환되는 Alienware 모니터나 주변기기를 감지하면 Alienware Command Center를 배포함
  • 새 Alienware 모니터를 DisplayPort로 연결한 사례에서도 애플리케이션 설치가 반복적으로 실행됐으며, 같은 Windows 그룹 정책으로 차단해야 했음

Windows 그룹 정책으로 차단

  • Computer Configuration → Administrative Templates → System → Device Installation에서 “Prevent automatic download of applications associated with device metadata” 정책을 활성화할 수 있음
  • 이 정책을 적용하면 Windows가 연결된 하드웨어와 연계된 애플리케이션을 자동으로 다운로드하지 못함
  • 필요한 모니터·주변기기 유틸리티까지 설치되지 않을 수 있어, 해당 소프트웨어를 직접 내려받아야 할 수 있음

함께 보면 좋은 글 β

euphcat   [-]

필수 드라이버까지는 그럴만 한데 제조사 유틸리티를 윈도업데이트가 왜 함부로 까는거죠?!

답변달기
twiddlingguidable   [-]

https://reddit.com/r/MicrosoftEdge/… 저는 윈도 사용할 때마다 이런 경험이 많아서 그냥 그러려니 합니다..

답변달기
aigirlfriend   [-]

메인보드 제조사들이 블로터웨어 강매하는거 부러웠나봐요

답변달기
GN⁺   [-]
Hacker News 의견들

  • 제목보다 훨씬 심각함. 운영체제가 사용자 조작 없이 제3자 제조사 소프트웨어를 백그라운드에서 설치하고, 누구든 HDMI 장치를 연결하는 즉시 실행될 수 있음
    이 소프트웨어는 인터넷과 시스템 전체에 접근하며 샌드박스도 없고, 부팅할 때마다 시작됨. 새 LG 모니터뿐 아니라 이미 연결된 구형 모델과 전문가용 모델에도 확대 적용됐다는 점에서 전례를 찾기 어려움
    GamersNexus가 LG의 행위를 자세히 분석함: https://www.youtube.com/watch?v=Q9uefFYe6bM

    • 프린터·마우스·태블릿 제조사는 적어도 Windows Vista나 Windows 7 시절부터 이 기능으로 불필요한 번들 소프트웨어를 밀어 넣었음. Razer 마우스를 연결했더니 1.5GB짜리 소프트웨어가 즉시 내려오고, 원격 측정 기능이 게임 PC의 데이터를 실시간으로 외부 전송하기도 했음
      Microsoft는 제조사를 차단할 수단이 있으면서도 이를 막지 않음. Razer 같은 업체는 이제 하드웨어 회사보다 마케팅·데이터 회사에 가까울 가능성도 있음
    • Microsoft는 수십 년 동안 이런 행위를 허용해 왔으므로 새로운 문제는 아님. 이번에는 LG의 소프트웨어가 기존 자동 설치보다 훨씬 노골적으로 드러나 사용자 반발이 커졌을 뿐임
      Microsoft가 왜 이를 허용하고 활성화하는지 이해하기 어려우며, 사용자 중심 제품을 만드는 감각을 잃은 듯함
    • 몇 년 전 Razer USB 마우스를 연결하면 Windows가 설치 프로그램을 내려받아 실행했고, 현재 사용자가 그 프로그램에서 관리자 권한 PowerShell을 시작할 수 있었음. Razer는 처음엔 축소하려 했지만 나중에 수정함
      USB에는 인증이 없고 Windows가 드라이버 패키지를 찾는 데 쓰는 16비트 VendorID와 ProductID만 있음. MCU가 임의의 ID를 사용하게 만드는 것은 간단하며, 처음에는 정상 장치처럼 보이다가 타이머나 외부 신호에 따라 연결을 끊고 다른 장치로 위장해 재연결할 수도 있음
      https://arstechnica.com/information-technology/2021/08/need-...
    • Windows는 Windows Update를 통해 연결된 하드웨어의 권장 드라이버를 자동 다운로드할 수 있음: https://support.microsoft.com/en-us/windows/hardware/drivers...
      8년 전에도 제조사 앱 자동 다운로드를 해제하고 드라이버를 삭제한 뒤 재부팅해도 약 2분 만에 모두 다시 설치됐으며, 당시 최신판보다 오래된 Nvidia 388.1까지 설치된다는 문제가 있었음: https://www.reddit.com/r/Windows10/comments/8tlre3/why_is_it...
    • 이제 Windows 자체가 악성 소프트웨어라는 결론밖에 내리기 어려움. 10년 넘게 Windows를 쓰지 않아 다행임

  • 자동 설치 차단 방법은 gpedit.msc에서 Computer Configuration > Administrative Templates > System > Device Installation > Prevent automatic download of applications associated with device metadata를 활성화하는 것임
    gpedit.msc가 없는 Home 에디션에서는 sysdm.cpl의 Hardware > Device Installation Settings로 들어가 제조사 앱 자동 다운로드 질문에 No를 선택하고 저장하면 됨

    • gpedit.msc는 Windows Home에 기본 포함되지 않으며 비공식적으로 추가하는 방법만 있음. 애초에 존재하지 말아야 할 문제를 우회하는 데 사용자에게 너무 많은 작업을 요구함
      Microsoft가 개입해야 하며, 자사 제품을 쓰기 위한 정상적인 요구 사항으로 받아들일 수 없음
    • 이런 설정을 찾아 적용할 수 있다면 차라리 Linux를 설치할 만큼 일반 소비자에게는 기술적임. 대부분은 이 방법을 발견하지 못하고 LG 소프트웨어가 스파이웨어라는 사실조차 이해하지 못할 것임
    • 이 설정을 꺼도 연결할 때마다 드라이버를 설치하는 마우스가 있었음. Windows가 자동 다운로드한 드라이버를 Driver Store에 캐시했다가 장치 연결 시 재설치해서 불필요한 소프트웨어가 계속 돌아왔는데, 지금도 그런지 궁금함
    • Alienware 모니터에서도 같은 일을 겪었지만 Linux에서는 발생하지 않음

  • Microsoft가 수익을 나눠 받지 않는다는 전제라면 LG보다 Microsoft에 압력을 넣는 편이 효과적일 수 있음. 무엇을 설치할지는 Microsoft가 결정하며, 현재는 하드웨어 제조사가 적절한 소프트웨어를 제공한다고 신뢰하는 듯함
    특히 대기업 고객이 반발하면 정책이 강화되고, LG에는 재발 시 업데이트 권한을 박탈하겠다고 통보할 수 있음. 이미 제품을 판매한 LG는 다음 구매 때 불매하겠다는 약속이 흐려질 것을 알지만, Microsoft는 매일 대형 계약을 협상하므로 영업상 장애로 기록되면 대응할 유인이 큼

    • 많은 기업은 Windows Update를 끄고 사내 Windows Update 시스템을 통과한 항목만 허용함. 업데이트 누락이 역효과를 내기도 하며, 실제로 최신 Intel Wi-Fi 드라이버가 배포되지 않아 문제가 생긴 적도 있음
      기업은 이런 자동 설치를 보지 못할 가능성이 커서 항의하지 않을 것이고, Windows의 전반적인 품질 문제에도 이미 익숙해져 있음
    • 실행 전 모든 것에 서명을 요구하면서도 아무 책임도 지지 않고, 문제가 생기면 컴퓨터가 한 일로 돌리는 태도를 이제는 비판해야 함
    • 드라이버는 드라이버 역할만 해야 함. 제조사는 작동한다는 이유로 원하는 소프트웨어를 넣고, 불만은 대부분 Microsoft가 받는 구조이므로 Microsoft가 책임져야 함

  • 모니터 자체가 컴퓨터에 소프트웨어를 설치하는 것이 아니라 Windows가 자동으로 설치하는 것이므로 Microsoft에 책임이 있음. USB 드라이브 연결 시 악성 소프트웨어를 자동 실행하던 문제와 같은 보안 결함으로 볼 수 있음

    • Microsoft만이 아니라 LG에도 책임이 있으며, Microsoft는 이를 가능하게 한 쪽임
    • AutoRun은 USB에 담긴 파일을 아무 검증 없이 실행했지만 이번 일은 다름. Microsoft의 서명과 검증을 통과할 만큼 신뢰받는 회사가 제공한 드라이버를 설치한 것이며, LG가 그 신뢰를 위반했음
    • 책임은 Microsoft와 LG 모두에게 있음
    • 현대식 모니터는 USB로도 연결되므로 키보드나 마우스로 위장해 실제로 소프트웨어 설치를 유도할 수 있음. 이런 기업들이 그렇게 하지 않으리라 믿기 어려움

  • Windows는 드라이버 동의 모델을 시급히 개편해야 함. 특정 드라이버 하나만 차단할 수 없어 Lenovo에서 터치스크린 드라이버 7.7.2.66을 설치해도 다음 날 Windows가 7.7.2.44로 되돌림
    최신판 링크는 https://pcsupport.lenovo.com/us/en/products/laptops-and-netb...임
    PowerShell에서 업데이트를 숨겨도 KB 번호가 없어 필터링되지 않으며, get-windowsupdate -isHidden | ft Status,KB,Size,Title 실행에도 20초 이상 걸림

  • 이런 악성 소프트웨어는 개인정보 보호법으로 불법화하기 전까지 계속될 것임. 동의만 요구하면 기업은 1.8PiB짜리 이용약관을 읽었다고 간주하고, 언제든 조항을 변경할 수 있으며 강제 중재 때문에 소송도 어렵다는 문구를 넣을 뿐임
    Microsoft와 Windows가 표준 프로토콜을 사용하는 주변기기에도 드라이버가 필요하다고 사용자를 길들인 것도 문제임. 모니터는 픽셀을 받아 표시할 뿐이므로 별도 드라이버가 필요하지 않음

    • 개인이 같은 일을 했다면 분명 감옥에 갔을 것임

  • Gamers Nexus의 영상은 볼 가치가 충분함: https://www.youtube.com/watch?v=Q9uefFYe6bM

    • 유럽과 미국의 LG 제품 환경이 크게 다른지 궁금함. 스페인에서 구매해 사용하는 LG 모니터와 LG OLED TV에는 광고가 전혀 없지만, 온라인에서는 LG 디스플레이의 광고에 대한 불만이 많음
      이 악성 소프트웨어 문제가 해결될 때까지 Windows를 부팅하지 않을 생각이며, 미국 사용자가 더 많은 광고를 받는 것처럼 보임

  • LG를 EA, Blizzard Entertainment와 함께 구매 금지 목록에 추가함. 회사나 정책을 바꿀 수는 없어도 구매하지 않을 수는 있음

  • 예전에는 이런 것을 스파이웨어나 악성 소프트웨어라고 불렀지만, 이제 대기업의 엔지니어링 팀과 관리자에게 일상적인 관행이 됨

    • FTC는 악성 소프트웨어를 사용자 모르게 장치에 설치되는 유해한 소프트웨어로 정의함. LG 모니터는 소프트웨어를 몰래 설치하고 시스템을 느리게 하며 광고로 작업을 방해하므로 계속 악성 소프트웨어라고 불러야 함
    • 악성 소프트웨어가 아니라면 오늘날에는 무엇이라고 불러야 하는지 의문임
    • 새로운 일은 아님. 지난 15년 동안 변조된 Windows 설치 프로그램 대신 브라우저와 모바일 앱에서 악성·광고·스파이웨어가 더 흔했을 뿐임
    • 하위 엔지니어링 팀의 관리자가 이런 결정을 내렸을 가능성은 낮음. 마케팅이나 제휴 부서가 아이디어를 만들고 고위 경영진에게 제안했을 가능성이 더 큼
      어딘가의 중간 관리자가 이런 일을 막아주리라 기대하는 이유를 이해하기 어려움

  • 왜 여러 플랫폼에서 이 문제를 걱정하는 사람을 과민하다고 몰아가는지 모르겠음. 장치를 연결하자마자 설치되는 명백한 스파이웨어이며, 과거 Sony DVD DRM이 스파이웨어를 설치했던 것과 비슷한 쓰레기 같은 행위임

    • 동료가 이런 일을 했다고 상상해 보면 심각성이 분명해짐
답변달기