‘Realtek Driver Install.ps1’이라는 파일명이 확인되면서 리얼텍 드라이버 악성코드에 대한 문의가 늘고 있다. 결론부터 밝히면 이 파일은 정상 리얼텍 오디오 드라이버 설치 프로그램이 아니라, 불법 다운로드 자막 파일에 숨어 유포된 악성 스크립트다. 정상 드라이버와의 차이점, 감염 확인 방법을 아래에 정리했다.
한눈에 보는 핵심 정보
가짜 파일과 정상 리얼텍 드라이버는 파일 형식부터 유포 경로, 서명 여부까지 여러 지점에서 뚜렷하게 갈린다. 아래 표로 두 대상을 비교했다.
| 구분 | 가짜 파일(Realtek Driver Install.ps1) | 정상 리얼텍 드라이버 |
|---|---|---|
| 파일 형식 | PowerShell 스크립트(.ps1) | 실행 파일(.exe) 또는 설치 패키지(.msi) |
| 유포 경로 | 불법 다운로드 사이트의 영화·드라마 자막 파일 내 스크립트 | 리얼텍 공식 홈페이지, 메인보드·노트북 제조사 지원 페이지, Windows Update, Microsoft Store |
| 생성 방식 | 1차 스크립트 실행 후 암호화 코드를 복호화해 2차로 생성 | 설치 마법사를 통한 정식 설치 절차 |
| 디지털 서명 | 없음 또는 확인 불가 | Realtek Semiconductor Corp. 명의 서명 |
| 은닉·위장 방식 | Windows Defender 활성화 여부를 확인한 뒤 정상 오디오 서비스로 위장해 시스템에 상주 | 제어판·작업표시줄에 정상적으로 노출되는 오디오 서비스 아이콘 생성 |
표에서 가장 눈에 띄는 차이는 파일 형식이다. 정상적인 오디오 드라이버는 제조사가 서명한 실행 파일 형태로 배포되며, PowerShell 스크립트로 드라이버를 설치하는 절차 자체가 존재하지 않는다. 두 번째로 중요한 차이는 유포 경로다. 리얼텍 드라이버는 공식 홈페이지나 제조사 지원 페이지, Windows Update를 통해서만 내려받을 수 있고, 자막 파일이나 압축파일 안에 함께 들어 있는 구조로 배포되지 않는다.
대상·조건: 감염 위험에 노출되는 경우
아래 조건 중 하나라도 해당하면 파일 출처를 다시 확인해볼 필요가 있다.
- 최근 불법 다운로드 사이트에서 영화·드라마 자막 파일(.smi, .srt 등)을 내려받아 실행한 경우
- 자막 파일과 함께 압축된 폴더 안에 낯선 실행파일(.exe, .scr, .ps1)이 포함돼 있던 경우
- PowerShell 실행 정책을 별도로 바꾼 적이 없는데도 스크립트가 자동으로 실행된 흔적이 있는 경우
- 오디오 관련 프로그램을 설치한 기억이 없는데 시스템에 리얼텍 관련 프로세스가 새로 나타난 경우
반대로 조립 PC 구매 시 메인보드에 동봉된 정품 CD, 메인보드·노트북 제조사 홈페이지, Windows Update로 드라이버를 받은 경우는 이번 사례와 무관하다.
구체적인 사례와 예시
보도된 사례를 보면 감염 흐름은 다음과 같다. 예를 들어 이용자가 불법 다운로드 사이트에서 영화 자막 파일을 내려받아 실행하면, 1차 스크립트가 작동해 암호화된 코드를 복호화한다. 이 과정에서 ‘Realtek Driver Install.ps1’이라는 이름의 2차 파일이 새로 생성된다.
이후 해당 스크립트는 시스템에 설치된 Windows Defender의 활성화 여부를 먼저 확인한다. 그다음 정상적인 오디오 서비스인 것처럼 위장해 시스템에 계속 상주하는 방식으로 동작한다. 이용자 입장에서는 오디오 관련 프로그램을 설치한 기억이 없는데도 관련 프로세스가 실행되고 있다면 의심해볼 만한 정황이다.
자막 사이트를 매개로 한 악성코드 유포는 국내에서 과거에도 여러 차례 보고된 유형으로, 이번 사례처럼 정상 소프트웨어명을 사칭하는 방식이 반복적으로 쓰이는 경향이 있다.
감염 확인 및 대응 방법
의심 파일을 발견했거나 감염이 우려되는 경우 아래 순서로 확인하는 것이 효율적이다.
- 작업 관리자에서 프로세스 확인: 파일 위치가 ‘Program Files\Realtek’ 등 정식 설치 경로가 아니라 임시 폴더나 다운로드 폴더라면 의심 대상이다.
- 디지털 서명 확인: 해당 파일을 마우스 우클릭 후 속성 → 디지털 서명 탭에서 서명자가 ‘Realtek Semiconductor Corp.’인지 확인한다. 서명이 없거나 다른 이름이면 정상 드라이버가 아니다.
- PowerShell 실행 기록 점검: 이벤트 뷰어에서 PowerShell 관련 로그를 확인해 본인이 실행하지 않은 스크립트 기록이 있는지 살펴본다.
- 백신 전체 검사 실행: Windows Defender 또는 사용 중인 백신 프로그램의 정의를 최신 상태로 업데이트한 뒤 전체 검사를 진행한다.
- 의심 파일 격리·삭제: 검사 결과 악성코드로 분류된 파일은 격리 또는 삭제하고, 이후 정식 경로에서 오디오 드라이버를 다시 설치한다.
- 주요 계정 비밀번호 변경: 정보 유출 가능성에 대비해 브라우저에 저장된 비밀번호와 주요 계정 비밀번호를 변경해두는 것이 안전하다.
놓치기 쉬운 유의사항
- 문제가 되는 것은 자막 파일 자체보다 압축파일 안에 함께 들어 있는 실행파일인 경우가 많다.
- 윈도우 탐색기에서 확장자 숨김 설정이 켜져 있으면 .ps1 파일이 다른 아이콘으로 표시돼 눈으로 구분하기 어렵다. 폴더 옵션에서 파일 확장자 표시를 켜두는 것이 좋다.
- 정상 리얼텍 드라이버는 항상 exe·msi 형태로 배포되며, 자막 파일이나 동영상 코덱과 함께 묶여 제공되지 않는다.
- 백신 실시간 감시 기능이 꺼져 있으면 스크립트 실행 시점에 탐지되지 않을 수 있으므로 평소 실시간 감시를 켜두는 것이 기본이다.
상황별 추가 설명
컴퓨터 종류나 이용 환경에 따라 정상 드라이버를 확인하는 경로가 달라진다.
| 사용 환경 | 정상 드라이버 확인 경로 |
|---|---|
| 노트북 | 삼성, LG, 델 등 제조사 지원 홈페이지에서 모델명 기준으로 검색 |
| 조립 PC(메인보드 사용) | 에이수스, 기가바이트 등 메인보드 제조사 홈페이지 |
| Windows 내장 기능 이용 시 | Windows Update 자동 업데이트 또는 Microsoft Store의 Realtek Audio Control 앱 |
이미 의심 파일을 실행해버린 경우에는 검사 전 네트워크 연결을 차단한 뒤 백신 검사를 진행하는 편이 추가 통신을 막는 데 도움이 된다. 반대로 아직 실행하지 않았다면 해당 파일을 삭제하고 자막을 내려받은 출처 자체를 다시 점검하는 것이 우선이다.
리얼텍 드라이버 악성코드는 파일명만 보고는 구분하기 어렵지만, 파일 형식과 서명, 설치 경로를 확인하면 정상 드라이버와 명확히 구분된다. 불법 다운로드 자막 파일 실행 이력이 있다면 작업 관리자와 디지털 서명 확인부터 시작하고, 의심되는 경우 백신 검사를 진행한 뒤 정식 경로에서 드라이버를 다시 설치하는 순서로 대응하면 된다.
관련 글
자주 묻는 질문
Q. ‘Realtek Driver Install.ps1’ 파일이 컴퓨터에 있으면 무조건 악성코드인가? 정상 리얼텍 드라이버는 PowerShell 스크립트 형태로 배포되지 않으므로, 해당 파일명이 발견됐다면 출처를 확인하고 백신 검사를 진행하는 것이 안전하다.
Q. 자막 파일만 열었는데 실행한 적이 없어도 감염될 수 있나? 보도된 사례에 따르면 자막 파일 자체보다 함께 포함된 압축파일 내 실행파일을 별도로 실행했을 때 감염되는 구조로 확인됐다. 압축 해제 후 낯선 실행파일은 실행하지 않는 것이 안전하다.
Q. 정상 리얼텍 오디오 드라이버는 어디서 받아야 하나? 조립 PC는 메인보드 제조사 홈페이지, 노트북은 제조사 지원 페이지를 이용하고, Windows Update나 Microsoft Store의 Realtek Audio Control 앱을 통해 받는 방법도 있다.
Q. 이미 의심 파일을 실행했다면 어떻게 해야 하나? 네트워크 연결을 차단한 뒤 백신으로 전체 검사를 진행하고, 의심 프로세스를 종료·삭제한 후 주요 계정 비밀번호를 변경하는 것이 권장된다.
Q. Windows Defender만으로 이런 악성코드를 막을 수 있나? 스크립트가 Defender 활성화 여부를 먼저 확인하고 우회를 시도하는 방식이 보도된 만큼, 실시간 감시를 켜두는 것과 별개로 의심스러운 파일 실행 자체를 피하는 것이 근본적인 예방법이다.
