Tech_News

LG 모니터가 몰래 깔린다: Windows Update가 서드파티 소프트웨어 설치 경로가 된 진짜 이유와 실전 차단법

TeEm0 2026. 7. 20. 09:00
728x90

1. 왜 지금 이 사건이 화제인가

Gamers Nexus가 LG UltraGear 34GX900A-B 모니터를 물려서 32번 연속 부팅했더니 31번 McAfee 구독 광고가 떴다는 게 이번 사건의 핵심이다. 남은 1번은 LG 자체 모니터 유틸리티 광고였다. 사용자가 뭘 클릭한 것도 아니고, 동의 창도 없었다. 그냥 HDMI(혹은 USB)로 모니터를 꽂았을 뿐인데 LG Monitor App Installer가 Windows Update를 타고 내려와서 McAfee 30일 체험 → 유료 전환을 밀어넣은 거다.

인프라 하는 사람 입장에서 이게 왜 짜증나는 지점이냐면, 우리가 지금까지 "Windows Update = 신뢰할 수 있는 패치 채널"이라고 전제하고 정책을 짜왔기 때문이다. WSUS 승인 목록, Intune 업데이트 링, 다 그 신뢰를 기반으로 돌아간다. 그런데 그 채널로 McAfee 번들이 내려온다면? 우리가 관리한다고 믿었던 엔드포인트에 검증 안 된 서드파티 앱이 관리자 개입 없이 들어온다는 뜻이다.

참고로 이건 LG만의 문제가 아니다. 원문에서도 Dell Alienware 모니터를 DisplayPort로 꽂으면 Alienware Command Center가 반복 설치된다는 사례가 같이 나온다. 프린터·마우스 벤더는 Vista/7 시절부터 이 짓을 해왔다. Razer 마우스 꽂으면 1.5GB짜리 소프트웨어가 딸려온 사례도 언급된다. LG는 그중에서도 유독 노골적이었을 뿐이다.

2. 동작 원리: 설치 체인 역추적

이게 어떻게 가능한지 이해하려면 Windows의 Device Metadata 메커니즘을 알아야 한다. 순서는 대략 이렇다.

  1. 장치를 연결하면 Windows가 USB/DisplayPort의 VendorID(VID)와 ProductID(PID)를 읽는다.
  2. 이 VID/PID를 기반으로 Windows Update에 "이 장치와 연계된 드라이버 및 앱"을 질의한다.
  3. LG 확장 패키지 + 소프트웨어 구성 요소 패키지가 먼저 설치된다.
  4. Reliability Monitor 기록상 약 1분 뒤 LG Monitor App Installer가 실행된다.
  5. 부팅할 때마다 이 인스톨러가 McAfee 광고를 띄운다.

여기서 핵심은 "동의 창이 없다"는 점이다. AutoRun(옛날 USB 꽂으면 자동 실행되던 그거)과 뭐가 다르냐고 물으면, 오히려 더 교묘하다. AutoRun은 검증 없이 아무 파일이나 실행했지만, 이번 건은 Microsoft의 서명·검증을 통과한 "신뢰받는 벤더"가 제공한 패키지라서 정상 경로로 조용히 들어온다. 즉 보안 게이트를 뚫은 게 아니라, 게이트를 통과할 자격이 있는 벤더가 그 자격을 남용한 거다.

비유하자면, 아파트 관리사무소(Microsoft)가 "이 택배기사(LG)는 믿을 만하니 공동현관 비밀번호 알려줘도 돼"라고 등록해놨는데, 그 택배기사가 택배 대신 광고 전단지를 집집마다 몰래 붙이고 다니는 상황이다. 현관 보안이 뚫린 게 아니라 등록된 신뢰가 오남용된 거다.

Microsoft Store 상 이 앱의 권한 설명에는 "인터넷 및 모든 시스템 리소스 접근"이라고 적혀 있다. 샌드박스도 없고 부팅할 때마다 돈다. 원문 HN 댓글에서 이걸 그냥 스파이웨어라고 부르는 이유가 여기 있다.

3. 실무 관점: 차단·트레이드오프·흔한 함정

3-1. GPO로 차단 (도메인 환경 / Pro 이상)

가장 확실한 건 Device Installation 정책을 손대는 거다. 원문에 나온 경로 그대로다.

Computer Configuration
  → Administrative Templates
    → System
      → Device Installation
        → "Prevent automatic download of applications associated with device metadata"
          → Enabled

이걸 활성화하면 Windows가 연결된 하드웨어와 연계된 앱을 자동 다운로드하지 못한다. GUI 대신 gpedit.msc를 직접 열어도 되고, 대량 배포라면 아래처럼 레지스트리로 밀어도 된다. (이 정책의 백엔드 레지스트리 키다.)

PS C:\> reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\Device Metadata" /v PreventDeviceMetadataFromNetwork /t REG_DWORD /d 1 /f

작업을 완료했습니다.

PS C:\> reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\Device Metadata"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Device Metadata
    PreventDeviceMetadataFromNetwork    REG_DWORD    0x1

트레이드오프: 이걸 켜면 정말 필요한 모니터/주변기기 유틸리티도 자동으로 안 온다. 예를 들어 색보정 프로파일이나 KVM 소프트웨어가 필요한 환경이라면 벤더 사이트에서 직접 받아서 배포해야 한다. 개인적으로는 기업 환경에서 이게 오히려 정상이라고 본다. 어차피 검증 안 된 걸 자동으로 받는 것보다, 승인한 것만 골라 배포하는 게 관리 원칙에 맞다.

3-2. Home 에디션이라면

gpedit.msc가 없는 Home에서는 sysdm.cpl → 하드웨어 탭 → "장치 설치 설정"에서 제조사 앱 자동 다운로드 질문에 아니요를 선택하면 된다. 원문 HN 댓글의 지적처럼, 일반 소비자가 이걸 찾아서 끄기를 기대하는 것 자체가 무리다. "이 설정을 찾을 줄 아는 사람이면 차라리 Linux 깔지"라는 냉소가 괜히 나온 게 아니다.

3-3. 흔한 함정 — 껐는데도 다시 깔린다

여기가 진짜 실무에서 발목 잡히는 부분이다. 정책을 켜고 드라이버를 지워도 재부팅하면 다시 설치되는 경우가 있다. 원인은 Windows가 이미 받아둔 패키지를 Driver Store에 캐시해뒀기 때문이다. 원문 Reddit 사례에서도 "앱 자동 다운로드 끄고 드라이버 지우고 재부팅했는데 2분 만에 전부 다시 설치됐다"는 8년 전 케이스가 언급된다.

그래서 정책만 켜지 말고 캐시된 드라이버 패키지까지 확인해야 한다.

PS C:\> pnputil /enum-drivers

Microsoft PnP 유틸리티

게시된 이름:            oem42.inf
원래 이름:              lgmonitor.inf
공급자 이름:           LG Electronics Inc.
클래스 이름:           Extension
클래스 GUID:           {e2f84ce7-8efa-411c-aa69-97454ca4cb57}
드라이버 버전:         09/12/2024 1.0.2401.0
서명자 이름:           Microsoft Windows Hardware Compatibility Publisher

여기서 나온 게시된 이름(oem42.inf 같은 형태)을 지정해서 삭제한다. 삭제할 때 자주 만나는 에러가 이거다.

PS C:\> pnputil /delete-driver oem42.inf /force

Microsoft PnP 유틸리티

드라이버 패키지를 삭제하지 못했습니다: 요소를 찾을 수 없습니다.

이 "요소를 찾을 수 없습니다"(원문 영문으로는 Element not found.)는 보통 게시된 이름이 아니라 원래 이름을 넣었거나, 현재 장치가 그 드라이버를 사용 중이라 /force 없이 지우려 할 때 뜬다. /enum-drivers로 나온 게시된 이름(oemXX.inf)을 정확히 쓰고, 그래도 안 지워지면 장치를 뽑은 상태에서 시도하거나 /uninstall 옵션을 붙여야 한다. 캐시를 안 지우면 정책 켜놔도 재부팅 시 되살아나니, 이 순서를 꼭 지키자.

3-4. WSUS / Intune 관점

기업이라면 애초에 클라이언트가 Microsoft Update에 직접 붙는 걸 막고 사내 승인 채널만 태워야 한다. 원문 HN 댓글에서도 "많은 기업은 Windows Update를 끄고 사내 WSUS를 통과한 것만 허용한다"는 언급이 나오는데, 이게 정석이다. 다만 함정도 같이 언급된다 — 이렇게 하면 정작 필요한 최신 Intel Wi-Fi 드라이버가 안 내려와서 문제가 생긴 적도 있다는 거다. 즉 서드파티 번들을 막으려다 정당한 드라이버 업데이트까지 놓치는 트레이드오프가 항상 따라온다.

Intune에서는 "드라이버 및 펌웨어 업데이트" 정책과 별개로 Device Metadata 정책을 카탈로그로 배포할 수 있다. 개인적으로 추천하는 조합은 다음과 같다.

  • Device Metadata 자동 다운로드는 차단 (위 GPO/레지스트리).
  • 드라이버는 WSUS/Intune에서 명시적으로 승인한 것만 배포.
  • 모니터 유틸리티가 정말 필요하면 사내 패키지 저장소(예: winget/Chocolatey 내부 미러)에서 검증 후 배포.

3-5. 공급망 보안 관점

이 사건의 본질은 "OEM 벤더가 Microsoft의 서명 신뢰를 마케팅 채널로 전용했다"는 거다. SolarWinds급의 침해는 아니지만 구조는 닮았다. 신뢰받는 배포 채널에 검증 안 된 페이로드가 실린다는 점에서 공급망 문제로 봐야 한다. 그래서 대응도 "특정 앱 하나 지우기"가 아니라 "이 채널로 뭐가 들어올 수 있는지 자체를 통제"하는 방향이어야 한다.

다만 여기서 확실하지 않은 부분은 짚고 넘어가자. 정확히 어떤 LG 모델 범위가 이 동작을 하는지는 원문 기준으로도 확인되지 않았다. 3년 전 구매한 32UN880-B에서도 팝업이 떴다는 제보가 있으니 신제품 한정은 아닌 걸로 보인다. 지역차(스페인 사용자는 광고를 못 봤다는 제보)도 있는데, 이게 SKU 차이인지 지역별 배포 정책 차이인지는 공식 확인이 필요하다.

4. 정리 — 한 줄 요약과 체크리스트

한 줄 요약: Windows Update의 Device Metadata 경로는 서명된 OEM 벤더가 앱을 자동으로 밀어넣을 수 있는 합법적 통로이며, LG는 이걸로 McAfee 번들을 동의 없이 설치했다. 정책 하나로 막을 수 있지만 캐시까지 손봐야 완전히 끊긴다.

누가 언제 해야 하나:

  • 기업 엔드포인트 관리자 → 지금 당장 Device Metadata 정책 배포 + WSUS/Intune 승인 채널 점검.
  • 개인/소규모 → 새 모니터·주변기기 꽂기 전에 sysdm.cpl에서 자동 다운로드 끄기.
  • 이미 감염(?) 의심 → Reliability Monitor로 설치 이력 확인 → pnputil /enum-drivers로 캐시 확인 → 정책 켜고 캐시 삭제.

즉시 점검 체크리스트:

  1. reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\Device Metadata"로 정책 적용 여부 확인.
  2. pnputil /enum-drivers에서 공급자 이름이 LG/Dell 등 OEM인 Extension 클래스 드라이버가 있는지 확인.
  3. 설치된 앱 목록에서 LG Monitor App Installer / McAfee 체험판 제거.
  4. WSUS/Intune에서 드라이버 자동 승인 규칙에 서드파티 앱이 딸려오지 않는지 확인.
  5. 재부팅 후 다시 안 깔리는지 최종 검증(캐시 삭제가 됐는지 확인).

솔직히 이건 벤더 신뢰의 문제라 우리가 근본적으로 고칠 순 없다. 하지만 최소한 우리가 관리하는 자산에서는 "동의 없이 뭐가 들어오는 채널"을 알고 통제할 수 있어야 한다. 이번 사건은 그 채널의 존재를 다시 상기시켜준 것뿐이다.

참고 자료

728x90
저작자표시 비영리 동일조건 (새창열림)