백신이 무료 프로그램을 악성코드로 잡을 때 (오진 판단하기)

확인일 2026-09-06 변동형 — 확인일 기준

증상

공식 사이트에서 받아 설치했는데 백신이 경고를 띄웁니다.

  • 내려받는 도중 또는 설치 직후 파일이 삭제되거나 격리됨
  • 잘 쓰던 프로그램이 업데이트 뒤에 갑자기 진단됨
  • 진단명이 Trojan·Riskware·Unwanted·HEUR·Generic 처럼 뭉뚱그려져 있음
  • 백신 A는 잡는데 백신 B는 아무 말이 없음
  • 설치 폴더 안의 특정 파일 하나만 진단됨

이 중 상당수는 실제 감염이 아니라 오진(誤診, false positive)입니다. 다만 “오진이겠지” 하고 넘기면 진짜 악성코드를 통과시키게 되므로, 판단 순서를 정해 두는 편이 낫습니다.

왜 멀쩡한 프로그램이 잡히나

1) 자동 압축 해제(SFX) 기능을 쓰는 프로그램

압축 프로그램은 대부분 파일을 EXE로 압축하는 기능을 제공합니다. 이렇게 만든 EXE는 압축 프로그램 없이도 실행만으로 스스로 풀리기 때문에 SFX(Self-extracting archive) 파일이라고 부릅니다.[1]

문제는 악의적인 사용자도 같은 기능으로 악성코드를 담은 파일을 만들 수 있다는 점입니다. 그래서 일부 백신은 SFX 파일을 발견하면 내용을 자세히 검사하지 않고 일단 의심스러운 파일로 진단한 뒤 차단하기도 합니다. 개발사도 이 사정을 공개적으로 설명하고 있습니다.[1]

즉 이 경우 진단된 것은 “그 프로그램이 나쁘다”가 아니라 “이런 형태의 파일은 나쁘게 쓰일 수도 있다”는 뜻입니다.

2) 평판이 아직 쌓이지 않은 파일

윈도우의 SmartScreen은 내려받은 파일을 “잘 알려지고 자주 다운로드되는 파일 목록”과 대조하고, 목록에 없으면 주의 메시지를 표시합니다. 서명이나 평판이 좋으면 경고가 없지만 평판이 없으면 더 높은 위험으로 표시합니다.[2]

이 때문에 이용자가 적은 프로그램이나 막 나온 새 버전에서 경고가 자주 나옵니다. 어제까지 조용하던 프로그램이 업데이트 뒤 잡히는 이유가 대개 이것입니다.[2]

3) 기능 자체가 시스템을 건드리는 프로그램

화면 캡처, 키보드·마우스 동작 변경, 파일 전체 검색, 창 배치 변경 같은 기능은 정상 도구도 시스템 깊은 곳을 다룹니다. 악성코드가 쓰는 동작과 겉모습이 겹치므로 행위 기반(휴리스틱) 탐지에 걸리기 쉽습니다. 진단명에 HEUR·Generic·Riskware가 붙어 있으면 특정 악성코드를 지목한 것이 아니라 패턴이 비슷해 보인다는 뜻일 가능성이 큽니다.

진짜 오진인지 판단하는 순서

아래를 순서대로 확인합니다. 하나라도 어긋나면 예외 등록을 하지 말고 파일을 지우는 편이 안전합니다.

  1. 어디서 받았는지부터 확인합니다. 개발사 공식 도메인에서 직접 받았습니까? 검색 결과 상단의 자료실이나 다운로드 대행 사이트에서 받았다면 오진 판단 자체가 성립하지 않습니다. 공식 사이트에서 다시 받아 같은 진단이 나오는지 봅니다.
  2. 파일 이름과 용량을 대조합니다. 공식 페이지에 적힌 파일명·용량과 크게 다르면 다른 파일입니다.
  3. 어떤 파일이 진단됐는지 봅니다. 백신 기록에서 경로와 파일명을 확인합니다. 개발사가 공개적으로 “이 파일이 오진된다”고 밝힌 파일이면 오진일 가능성이 높습니다.[1]
  4. 진단명을 봅니다. 구체적인 악성코드 이름이 아니라 HEUR·Generic·Riskware 계열이면 행위 기반 추정일 수 있습니다.
  5. 다른 백신에서도 잡히는지 봅니다. 여러 엔진이 일제히 같은 이름으로 진단한다면 오진으로 보기 어렵습니다.

오진이라고 판단했다면

개발사 안내는 백신의 도움말을 참조해 오진되는 파일을 신뢰할 수 있는 파일 목록에 추가하라는 것입니다.[1] 실제로 할 때는 범위를 최소로 잡아야 합니다.

방식 범위 메모
진단된 파일 하나만 예외 등록 가장 좁음 권장. 개발사가 지목한 그 파일만 등록합니다[1]
설치 폴더 전체를 예외 등록 넓음 그 폴더에 나중에 들어오는 파일도 검사에서 빠집니다
백신을 잠시 끄기 가장 넓음 끈 동안 받는 모든 파일이 무방비입니다. 권하지 않습니다

예외 등록은 그 파일에 대한 검사를 앞으로 하지 않겠다는 뜻입니다. 나중에 그 경로의 파일이 바뀌어도 검사되지 않으므로, 폴더 단위나 백신 전체를 끄는 방식은 피하는 편이 좋습니다.

이렇게 나오면 오진이 아닙니다

  • 공식 사이트가 아닌 곳에서 받았다 — 같은 이름이어도 다른 파일일 수 있습니다.
  • 설치 중 낯선 프로그램이 함께 깔린다 — 번들 설치 관리자를 끼운 재배포본입니다.
  • 크랙·시리얼·인증 우회 파일이다 — 이런 파일의 진단은 오진으로 보지 않습니다.
  • 진단명이 구체적이고 여러 백신이 동일하게 잡는다 — 예외 등록 대상이 아닙니다.
  • 백신을 꺼야만 설치된다고 안내한다 — 정상 프로그램은 그런 요구를 하지 않습니다.

정리

백신 경고는 “이 파일이 악성이다”라는 확정이 아니라 의심 신호입니다. SFX 형태이거나 평판이 쌓이지 않은 새 파일이면 정상 프로그램도 걸립니다.[1][2] 그래서 판단 기준은 경고 화면이 아니라 받은 곳과 진단된 파일이고, 오진이라고 판단했더라도 예외 범위는 파일 하나로 좁게 잡는 것이 안전합니다.[1]