압축 파일 열기 전 확인할 위험 신호 5가지: LNK·비밀번호·헤더 변조

한국 웹하드에서 내려받은 압축 파일을 열기 전, 위험 신호 하나를 확인했다면 감염을 막을 수 있었다. ASEC(안랩 시큐리티 대응센터)가 2024년 1월 공개한 사례에서 XWorm v5.6 RAT 악성코드는 게임·성인물로 위장한 압축 파일로 국내 웹하드를 통해 유포됐다. njRAT, UDP Rat 같은 오픈소스 원격 제어 악성코드가 같은 경로를 반복해서 이용한다는 사실은 이 경로가 공격자 입장에서 안정적으로 작동한다는 뜻이기도 하다.

이 글은 압축 파일 열기 전 확인할 위험 신호 중에서도 경쟁 정보 글이 놓치는 세 가지에 집중한다. 비밀번호 압축 파일이 오히려 백신을 우회하는 이유, LNK 바로가기 파일이 한글 문서 아이콘으로 위장하는 한국형 공격, 그리고 압축 파일 미리보기 목록 자체가 헤더 변조로 위조될 수 있다는 사실이다. 이중 확장자 확인이나 VirusTotal 검사 같은 기본 항목은 이미 많이 알려져 있으니 간략히만 짚는다. 2026년 8월 기준 공개된 ASEC·KISA 보고서와 공식 자료를 바탕으로 작성했다.

구조는 위험 신호 유형별로 원인과 대응을 차례로 풀고, 국산 압축 도구별 바이러스 검사 기능을 한 눈에 비교한 뒤, FAQ로 마무리한다.

비밀번호 걸린 압축 파일이 오히려 더 위험한 이유

압축 파일에 비밀번호가 걸려 있으면 어딘가 신뢰할 만한 경로에서 온 파일처럼 느껴진다. 다운로드 링크와 함께 댓글이나 본문에 비밀번호가 따로 적혀 있다면 더욱 그렇다. 그런데 실제로는 반대로 생각해야 한다. 암호화된 ZIP·RAR 파일 내부는 백신 소프트웨어가 실시간으로 들여다볼 수 없다. 암호화 구조상 압축 해제 키 없이는 내부 파일에 접근할 수 없기 때문이다. 백신은 파일이 압축 해제되어 디스크에 풀린 시점에야 검사를 시작하는데, 그 짧은 간격에 악성 코드가 실행을 시작하는 경우가 있다.

비밀번호 없는 압축 파일이라면 백신의 ‘압축 파일 검사’ 옵션이 활성화돼 있을 때 해제 전에도 내부를 훑을 수 있다. 그러나 암호화된 파일은 그 검사 경로가 막힌다. 2022년 11월 시점에 이미 암호화된 RAR 파일에 악성코드를 심는 방식이 더 많이 관찰되고 있다는 분석이 나온 것도 이 이유에서다(출처: sharedit.co.kr).

2025년 1월 ASEC 보고서는 한 가지 심화 기법을 추가로 기록했다. 악성코드 배포자들이 압축 파일 비밀번호를 ASCII 문자가 아닌 유니코드 문자로 표기해 보안 장비의 내부 압축 해제 기능 자체를 무력화하는 방식이다. 보안 솔루션이 비밀번호를 인식하지 못하면 검사 시도조차 건너뛴다. 결국 사용자가 비밀번호를 직접 입력해 해제하는 순간 악성 파일이 그대로 실행된다(출처: ASEC 인포스틸러 동향 보고서, 2025-01).

실전 대응은 단순하다. 출처가 불분명한 경로에서 온 비밀번호 압축 파일에서 비밀번호가 있다는 사실을 안전의 근거로 삼아선 안 된다. 비밀번호를 알려준 곳이 웹하드 댓글, 커뮤니티 게시물, 이메일 본문이라면 그 자체가 경고 신호다. 비밀번호 설정과 암호화 방법을 직접 제어할 수 있는 파일 수신 구조가 필요하다면 파일공유 보안 카테고리의 암호화 관련 가이드를 참고하자.

압축 파일 속 LNK 파일 — 이력서·고지서로 위장한 한국형 공격

윈도우 바로가기 파일(.lnk)은 아이콘을 임의로 지정할 수 있다. 공격자들은 이 특성을 이용해 HWP(한글 문서) 아이콘, PDF 아이콘을 붙여 악성 LNK 파일을 만든다. 윈도우 기본 설정에서 파일 확장자가 숨겨져 있으면 ‘이력서.hwp’처럼 보이지만 실제로는 ‘이력서.hwp.lnk’인 셈이다. 여기서 HWP 아이콘을 쓰는 방식은 한국 문서 환경에 특화된 공격 벡터다. 한글과컴퓨터 HWP 형식은 한국 공공기관·기업에서 광범위하게 쓰이기 때문에, 이력서나 고지서를 받아본 사람이라면 아이콘만 보고 별다른 의심 없이 클릭할 가능성이 높다.

ASEC 보고서에 따르면 2025년 4월 고지서로 위장한 LNK 파일이, 2026년 6월에는 기업명과 직무명을 포함한 이력서 파일명으로 위장한 LNK 파일이 신규 유포 사례로 확인됐다. 실행하는 순간 윈도우 작업 스케줄러에 악성 작업이 등록되고, 동시에 정상 HWP 문서가 열려 감염 사실을 은폐한다. 이력서를 열었다고 생각하지만 백그라운드에서 악성 프로세스가 이미 돌고 있다. 감염 직후에는 별다른 이상 증상이 없어 피해 인지까지 시간이 걸린다는 점이 이 공격의 특징이다.

대응 방법은 두 가지를 조합하는 것이 효과적이다. 첫째, 윈도우 파일 탐색기에서 ‘파일 확장명 항상 표시’ 설정을 켠다. 보기 탭에서 ‘파일 확장명’ 체크박스를 활성화하면 ‘.lnk’ 확장자가 파일명 끝에 노출된다. 이 설정 하나가 위장 파일을 가장 빠르게 걸러낸다. 둘째, 압축 파일을 해제하기 전에 반디집이나 7-Zip으로 목록만 먼저 펼쳐서 형식 열을 확인한다. HWP 아이콘이 붙어 있더라도 형식이 ‘LNK’ 또는 ‘Shortcut’으로 표시되면 즉시 파일을 닫고 삭제한다.

압축 헤더 변조 — 미리보기 목록도 신뢰할 수 없는 이유

압축 프로그램이 파일 목록을 보여줄 때 읽는 정보는 압축 파일 헤더에 기록된 메타데이터다. 이 헤더 자체를 변조하면 미리보기 목록에 ‘.jpg’, ‘.mp4’ 같은 정상 파일명이 뜨더라도 실제 내부에는 전혀 다른 파일이 들어 있을 수 있다. 2019년 3월 국내에서 확인된 갠드크랩(GandCrab) 랜섬웨어 유포 사례가 정확히 이 방식을 썼다. 압축 해제 전 미리보기에서는 정상 파일처럼 보이도록 헤더 정보를 위변조한 뒤, 압축을 해제하면 .CRAB 확장자로 파일들이 암호화됐다(출처: 홍익대 IT 보안 공지, 2019-03).

이 기법은 통상적으로 권장되는 “압축 파일 목록을 먼저 확인해라”는 조언이 통하지 않는다는 점에서 위험하다. 미리보기 목록이 깨끗해도 실제 파일은 다르게 생겼을 수 있다. 다만 모든 압축 파일이 헤더 변조가 적용됐다고 의심할 필요는 없다. 중요한 것은 미리보기를 ‘안전 확인서’로 삼는 착각을 버리는 것이다. 신뢰할 수 없는 출처의 파일은 미리보기가 깨끗하더라도 반드시 도구를 통한 검사 단계를 추가로 거쳐야 한다.

한국 웹하드·토렌트 경유 악성코드 유포 실태

웹하드와 토렌트는 국내에서 악성코드 배포 경로로 반복 보고된다. ASEC는 2024년 1월 XWorm v5.6을 비롯해 njRAT, UDP Rat 등 오픈소스 RAT(원격 접근 트로이목마) 계열이 웹하드·토렌트를 거쳐 게임·성인물 위장 압축 파일로 유포된 사례를 공개했다. RAT가 설치되면 공격자는 키로그, 화면 녹화, 원격 셸 실행까지 가능하다. 단순한 정보 유출을 넘어 PC를 완전히 장악하는 수준이다.

이런 파일들의 공통 특징이 있다. 용량이 기대치보다 비정상적으로 작거나(실제 게임이라면 수 GB가 일반적인데 수십 MB에 불과하거나), 반대로 의미 없는 더미 데이터로 부풀려져 있거나, 압축 내부에 실행 파일 외에도 불필요한 텍스트 파일이 함께 들어 있는 경우다. ‘설치방법.txt’, ‘크랙방법.txt’ 같은 파일이 백신을 끄는 방법을 안내한다면 그 파일 자체가 감염을 위한 사전 작업이다. 백신이 실행 파일을 잡기 전에 사용자 스스로 방어막을 해제하도록 유도하는 방식이다.

저작권 측면에서도 이 경로는 위험하다. 국내 정보통신망법과 저작권법에 따르면 유통 권한 없이 콘텐츠를 배포하거나 내려받는 행위는 민형사상 책임을 질 수 있다. 게임이라면 스팀·에픽게임즈, 영상이라면 넷플릭스·웨이브·왓챠·티빙 같은 정식 플랫폼이 현실적인 대안이다. 랜섬웨어 피해 복구에 드는 시간과 비용을 감안하면 구독료는 보험료에 가깝다. 웹하드 경로 악성코드 유포 패턴을 더 자세히 알고 싶다면 웹하드 가이드에서 배경 맥락을 확인할 수 있다.

국산 압축 도구별 위험 신호 확인 기능 비교

한국 사용자의 압축 프로그램 점유율은 알집과 반디집이 높다. 각 도구가 제공하는 보안 관련 기능이 다르기 때문에, 어떤 도구를 쓰느냐에 따라 압축 파일 열기 전 점검 가능한 범위가 달라진다. 아래 표는 2026년 8월 기준 주요 도구별 기능을 정리한 것이다. 정확한 최신 기능 범위는 각 서비스 공식 페이지에서 확인하기를 권장한다.

항목	반디집	알집	7-Zip	WinRAR
AMSI(압축 해제 없이 내부 검사)	지원 (도구 → Scan)	미지원	미지원	미지원
압축 목록의 파일 형식 열 표시	가능	가능	가능	가능
LNK 파일 별도 경고	없음	없음	없음	없음
비밀번호 압축 파일 내부 검사	비밀번호 입력 후 AMSI 가능	불가	불가	불가
CVE-2023-38831 취약점	해당 없음	해당 없음	해당 없음	6.22 이하 해당, 6.23 이상 패치
라이선스	무료(기본) / 유료(Pro)	무료	오픈소스 무료	40일 체험 후 유료

반디집의 AMSI 검사는 Windows 10/11 환경에서 Windows Defender 또는 AMSI를 지원하는 백신이 활성화돼 있을 때 작동한다. 도구 모음의 ‘Scan’ 버튼을 클릭하면 압축을 완전히 해제하지 않은 상태에서도 내부 파일의 악성코드 감지 여부를 확인할 수 있다. 비밀번호 압축 파일도 비밀번호를 미리 입력한 상태에서 AMSI 검사를 진행할 수 있어, 다른 도구에는 없는 실질적인 이점이다. 2025년 7월 기준 반디소프트 공식 안내 기준이며, 향후 버전에서 기능이 변경될 수 있으니 반디소프트 공식 페이지에서 확인하자.

다만 AMSI도 만능이 아니다. 시그니처에 등록되지 않은 신형 악성코드나 고도로 난독화된 페이로드는 탐지를 피할 수 있다. 도구 기반 검사를 통과했다는 사실이 안전을 보증하지는 않는다. 그리고 LNK 파일에 대해서는 네 도구 모두 별도 경고를 표시하지 않으므로, 형식 열을 눈으로 직접 확인하는 습관이 필수다.

WinRAR CVE-2023-38831: 북한 APT가 실제로 악용한 취약점

WinRAR은 전 세계 이용자가 2023년 8월 기준 약 5억 명에 달하는 압축 프로그램이다. 같은 해 8월 2일 공개된 CVE-2023-38831 취약점은 버전 6.22 이하에서 특수하게 제작된 압축 파일을 열기만 해도 원격 코드 실행이 가능한 결함이다. CVSS 점수는 7.8로 ‘높음(High)’ 등급에 해당한다. 패치는 6.23 버전에서 이뤄졌다(출처: 알약 블로그, 2023-08).

이 취약점이 특히 심각한 이유는 실제 국내 공격에 쓰였다는 점이다. 북한 연계 해킹 그룹 APT37과 코니(Konni) 그룹이 CVE-2023-38831을 이용해 국내 기관을 대상으로 APT 공격을 수행한 사실이 공식 확인됐다. 압축 파일 취약점이 국가 지원 공격 그룹의 실제 무기로 쓰인 사례다. 오래된 WinRAR을 그냥 두는 것은 잠긴 문을 열어두는 것과 다르지 않다. 도움말 → WinRAR 정보에서 버전 번호를 확인하고, 6.22 이하라면 공식 사이트에서 즉시 업데이트해야 한다.

7-Zip이나 반디집을 쓴다면 이 특정 취약점은 해당하지 않는다. 반대로, 어떤 압축 프로그램이든 업데이트를 미루는 습관 자체가 구멍이 된다. 압축 소프트웨어는 파일 파서(parser)라는 특성상, 버전이 오래될수록 이미 알려진 파싱 취약점에 무방비로 노출된다. 보안 업데이트 현황을 확인하고 싶다면 한국인터넷진흥원(KISA)의 보호나라 보안 공지를 주기적으로 확인하는 것도 방법이다.

압축 소프트웨어는 보안 소프트웨어만큼 관리되지 않는 경우가 많다. 그런데 실제 공격 경로로는 동급으로 활용된다.

자주 묻는 질문

비밀번호가 걸린 압축 파일은 백신이 검사할 수 없나요?

원칙적으로 그렇다. 암호화된 압축 파일 내부는 키 없이는 접근할 수 없어 백신의 실시간 감시가 작동하지 않는다. 반디집의 AMSI 검사는 비밀번호를 사전에 입력한 경우에 한해 내부 파일을 검사할 수 있지만, 다른 도구나 일반 백신의 실시간 감시는 압축이 해제된 이후 디스크에 파일이 풀린 시점에야 검사가 이뤄진다. 출처가 불확실한 비밀번호 압축 파일은 해제 전에 경로와 배포자를 먼저 판단해야 한다.

LNK 파일 여부를 어떻게 확인하나요?

두 가지 방법이 효과적이다. 첫째, 윈도우 파일 탐색기 보기 탭에서 ‘파일 확장명’ 체크박스를 활성화한다. 그러면 ‘.lnk’ 확장자가 파일명 끝에 노출된다. 둘째, 압축 파일을 해제하기 전에 반디집이나 7-Zip으로 목록만 먼저 펼쳐서 형식 또는 확장자 열을 확인한다. HWP 아이콘이 붙어 있더라도 형식이 ‘LNK’나 ‘Shortcut’으로 표시되면 실행하면 안 된다.

반디집 AMSI 검사는 무료로 사용할 수 있나요?

2025년 7월 기준 반디소프트 공식 안내에 따르면 AMSI 기반 악성코드 검사 기능은 무료 버전에서도 접근할 수 있다. 단, Windows 10/11 환경에서 Windows Defender 또는 AMSI를 지원하는 백신이 활성화돼 있어야 작동한다. 정확한 기능 범위와 버전별 지원 여부는 반디소프트 공식 페이지에서 확인하는 것이 안전하다.

WinRAR은 몇 버전부터 안전한가요?

CVE-2023-38831 취약점 기준으로 6.23 이상이면 해당 취약점은 패치됐다(2023년 8월 2일 배포). 그러나 이후에도 새로운 취약점이 발견될 수 있으므로, 발행 시점 기준으로 최신 버전을 유지하는 것이 원칙이다. WinRAR 공식 사이트에서 현재 사용 버전을 확인하고 업데이트 여부를 점검하자.

압축 파일 미리보기 목록이 정상으로 나와도 위험할 수 있나요?

그렇다. 2019년 갠드크랩 랜섬웨어 유포 사례처럼 압축 헤더 정보 자체를 변조하면 미리보기에는 정상 파일 목록이 표시돼도 실제 내용물은 다를 수 있다. 미리보기 확인은 필요하지만 충분 조건이 아니다. 신뢰할 수 없는 경로에서 온 파일이라면 도구 검사와 출처 판단을 반드시 병행해야 한다.

지금 쓰는 WinRAR 버전 번호부터 확인해보자. 압축 프로그램은 보안 소프트웨어나 운영체제만큼 꼼꼼하게 관리되지 않지만 실제 공격 경로로는 동급으로 활용된다. 파일 공유 환경 전반의 보안 설정을 점검하고 싶다면 파일공유 보안 가이드를, 안전한 클라우드 기반 파일 수신 방법이 궁금하다면 클라우드 비교를 함께 살펴보자.

–>