PowerShell이 계속 실행되는 이유와 수상한 실행 여부 확인 방법
Windows를 사용하다 작업 관리자를 열었는데 PowerShell(powershell.exe)이 실행되고 있는 것을 발견하면 바이러스나 악성코드가 아닌지 걱정될 수 있습니다.
특히 PowerShell 창이 잠깐 나타났다 사라지거나, 작업 관리자에서 종료했는데 다시 실행된다면 더욱 의심하기 쉽습니다.
하지만 PowerShell 자체는 악성 프로그램이 아닙니다.
PowerShell은 Microsoft가 Windows 관리와 자동화를 위해 제공하는 정상적인 도구입니다. Windows 기능이나 설치된 프로그램이 PowerShell을 사용하는 경우도 있습니다.
따라서 중요한 것은 PowerShell 자체를 삭제하는 것이 아니라,
누가 PowerShell을 실행했는가?
어떤 명령을 실행하고 있는가?
를 확인하는 것입니다.
PowerShell은 무엇인가?
PowerShell은 Windows에서 명령 실행과 시스템 관리, 반복 작업 자동화 등에 사용하는 Microsoft의 관리 도구입니다.
일반 사용자에게 익숙한 명령 프롬프트와 비슷해 보이지만 시스템 관리와 자동화를 위한 다양한 기능을 제공합니다.
따라서 작업 관리자에 PowerShell이 표시된다는 사실만으로 악성코드에 감염됐다고 판단해서는 안 됩니다.
정상적으로 PowerShell이 실행될 수 있는 경우
PowerShell은 여러 정상적인 상황에서도 실행될 수 있습니다.
대표적으로 다음과 같은 경우입니다.
- Windows 또는 프로그램의 관리 작업
- 프로그램 설치·업데이트
- 시스템 관리 작업
- 사용자가 직접 실행한 스크립트
- 작업 스케줄러에 등록된 정상적인 자동화 작업
따라서 PowerShell이 한 번 실행됐다는 이유보다는 언제, 얼마나 자주, 무엇 때문에 실행되는지를 확인해야 합니다.
이런 경우에는 추가 확인이 필요하다
반대로 다음과 같은 현상이 반복된다면 원인을 조금 더 확인해 볼 필요가 있습니다.
- PowerShell을 실행하지 않았는데 계속 나타난다.
- 작업 관리자에서 종료해도 다시 실행된다.
- 컴퓨터를 켜면 매번 PowerShell이 실행된다.
- PowerShell과 함께 보안 경고가 반복된다.
- 삭제했던 파일이 다시 생성된다.
- 설치한 기억이 없는 프로그램과 함께 실행된다.
이런 경우에도 PowerShell 자체를 삭제하려고 하기보다는 PowerShell을 실행시키는 원인을 찾는 것이 중요합니다.
1. 작업 관리자에서 PowerShell 확인하기
Ctrl + Shift + Esc를 눌러 작업 관리자를 실행합니다.
프로세스 목록에서 PowerShell 또는 powershell.exe가 실행되고 있는지 확인합니다.
2. PowerShell 실행 파일 위치 확인하기
작업 관리자에서 PowerShell 프로세스를 마우스 오른쪽 버튼으로 클릭한 다음 파일 위치 열기를 선택할 수 있습니다.
Windows에 포함된 정상 PowerShell 실행 파일은 Windows 시스템 관련 경로에 위치합니다.
여기서 주의할 점이 있습니다.
파일 이름이 powershell.exe라고 해서 무조건 정상이라고 판단해서도 안 되고, 낯선 위치에 있다고 바로 삭제해서도 안 됩니다.
파일 위치와 함께 실행 원인도 확인해야 합니다.
3. 작업을 종료했는데 PowerShell이 다시 실행된다면?
PowerShell을 작업 관리자에서 종료했는데 잠시 후 다시 나타난다면 다른 프로그램이나 Windows 기능이 PowerShell을 다시 실행시키고 있을 가능성을 확인해야 합니다.
즉,
PowerShell 종료 ≠ 실행 원인 제거
입니다.
이 경우 다음 항목을 순서대로 확인합니다.
시작 프로그램 → 작업 스케줄러 → 설치된 프로그램 → 보안 검사
4. 작업 스케줄러 확인하기
Windows 검색창에 작업 스케줄러를 입력하여 실행합니다.
왼쪽에서 작업 스케줄러 라이브러리를 선택합니다.
등록된 작업 중 PowerShell을 실행하도록 되어 있는 항목이 있는지 확인할 수 있습니다.
특히 작업을 선택한 다음 트리거와 동작을 확인하는 것이 중요합니다.
작업 스케줄러에는 정상적인 Windows 및 프로그램 작업도 많이 있으므로 PowerShell이라는 단어가 있다고 바로 삭제해서는 안 됩니다.
5. 시작 프로그램도 확인하기
컴퓨터를 켜거나 로그인할 때마다 PowerShell이 나타난다면 시작 프로그램도 확인합니다.
작업 관리자에서 시작 앱/시작 프로그램 항목을 확인합니다.
최근 설치한 프로그램이나 사용자가 알지 못하는 프로그램이 자동 실행되고 있는지도 살펴봅니다.
하지만 여기에서도 이름을 모른다는 이유만으로 무작정 삭제하지 말고 프로그램의 제작자와 용도를 확인하는 것이 좋습니다.
6. 실제로 중요한 것은 실행되는 명령이다
PowerShell은 명령을 실행하는 도구이기 때문에 powershell.exe라는 프로세스 이름만 확인해서는 원인을 알기 어렵습니다.
중요한 것은 PowerShell을 통해 어떤 명령이나 스크립트가 실행되고 있는가입니다.
예를 들어 작업 스케줄러에 PowerShell 실행 항목이 있다면 동작 부분에서 프로그램뿐 아니라 함께 전달되는 인수나 명령이 있는지도 확인합니다.
출처를 알 수 없는 스크립트나 파일이 실행되고 있다면 추가적인 조사가 필요합니다.
7. PowerShell을 삭제하면 해결될까?
권하지 않습니다.
PowerShell은 Windows의 정상적인 관리 도구이기 때문에 PowerShell 자체를 악성코드라고 생각하고 시스템 파일을 삭제하는 방식으로 접근해서는 안 됩니다.
문제가 있다면 PowerShell을 악용해 실행되는 프로그램이나 명령의 출처를 확인하는 것이 핵심입니다.
8. 악성코드가 의심된다면 보안 검사하기
PowerShell이 반복적으로 실행되면서 보안 경고까지 발생한다면 Windows 보안에서 검사를 진행해 볼 수 있습니다.
Windows 보안 → 바이러스 및 위협 방지 → 검사 옵션
에서 검사를 진행합니다.
일반 검사로 문제가 해결되지 않고 동일한 위협이 반복된다면 Microsoft Defender 오프라인 검사 같은 추가적인 검사 방법도 고려할 수 있습니다.
PowerShell이 계속 실행될 때 확인 순서
문제가 발생하면 다음 순서로 확인하면 이해하기 쉽습니다.
① 작업 관리자에서 PowerShell 확인
↓
② 실행 파일 위치 확인
↓
③ 종료 후 다시 실행되는지 확인
↓
④ 시작 프로그램 확인
↓
⑤ 작업 스케줄러의 트리거·동작 확인
↓
⑥ 필요하면 Windows 보안 검사
PowerShell 자체를 없애려고 하기보다 PowerShell을 반복적으로 실행시키는 원인을 찾는 것이 핵심입니다.
정상 실행과 추가 확인이 필요한 상황
| 상황 | 판단 |
|---|---|
| 사용자가 직접 PowerShell을 실행함 | 정상 |
| 정상적인 관리 작업에서 일시적으로 실행 | 정상일 수 있음 |
| 프로그램 설치·관리 과정에서 실행 | 정상일 수 있음 |
| 종료해도 계속 다시 실행됨 | 실행 원인 확인 필요 |
| 보안 경고와 동시에 반복 실행 | 추가 점검 필요 |
| 알 수 없는 스크립트를 반복 실행 | 출처 확인 필요 |
이 표 역시 악성코드를 확정하는 기준이 아니라 추가 점검이 필요한 상황을 구분하기 위한 참고자료입니다.
마무리
작업 관리자에서 PowerShell이 실행되고 있다고 해서 바이러스에 감염됐다고 단정할 수는 없습니다.
PowerShell은 Microsoft가 제공하는 정상적인 Windows 관리 도구이며 Windows와 다양한 프로그램에서 사용할 수 있습니다.
하지만 사용자가 실행하지 않았는데 계속 나타나거나, 종료해도 다시 실행되고 보안 경고까지 반복된다면 PowerShell 자체가 아니라 PowerShell을 실행시키는 프로그램이나 작업을 확인해야 합니다.
따라서 문제를 해결할 때는
PowerShell 발견 → 파일 위치 확인 → 재실행 여부 확인 → 시작 프로그램 → 작업 스케줄러 → 보안 검사
순서로 원인을 좁혀가는 것이 좋습니다.
댓글 0
첫 댓글을 남겨보세요.