드라이버 목록을 이름순으로 정렬했더니 T 에서 한참 동안 같은 접두어가 이어졌다. TKCtrl, TKFsAvM, TKFsFtM, TKFWFV, TKFWVT, TkIdsVt, TKPcFt, TKRgAc, TKRgFt, TKTool. 열 개 모두 이름만 봐서는 누가 넣었는지 알 수 없었다. 파일 속성을 열어 보고 나서야 한 회사의 이름이 나왔다. 잉카인터넷(INCA Internet), 그리고 제품 이름 nProtect 다.

서비스와 npe 확장자

설치된 앱 목록의 이름은 "nProtect Online Security V1.0(PFS)", 버전 2026.5.7.1 이다. 잉카인터넷은 이 제품을 PC 정보 유출과 키보드 해킹, 금융 사고를 막는 통합 온라인 보안 제품으로 소개한다. 인터넷 뱅킹을 할 때 은행 사이트가 설치를 요구하는 프로그램 중 하나다.

본체는 서비스다.

서비스 이름 : nossvc
표시 이름   : nProtect Online Security(PFS)
시작 유형   : 자동, LocalSystem
실행 파일   : "C:\Program Files (x86)\INCAInternet\nProtect Online Security\nossvc.exe" /SVC

nossvc.exe(파일 버전 2025.9.11.1)가 뜨면, 이것이 다시 nosstarter.npe 를 자식 프로세스로 띄운다. 확장자가 exe 가 아니라 npe 인데 작업 관리자에는 버젓이 프로세스로 올라와 있다. Windows 는 확장자가 무엇이든 실행 파일 형식이면 프로세스로 띄울 수 있다. 파일 속성을 보면 설명은 nProtect Online Security Starter, 서명은 INCA Internet Co., Ltd. 로 유효했다.

설치 폴더(약 77MB)에는 이런 파일이 많다. nosscanner.npe, nosuseractor.npe 같은 npe 파일과 npefw.npd, npefsav.npd, npertd.npd 같은 npd 파일이 기능별로 나뉘어 있다. 이름으로 보면 fw 는 방화벽, fsav 는 파일 검사, rtd 는 실시간 감시 모듈로 보인다. 일반 실행 파일 확장자를 피한 이유는 공개된 설명을 찾지 못했다.

메모리는 서비스와 자식 프로세스가 크게 달랐다. 같은 순간에 nossvc.exe 는 작업 집합 3.8MB·개인 메모리 14.3MB 였고, nosstarter.npe 는 작업 집합 18.6MB·개인 메모리 84.9MB 였다. 1편의 AhnLab Safe Transaction 과 마찬가지로, 작업 관리자의 기본 메모리 열만 보면 작게, 개인 메모리로 보면 꽤 크게 보인다.

커널 드라이버 13개

처음에 본 TK 드라이버들은 파일 설명에 모두 Tachyon 이라는 이름이 붙어 있다. 잉카인터넷의 보안 엔진 이름이다. 파일은 C:\Windows\System32 에 64비트판이, SysWOW64 에 32비트판이 같이 들어 있었다. 여기에 nProtect 이름을 단 드라이버 세 개를 더하면 이 제품 하나가 등록한 드라이버는 13개다.

드라이버 파일 설명 상태
TKCtrl Tachyon Kernel Control Driver 실행 중
TKFsAvM Tachyon Anti-Virus Driver 실행 중
TKFsFtM Tachyon File System MiniFilter Driver 실행 중
TKFWFV Tachyon Firewall LW Filter Driver 실행 중 (시작 유형 System)
TKFWVT Tachyon Firewall Core Driver 멈춤
TkIdsVt Tachyon IDS Core Driver 멈춤
TKPcFt Tachyon Process Control Filter Driver 실행 중
TKRgAc Tachyon Registry Access Control Driver 실행 중
TKRgFt Tachyon Registry Filter Driver 실행 중
TKTool Tachyon Tools Driver 멈춤
np_ck64s nProtect Crypto Driver Simple Version 실행 중
noskp · nosku nProtect Online Security 1.0 실행 중

대부분 시작 유형이 수동이라 서비스가 필요할 때 올린다. 하나만 다르다. TKFWFV 는 시작 유형이 System 이라 부팅할 때 Windows 와 함께 올라온다. 표시 이름은 "nProtect Firewall Core Driver" 인데 파일 설명은 Firewall LW Filter Driver 로, 네트워크 경로에 끼어드는 경량 필터 드라이버로 보인다. 파일, 레지스트리, 프로세스, 네트워크를 각각 지켜보는 드라이버가 따로 있는 구성이라 사실상 백신과 방화벽을 한 벌 더 깐 것과 비슷하다. 이미 백신을 쓰는 PC 에서 충돌 이야기가 나오는 것도 이런 구조 때문으로 보인다.

SysWOW64 에는 드라이버 목록에 등록되지 않은 nProtect 파일도 남아 있었다. 2015년판 npkfxa.sys(nProtect KeyCrypt V6.5 Driver)와 npkakl.sys 같은 것들이다. 예전에 깔렸던 키보드 보안 제품의 흔적으로 보인다.

0.0.0.0 에서 열린 두 포트

지금까지 본 보안 프로그램들은 하나같이 127.0.0.1 에서 포트를 열었다. 같은 PC 의 브라우저만 접속할 수 있는 주소다. nProtect 는 달랐다.

Get-NetTCPConnection -State Listen |
    Where-Object LocalPort -in 14430, 14440 |
    Select-Object LocalAddress, LocalPort, OwningProcess

LocalAddress LocalPort OwningProcess
0.0.0.0          14440         14096
0.0.0.0          14430         14096

프로세스 번호 14096 은 nosstarter.npe 다. 0.0.0.0 은 이 PC 의 모든 네트워크 주소에서 연결을 받는다는 뜻이다. 그래서 Windows 방화벽 규칙도 확인했다. "nProtect Online Security Starter" 라는 이름으로 nosstarter.npe 의 들어오는 연결을 허용하는 규칙이 켜져 있었고, 프로필은 전체, 포트와 원격 주소는 제한이 없었다.

설정만 놓고 보면 같은 네트워크의 다른 기기가 이 포트에 닿는 것을 막는 장치가 방화벽에는 없다. 다른 기기에서 실제로 접속해 보지는 않았으니 그 포트가 바깥 요청에 무엇을 돌려주는지는 모른다. 웹 페이지와 통신하려는 목적이라면 127.0.0.1 로도 충분했을 텐데 왜 이렇게 열었는지는 공개된 설명을 찾지 못했다. 카페나 공용 와이파이에서 노트북을 쓴다면 신경 써 둘 만한 차이다.

1년짜리 루트 인증서와 지우는 방법

신뢰할 수 있는 루트 인증 기관 저장소에는 INCA Internet Co., Ltd. G3 가 들어 있었다. 유효 기간이 2026년 6월 22일부터 2027년 6월 22일까지, 딱 1년이다. 다른 보안 프로그램들의 루트가 20년짜리인 것과 대조적이다. 기간이 짧은 쪽이 키가 새었을 때 피해 기간이 짧다는 점에서는 낫지만, 만료가 다가오면 업데이트로 새 루트를 다시 넣는 방식일 것으로 보인다.

인터넷 뱅킹을 이 PC 에서 하지 않는다면 지워도 된다. 설정 → 앱 → 설치된 앱에서 "nProtect Online Security V1.0(PFS)" 을 제거한다. 등록된 제거 프로그램은 다음 경로다.

"C:\Program Files (x86)\INCAInternet UnInstall\nProtect Online Security\nProtectUninstaller.exe"

드라이버가 13개나 되니 제거 뒤 재부팅은 꼭 한다. 재부팅 뒤에 드라이버 목록에서 TK 와 nos 로 시작하는 항목이 사라졌는지, 방화벽 규칙 "nProtect Online Security Starter" 와 루트 인증서 INCA Internet Co., Ltd. G3 가 남지 않았는지 확인하면 깔끔하다.

다음 편도 0.0.0.0 에서 포트를 여는 프로그램이다. 은행과 홈택스 같은 사이트가 설치를 요구하는 것으로 알려진 IPinside LWS Agent, 그리고 이 프로그램이 무엇을 모으는지에 대해 알려진 내용을 본다.