KodeMonL.sys 삭제하는 방법 (서든어택 구버전 안티치트 드라이버)

kodemonl.sys는 넥슨GT가 서명한 서든어택 안티치트(KODEMON) 커널 드라이버로, 현재는 사용하지 않는 구버전 안티치트의 찌꺼기입니다.

2025년 이후 서든어택 안티치트가 세대 교체되면서 최신 클라이언트는 이 파일을 더 이상 설치하지 않으므로, 지금 C:\Windows\에 남아 있다면 예전에 서든어택을 실행하며 깔린 흔적입니다. 서든어택 플레이 여부와 관계없이 삭제해도 게임 동작에 영향을 주지 않습니다.

이 파일 자체는 악성코드가 아닙니다. 백신 68종 스캔에서 0건 탐지된 정상 서명 파일이지만, 서명 인증서 유효기간이 2016년으로 만료된 구형 드라이버라 코어 격리 활성화를 시도하면 “호환되지 않는 드라이버”로 걸립니다.

게임 클라이언트를 지워도 이 드라이버의 서비스 등록과 파일이 함께 삭제되지 않아, KodeMonL.sys 파일을 완전히 정리하려면 sc 명령어로 서비스를 직접 제거해야 합니다.

kodemonl.sys 파일의 정체

kodemonl.sys의 파일 정보를 확인하려면 C:\Windows\ 경로 안의 파일을 우클릭해 속성 > 디지털 서명 탭에 진입합니다. 서명자가 NEXON GT Co., Ltd., 인증 기관이 Thawte로 표시되면 서든어택 안티치트 모듈이 맞습니다.

이 드라이버는 서비스 이름이 KodeMonL로 등록되며, 커널 모드에서 게임 메모리를 감시해 비인가 프로그램을 탐지하는 역할을 합니다.

파일 크기는 약 318KB(326,016바이트), 공통 설치 경로는 C:\Windows\kodemonl.sys입니다. 백신 68종 통합 스캔에서 탐지 0건으로 분류된 정상 파일이므로, 발견 자체를 감염 신호로 볼 필요는 없습니다.

다만 서명 인증서 유효기간이 2014년 4월부터 2016년 4월까지로 이미 만료된 구형 드라이버라는 점이 문제입니다.

윈도우 메모리 무결성(HVCI)은 서명이 만료됐거나 최신 서명 정보가 없는 커널 드라이버를 로드 차단 대상으로 판단하므로, 이 파일이 남아 있으면 코어 격리를 켤 수 없습니다.

kodemonl.sys 삭제해도 될까?

kodemonl.sys는 삭제해도 됩니다. 최신 서든어택 클라이언트는 이 드라이버를 사용하지 않기 때문입니다. 넥슨 게임 시큐리티(NGS)는 지금도 서든어택을 보호하지만, 그 커널 감시 모듈이 구형 KODEMON에서 다른 드라이버로 세대 교체됐습니다.

실제로 최신 서든어택을 설치하고 실행한 상태에서 확인하면, 로드되는 안티치트 커널 드라이버는 C:\ProgramData\Nexon\NGS\BlackCat1.sys입니다. 서비스 조회 명령으로 kodemonl 경로를 가진 서비스를 찾아도 “사용할 수 있는 인스턴스가 없습니다”만 반환되며, C:\Windows\와 C:\Windows\System32\ 어디에도 kodemonl.sys는 생성되지 않습니다. 게임 실행 중에도 마찬가지입니다. 즉 NGS의 감시 계층은 BlackCat 드라이버로 넘어갔고, KODEMON 계열인 kodemonl.sys는 현재 클라이언트에서 완전히 퇴역했습니다.

따라서 지금 C:\Windows\kodemonl.sys가 보인다면, 서든어택을 계속 하든 지웠든 이 파일은 현역 부품이 아니라 구버전 안티치트의 잔존물입니다. 삭제해도 게임 실행이나 안티치트 동작에 영향이 없으며, 게임을 다시 실행하면 최신 BlackCat 드라이버가 별도 경로에 로드될 뿐 kodemonl.sys가 다시 생기지는 않습니다. 한 가지 덧붙이면, 서명된 게임 안티치트 드라이버는 원신의 mhyprot2.sys가 랜섬웨어에 악용된 사례처럼 취약 드라이버 로드(BYOVD) 공격의 통로가 될 수 있어, 쓰이지 않는 잔존 드라이버라면 방치보다 정리가 보안상 유리합니다.

1. 메모리 무결성에서 KodeMonL.sys 차단 확인하기

잔존 드라이버가 실제로 메모리 무결성을 막고 있는지 확인하려면, 설정 > 개인 정보 및 보안 > Windows 보안 > 장치 보안 > 코어 격리 세부 정보에 진입합니다.

메모리 무결성 항목이 꺼져 있고 “호환되지 않는 드라이버를 해결하세요” 메시지가 뜨면, 바로 아래 호환되지 않는 드라이버 검토 버튼을 누릅니다.

목록에 표시된 각 항목을 눌러 펼치면 게시된 이름, 제조사, 드라이버 날짜가 나옵니다. 제조사가 NEXON GT로 표시되거나 파일 이름이 kodemonl.sys로 나오면, 이 드라이버가 원인입니다.

INF 파일 이름 없이 파일 이름만 표시되는 경우가 있는데, 넥슨 안티치트 드라이버는 INF 패키지가 아니라 서비스 등록 방식으로 설치되기 때문입니다.

목록에 다른 서드파티 드라이버가 함께 잡혀 있다면 메모리 무결성 활성화와 호환되지 않는 드라이버 삭제에서 유형별 제거 방법을 참고할 수 있습니다.

2. sc 명령어로 KodeMonL 서비스 삭제하기

kodemonl.sys는 일반 하드웨어 드라이버와 삭제 방식이 다릅니다. INF 기반으로 설치된 드라이버는 pnputil /delete-driver로 제거하지만, 넥슨 안티치트 드라이버는 서비스로 등록된 커널 드라이버라 sc delete로 서비스를 먼저 해제해야 합니다.

명령어를 잘못 입력하면 정상 드라이버를 지울 수 있으므로, 먼저 서비스 이름을 정확히 확인합니다.

명령 프롬프트를 관리자 권한으로 실행합니다. 검색창에 cmd를 입력하고 우클릭 후 관리자 권한으로 실행을 선택합니다. 아래 명령어로 kodemonl 경로를 가진 서비스의 정확한 이름과 상태를 조회합니다.

wmic sysdriver where "PathName like '%kodemonl%'" get Name, PathName, State

출력에서 Name 열이 KodeMonL, PathName이 C:\Windows\kodemonl.sys로 확인되면 대상이 맞습니다. State가 Running으로 나오면 서비스가 실행 중이므로 먼저 중지합니다.

sc stop KodeMonL

이어서 서비스 등록을 삭제합니다.

sc delete KodeMonL

“[SC] DeleteService 성공” 메시지가 뜨면 서비스 등록이 해제된 상태입니다. 이 단계까지는 파일 자체가 아직 C:\Windows\에 남아 있습니다.

만일 조회 명령에 “사용할 수 있는 인스턴스가 없습니다”가 나온다면, 서비스는 이미 제거됐고 파일만 남은 상태입니다.

안티치트가 세대 교체되면서 서비스 등록이 먼저 정리된 경우로, 이때는 sc delete 없이 3단계의 파일 삭제만 진행하면 됩니다.

3. kodemonl.sys 파일 삭제하고 재부팅하기

서비스 등록을 지운 뒤 파일을 제거하려면, 명령 프롬프트에서 아래 명령어를 입력합니다. 파일이 사용 중이면 서비스 중지가 제대로 되지 않은 상태이므로, 2단계의 sc stop을 다시 실행한 후 진행합니다.

del /f C:\Windows\kodemonl.sys

삭제가 완료되면 시스템을 재부팅합니다. 재부팅은 커널에 로드돼 있던 드라이버 인스턴스를 완전히 내리기 위해 필요한 과정입니다. 재부팅 없이 메모리 무결성을 켜려 하면 이미 로드된 드라이버 때문에 여전히 차단될 수 있습니다.

재부팅 후 다시 코어 격리 세부 정보로 진입해 메모리 무결성 토글을 켭니다. 이번에는 kodemonl.sys가 목록에서 사라져 활성화가 정상 진행됩니다.

만일 토글이 여전히 회색으로 비활성 상태라면, dism /online /get-drivers /format:table 명령어로 다른 잔존 서드파티 드라이버가 있는지 추가로 확인합니다.

서든어택을 계속 플레이해도 KodeMonL.sys를 지워도 되나요?

서든어택을 앞으로도 플레이하더라도 kodemonl.sys는 지워도 됩니다.

최신 클라이언트의 안티치트는 C:\ProgramData\Nexon\NGS\BlackCat1.sys 드라이버로 동작하며, kodemonl.sys가 없어도 게임 실행과 치트 탐지에 아무 문제가 없습니다. 파일을 삭제한 뒤 게임을 다시 실행해도 kodemonl.sys가 재생성되지 않습니다.

오히려 이 파일을 남겨 두면 메모리 무결성만 막는 손해가 있습니다. 게임을 계속 하면서 코어 격리도 켜고 싶다면, 잔존 드라이버를 지우는 것이 두 조건을 모두 만족하는 방법입니다.

참고로 마이크로소프트는 코어 격리와 메모리 무결성 공식 문서에서 벤더 업데이트가 없는 레거시 드라이버에 한해 삭제를 허용한다고 안내하는데, kodemonl.sys가 정확히 이 경우에 해당합니다.

마치며

kodemonl.sys는 넥슨GT가 서명한 정상 안티치트 드라이버지만, 안티치트 세대 교체로 최신 서든어택이 더 이상 쓰지 않는 구버전 찌꺼기입니다.

현재 클라이언트는 BlackCat1.sys 드라이버로 동작하므로, 남아 있는 kodemonl.sys는 게임 플레이 여부와 무관하게 삭제해도 안전하며 재실행해도 다시 생기지 않습니다.

서비스가 조회되면 sc delete KodeMonL로 해제하고, 조회되지 않으면 파일만 지운 뒤 재부팅하면 코어 격리가 정상 활성화됩니다.

FAQ