Right Security Blog

Windows 11 문제점 (2) : 이동 메뉴가 사라진 파일 탐색기

2021-11-03T20:17:00.000+09:00

Windows 11 운영 체제가 출시된 후 이전의 Windows 10 운영 체제과 비교하여 불편하거나 문제가 되는 부분 중 하나가 파일 탐색기 메뉴 중 선택한 파일 또는 폴더를 다른 위치로 이동하기 메뉴가 없다는 것입니다.

Windows 10 운영 체제의 파일 탐색기에서 제공하는 메뉴에서는 복사, 붙여넣기, 잘라내기, 이동 위치, 삭제, 이름 바꾸기, 공유 메뉴가 표시되어 있습니다.

하지만 Windows 11 운영 체제의 파일 탐색기에서는 잘라내기, 복사, 붙여넣기, 이름 바꾸기, 공유, 삭제 메뉴가 아이콘화 처리되어 더욱 쉽게 사용할 수 있는 부분은 존재합니다.

하지만 이동(Move) 메뉴가 사라져서 파일/폴더 이동 시 불편을 주고 있습니다.

또한 간헐적으로 파일을 선택하였는데 붙여넣기 메뉴가 비활성화되는 문제가 발생하는 경우도 확인되고 있습니다.

Windows 11 문제점 (1) : 한글화가 안된 Exploit Protection 메뉴

2021-10-31T22:17:00.000+09:00

Windows 11 운영 체제 출시 이후 발견된 문제점 중의 하나는 한글화가 제대로 이루어지지 않은 메뉴가 있다는 점입니다.

Windows 10 운영 체제에서는 "Windows 보안 - 앱 및 브라우저 컨트롤" 메뉴에서 "Exploit Protection" 기능에 대하여 한글화가 정상적으로 되어 있습니다.

Exploit Protection는 장치를 공격으로부터 보호할 수 있도록 Windows 10에 기본 제공됩니다. 장치는 개봉 즉시부터 다수에게 가장 적합한 보호 설정으로 이미 설정되어 있습니다.

하지만 Windows 11 운영 체제에서는 취약점 보호(Exploit Protection) 기능에 대하여 영문으로 표시된 상태로 유지되고 있습니다.

Exploit Protection is built into Windows 11 to help protect your device against attacks. Out of the box, your device is already set up with the protection settings that work best for most people.

취약점 보호 기능에 대한 설명은 이미 Windows 10과 동일함에도 불구하고 영문으로 표시되어 있다는 점에서 얼마나 부실하게 검토가 이루어진 상태로 출시되었는지 알 수 있습니다.

삭제가 불완전한 "위너파인더 1.5 + Sticker" 제휴 프로그램 정보 (2017.4.23)

2017-04-23T18:52:00.001+09:00

2014년경에 서비스가 시작되어 현재까지 운영되고 있는 위너파인더(WinnerFinder) 프로그램(SHA-1 : 4effe134a7df2d4295238c2f716bff0c3b244438)은 다양한 소프트웨어의 제휴 프로그램으로 설치가 이루어지고 있는 것으로 추정됩니다.

검색 도우미 : 위너파인더 1.0(WinnerFinder 1.0) (2014.9.12)

그런데 2016년경부터 배포된 버전에서는 Sticker 기능이 추가되면서 프로그램 제거 이후에도 여전히 동작하는 문제가 있기에 프로그램 정보를 다시 한 번 정리해 보도록 하겠습니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\WinnerStock

C:\Program Files\WinnerStock\WinnerFinder

C:\Program Files\WinnerStock\WinnerFinder\pm.ini

C:\Program Files\WinnerStock\WinnerFinder\Sticker.exe

C:\Program Files\WinnerStock\WinnerFinder\uninst.exe :: 프로그램 삭제 파일

C:\Program Files\WinnerStock\WinnerFinder\WF.ico

C:\Program Files\WinnerStock\WinnerFinder\WinnerFinder.exe :: 시작 프로그램(WinnerFinder) 등록 파일, 메모리 상주 프로세스

C:\Program Files\WinnerStock\WinnerFinder\ws.ico

C:\Program Files\WinnerStock\WinnerFinder\WUP.exe

C:\Users\%UserName%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\위너파인더

C:\Users\%UserName%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\위너파인더\위너파인더.lnk

C:\Users\%UserName%\AppData\Roaming\Sticker

C:\Users\%UserName%\AppData\Roaming\Sticker\pm.ini

C:\Users\%UserName%\AppData\Roaming\Sticker\Sticker.exe :: 작업 스케줄러(STICKER) 등록 파일, 메모리 상주 프로세스

C:\Users\%UserName%\Desktop\위너파인더.lnk

C:\Windows\System32\Tasks\STICKER

(주)위너스톡 디지털 서명이 포함된 위너파인더 프로그램은 "C:\Program Files\WinnerStock\WinnerFinder" 폴더와 "C:\Users\%UserName%\AppData\Roaming\Sticker" 폴더에 각각의 파일을 생성합니다.

설치 이후 WUP.exe 파일(SHA-1 : d0de5542a4fbbb68bafdf4f0f2f18d030d6c8b1c)을 통해 프로그램 업데이트가 진행될 경우 주요 광고 행위를 수행하는 2종의 파일을 ZIP 압축 파일 형태로 다운로드하여 "C:\Program Files\WinnerStock\WinnerFinder" 폴더에 압축 해제하여 기존에 생성된 파일을 패치합니다.

Sticker.exe (SHA-1 : 34b4521ba8ec0d6aa4e5e3f3fccc09def4659a30) → (SHA-1 : 254efa4e1f10aea70648cbfc511ec8802bacd69c)

WinnerFinder.exe (SHA-1 : 889d955fbc658daa52c77aac0f7c0a0a13bf864e) → (SHA-1 : 21031854e62cbb74c9b1e8a3ea564eb46c695e75)

참고로 "C:\Program Files\WinnerStock\WinnerFinder\Sticker.exe" 생성된 파일은 자가 복사를 통해 "C:\Users\%UserName%\AppData\Roaming\Sticker\Sticker.exe" 파일을 생성하는 구조입니다.

이 과정에서 작업 스케줄러 등록값으로 추가된 STICKER 항목은 다음과 같이 값이 수정됩니다.

(패치 전) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A3B53312-D8AF-48E1-A5E9-F779DCA7D29A}

(패치 후) HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{2ECDBBED-0724-4819-BFD7-A1B9FA81A544}

추가된 STICKER 등록값은 1시간 단위로 "C:\Users\%UserName%\AppData\Roaming\Sticker\Sticker.exe" 파일을 자동 실행하여 정보를 받아오도록 되어 있습니다.

위너파인더 프로그램이 설치된 환경에서는 바탕 화면에 바로 가기 아이콘 생성 및 알림 아이콘을 생성합니다.

사용자가 프로그램을 실행할 경우 바탕 화면에 추천 주식 종목이 다수 생성되어 서비스 이용을 유도합니다.

또한 특정 시간이 될 경우 자동으로 알림창을 생성하여 주식 방송을 시청하도록 안내할 수 있습니다.

기본적으로 해당 광고 프로그램은 제어판에 등록된 "위너파인더" 삭제 항목을 통해 제거할 수 있도록 지원하고 있습니다.

하지만 위너파인더 프로그램 제거 이후에도 Sticker 기능은 그대로 유지되어 Windows 부팅 시마다 작업 스케줄러에 등록된 값을 통해 1시간 단위로 자동 실행되도록 구성되어 있습니다.

실행된 Sticker.exe 파일은 서버 통신을 통해 설치된 PC의 Mac Address 값 전송 및 특정 주식 정보를 받아올 수 있을 것으로 보입니다.

그러므로 위너파인더 프로그램이 원치않게 설치된 경우 제어판을 통한 프로그램 제거 이후에도 작업 관리자를 실행하여 메모리에 상주하는 Sticker.exe 프로세스가 존재할 경우 종료한 후 다음의 폴더(파일)를 찾아 직접 삭제하시기 바랍니다.

[사용자 수동 삭제 폴더 / 파일 정보]

C:\Program Files\WinnerStock

C:\Program Files\WinnerStock\WinnerFinder

C:\Program Files\WinnerStock\WinnerFinder\pm.ini

C:\Program Files\WinnerStock\WinnerFinder\Sticker.exe

C:\Program Files\WinnerStock\WinnerFinder\ws.ico

C:\Program Files\WinnerStock\WinnerFinder\WUP.exe

C:\Users\%UserName%\AppData\Roaming\Sticker

C:\Users\%UserName%\AppData\Roaming\Sticker\pm.ini

C:\Users\%UserName%\AppData\Roaming\Sticker\Sticker.exe

C:\Windows\System32\Tasks\STICKER

[생성 레지스트리 등록 정보]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\WinerFinder

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

- WinnerFinder = C:\Program Files\WinnerStock\WinnerFinder\WinnerFinder.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\위너파인더

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{2ECDBBED-0724-4819-BFD7-A1B9FA81A544}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\STICKER

이런 류의 광고성 프로그램은 소프트웨어 설치 과정에서 사용자가 추가적으로 설치될 수 있는 제휴 프로그램을 제대로 확인하지 않고 체크된 상태로 설치하기 때문이므로 프로그램 설치 시에는 화면을 제대로 읽어보면서 설치하시기 바랍니다.

불완전한 한글판으로 판매되는 Emsisoft Anti-Malware 제품 (2017.4.22)

2017-04-22T18:07:00.000+09:00

(주)소프트메일 업체는 2016년까지 avast! 제품과 Malwarebytes 제품을 판매하고 있었는데 2017년부터 Malwarebytes 제품 판매를 중단하고 대신 Emsisoft 제품을 판매하기 시작한 것으로 보입니다.

Malwarebytes 보안 제품의 경우 제품 기술력으로 국내외에서 상당한 인기를 얻고 있었는데 판매를 중단한 이유는 불확실하지만, 개인적인 생각으로는 실시간 감시를 제공하지 않는 무료(Free) 버전에 만족할 수 있는 부분과 최신 버전에 대한 Crack 버전이 항상 구할 수 있기 때문에 실제 예상과는 다르게 정품 구매가 잘 이루어지지 않았던게 아닌가 싶습니다.

이번에 새롭게 판매하기 시작한 Emsisoft 제품은 뉴질랜드(New Zealand)에 본사가 위치하고 있으며, BitDefender 엔진과 자체 엔진으로 구성된 듀얼 엔진을 사용하며 특히 행위 기반을 강조하는 보안 제품으로 기억되고 있습니다.

개인 사용자의 경우 Emsisoft Anti-Malware, Emsisoft Internet Security 제품을 구입할 수 있는데 최초 설치 시에는 언어 선택에서 한국어(Korean) 옵션이 제공되지 않고 있습니다.

설치가 완료된 후 "설정 → 보호 설정" 메뉴에 있는 언어(Language) 항목에서 한국어(Korean)로 변경하시면 한글판으로 변경이 이루어집니다.

그런데 한글판을 살펴보면 Scanner Settings (검사 설정)과 권한 메뉴는 거의 한글화가 이루어지지 않은 상태로 판매가 이루어지고 있는 부분도 발견할 수 있습니다.

해외 백신 테스트에서 Emsisoft 제품의 경우에는 듀얼 엔진의 능력으로 최상위권의 결과를 심심찮게 볼 수 있기에 한 번 사용해 볼 가치는 충분한 제품으로 보입니다.

현재 한국 IP 사용자가 Emsisoft 홈 페이지(www.emsisoft.com)에 접속을 시도할 경우 자동으로 한국 페이지(www.emsisoft.co.kr)로 연결이 이루어지고 있는데 사용자가 영문 페이지로 접속할 수 있는 옵션을 제공하는게 나을 듯합니다.

ByteFence Anti-Malware 백신 사용자 증가에 따른 정보 (2017.4.7)

2017-04-07T20:08:00.001+09:00

2016년 초부터 네이버(Naver) 지식인 문의에 "ByteFence Anti-Malware" 백신 프로그램 사용자가 보이기 시작하였습니다.

한국(Korea) IP 기반으로 접속할 경우 자동으로 한글화된 웹 사이트(ko.bytefence.com)로 연결이 이루어지며 제품 설명이 한글로 잘 제공되고 있습니다.

개인적으로 ByteFence Anti-Malware 보안 제품에 대한 정보가 전혀 없는 상태였기에 이용자들이 직접 선택하여 설치하였을 가능성은 상당히 떨어지며 아마도 다른 프로그램 설치 과정에서 제휴 프로그램으로 설치된게 아닐까 싶습니다.

ByteFence Anti-Malware 보안 제품을 설치한 후 기능을 살펴보면 안티바이러스(Anti-Virus) 기능은 제공하고 있지만 현대 백신 프로그램의 기본인 웹 보안 기능이 전혀 없다는 점에서 사용할 권장할 제품은 아니라고 보여집니다.

악성코드 탐지 엔진 정보를 확인해보면 Reason Core Security SDK를 이용하고 있으며, 설치된 파일 구조상 전형적인 클라우드(Cloud) 기반 백신임을 알 수 있습니다.

실제로 인터넷 연결이 끊어진 환경에서 악성코드 검사를 진행하려고 할 경우 ByteFence 서버와 연결할 수 없다는 메시지 창이 우선적으로 표시됩니다.

물론 그렇다고 오프라인(Offline) 환경에서 악성코드 검사 시 전혀 악성 프로그램을 탐지하지 않는 것은 아니지만 타 백신 프로그램처럼 대용량의 DB 파일을 다운로드하는 방식은 분명 아닙니다.

홈 페이지에서는 한글화된 모습을 보여주고 있는 것과는 반대로 ByteFence Anti-Malware 제품 자체는 한글(Korean)을 지원하지 않고 있습니다.

또한 기술적인 문제로 인하여 마우스 우클릭 검사를 진행할 경우 사용자 계정 컨트롤(UAC) 알림창을 실행하여 동작하는 부분을 볼 수 있습니다.

전체적으로 자체 대응 기술은 부족한 보안 제품은 분명하며 최초 설치 시 ByteFence Anti-Malware Pro 버전(14일 유효)으로 제공되어 이후에는 ByteFence Anti-Malware Free 버전으로 전환됩니다.

ByteFence Anti-Malware Free 버전인 경우에도 실시간 감시 기능은 제공하지만 탐지된 악성코드에 대한 제거 기능을 제공하지 않기 때문에 사실상 유명무실하므로 불필요하게 설치되었다면 제거하시는 것이 현명한 선택으로 보입니다.

"Program Manager" 프로그램이 응답하지 않는다는 메시지 창의 정체

2016-09-17T16:45:00.002+09:00

PC 사양과는 무관하게 특정 작업 중 다음과 같은 메시지 창이 생성되면서 시스템이 느려지는 증상을 경험할 수 있는 경우가 있습니다.

"Program Manager" 프로그램이 응답하지 않으므로 이 작업을 마칠 수 없습니다. [전환]을 선택하고 문제를 해결하십시오.

"서버 작업 중"으로 표시되는 해당 메시지는 과도한 멀티 작업으로 인해 일시적으로 렉이 발생하는 경우이며, 특히 인터넷 검색 시 자동으로 광고창을 생성할 수 있는 광고 프로그램이 다수 설치되어 있는 경우 발생할 수 있습니다.

검색 도우미 : Windows Cookiemon (2016.9.6)

물론 위의 증상과 매우 유사하게 "Windows Cookiemon" 광고 프로그램 1개만 설치된 경우에도 특정 조건에서 다수의 광고창을 생성하기 위해 여러 개의 광고 서버와의 통신을 시도하는 과정에서 "다른 프로그램이 사용 중이므로 이 작업을 완료할 수 없습니다. [전환]을 선택하여 사용 중인 프로그램을 활성화하여 문제를 해결하십시오." 메시지를 생성할 수도 있습니다.

위와 같이 웹 브라우저를 이용하여 사이트 접속 또는 인터넷 검색 시 "서버 작업 중" 메시지가 생성될 경우에는 (a) 제어판에 표시된 설치 프로그램 중 광고 프로그램을 찾아 제거하거나 (b) 제어판에 표시되지 않고 동작하는 광고 프로그램을 찾아 수동으로 삭제해야 합니다.

특히 이런 광고 프로그램은 백신 프로그램을 통해 해결되지 않는 경우가 많다는 점에서 울지않는벌새 블로그에 Runscanner 프로그램을 통해 문의하거나 바이러스 제로 시즌 2 보안 카페에서 제공하는 Malware Zero Kit (MZK) 도구로 검사해 보시기 바랍니다.

레지스트리 검색 오류가 발생하는 Windows 10 운영 체제 문제 (2016.6.5)

2016-06-05T19:54:00.002+09:00

Windows 10 운영 체제를 설치한 후 제공되는 모든 패치가 적용된 환경에서 레지스트리 편집기(regedit)로 찾기(Find) 기능을 이용하는 과정에서 오류가 발생하는 증상이 지속되는 문제를 확인하였습니다.

처음에는 가상 환경에 Windows 10 운영 체제를 설치한 후 특정 키(값, 데이터)에 대한 검색을 시도하는 과정에서 입력한 키값 검색이 완료되지 않는 문제가 발생할 수 있습니다.

"레지스트리를 검색 중..." 메시지가 계속 유지되는 과정에서 사용자가 취소 버튼을 클릭할 경우 레지스트리 편집기의 작동이 중지되는 오류가 발생하는 증상입니다.

해당 증상은 가상 / 리얼 환경 모두에서 발생하였으며, Windows 10 운영 체제를 사용하는 다른 분의 컴퓨터에서도 동일한 증상이 발생할 수 있는 것을 확인할 수 있었습니다.

혹시 레지스트리 편집기(regedit)를 통해 찾기(Find) 기능을 이용할 경우 검색 완료가 이루어지지 않는 경우는 Windows 10 운영 체제 자체 버그(Bug)이므로 당황하지 마시기 바랍니다.

휴대폰 인증을 통한 본인 확인시 자동 연장 결제 서비스 주의 (2015.10.10)

2015-10-10T13:52:00.000+09:00

간혹 인터넷 웹 사이트 가입을 목적으로 휴대폰을 통한 본인 확인 과정을 통해 회원 가입이 완료된 후 로그인플러스 상품 가입 관련 문자 메시지가 전송되는 경우로 당황하시는 분들이 계신 것 같습니다.

[SKT][로그인플러스 USIM](월1,000원)에 가입되었습니다.상품문의 1599-4704

문자 메시지에서는 월 1,000원(실제로는 1,100원 상품입니다.)을 지불해야하는 로그인플러스 상품에 가입이 되었다는 내용이며, 일부 가입자의 경우 자신이 어떤 경로로 인해 가입이 되었는지 제대로 인지조차 하지 못하고 일정 금액이 청구될 수 있습니다.

이런 문제의 핵심은 사용자가 회원 가입시 제대로 문구를 확인하지 않고 체크하여 유료 상품에 가입되지만, 반대로 해당 서비스를 운영하는 업체측에서도 사용자의 부주의를 유도하는 부분이 있을 수도 있습니다.

실제 사례를 통해 확인해보면 사용자가 MBC 방송국 웹 사이트에서 회원 가입을 위해 휴대폰 인증을 통한 본인 확인 서비스를 진행하는 화면을 살펴보면, 필수적으로 선택해야하는 4종의 동의창(개인정보 이용, 고유식별정보 처리, 통신사 이용약관, 서비스 이용약관)과 더불어 선택적으로 포함된 "휴대폰도용방지 수신동의[선택]" 항목이 배치되어 있습니다.

실제로 해당 화면에서 사용자는 선택 항목은 체크하지 않은 상태에서 본인 확인이 가능하지만 만약 휴대폰 도용 방지 항목에 체크를 한 상태로 본인 확인을 진행할 경우 자동으로 로그인플러스 유료 상품에 가입한 것으로 인정됩니다.

특히 좁은창에서는 표시되지 않지만 휴대폰 도용 방지 서비스 전문보기 버튼을 클릭할 경우 통신사(LG, olleh, SK)와 제휴한 (주)민앤지 업체에서 제공하는 외부 서비스로 월 1,100원(부가세 포함)이 청구되는 유료 서비스임을 알 수 있으며, 사용자가 최초 동의한 후에는 결제 해지를 요청하지 않을 경우 매월 자동으로 청구되는 자동 연장 결제 방식입니다.

문제는 휴대폰 인증 화면에서는 상대적으로 좁은 화면에 다수의 동의 박스를 배치하여 비록 선택으로 표시하고 있지만 유료인지 여부를 사용자가 제대로 인지하지 못하는 부주의로 인하여 자신도 모르게 유료 서비스에 가입이 이루어질 수 있다는 점입니다.

해당 업체에서 제공하는 서비스를 추가적으로 확인해보면 안드로이드(Android) 모바일용으로 제작된 "간편결제매니저 휴대폰간편로그인" 애플리케이션이 존재합니다.

해당 애플리케이션 리뷰를 살펴보면 절반은 휴대폰 간편 로그인 서비스를 통해 편리하게 이용한다는 내용과 또 다른 절반은 자신이 제대로 인지하지 못하게 설치하여 회원 가입을 시킨 후 유료 결제가 되었다는 점에서 환불 요청을 하는 내용이 다수 발견되고 있습니다.

웹 사이트 회원 가입 및 모바일 애플리케이션 양쪽에서 사용자의 부주의로 인하여 비록 소액이지만 자동 결제가 이루어지는 경우가 있다는 점에서 전화 번호를 입력하는 행위는 차후 유료 결제로 연결될 수 있는 수단이 될 수 있다는 점을 반드시 명심하시고 회원 가입시 꼼꼼하게 문구를 확인하는 습관을 가지시기 바랍니다.

또한 자동 연장 결제 방식은 사용자가 해지 요청을 하지 않을 경우 매달 요금이 청구되므로 이용하지 않는 서비스는 해지하시기 바랍니다.

제휴(스폰서) 프로그램 : LemonWebtoon

2015-05-19T20:07:00.000+09:00

무료 만화(웹툰)을 볼 수 있는 서비스를 제공하면서 설치 및 업데이트 과정에서 추가적인 광고 프로그램 설치를 유도할 수 있는 국내에서 제작된 LemonWebtoon 프로그램(Win32:Adware-gen [Adw])에 대해 살펴보도록 하겠습니다.

[삭제] 만화뷰어(Free AniViewer)를 이용한 추가 프로그램 설치 유도 (2010.2.27)

제휴(스폰서) 프로그램 : 웹툰룸(WebToonRoom) (2010.12.7)

제휴(스폰서) 프로그램 : 웹툰즈(WebToons) - Internet Explorer webtoon support (2011.8.11)

<울지않는벌새 블로그> 국내 악성코드 : Micro WebViewer Application ActX (2012.12.4)

참고로 예전부터 만화 뷰어 프로그램을 이용한 광고 프로그램 설치 방식이 존재하였으므로 참고하시기 바랍니다.

"레몬웹툰 - 무료 웹툰 뷰어 1.0" 프로그램 설치시에는 기본적으로 "스마트팩 프로그램 설치 [스폰서 프로그램]" 항목이 체크된 상태로 포함되어 있으며, 기본값으로 설치될 경우 setup_smart.exe 파일(PUP/Win32.UtilTop.R83997)을 통해 "Windows Smart Pack" 광고 프로그램이 설치됩니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\LemonWebtoon

C:\Program Files\LemonWebtoon\LemonWebtoon.exe :: 프로그램 실행 파일

C:\Program Files\LemonWebtoon\LemonWebtoon.ico

C:\Program Files\LemonWebtoon\LemonWebtoonC.exe

C:\Program Files\LemonWebtoon\lwtsvc.exe :: 서비스(lwtsvc) 등록 파일, 메모리 상주 프로세스

C:\Program Files\LemonWebtoon\lwtupt.exe

C:\Program Files\LemonWebtoon\Uninstall.exe :: 프로그램 삭제 파일

C:\ProgramData\LemonWebtoon

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\레몬웹툰

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\레몬웹툰\레몬웹툰 프로그램 실행.lnk

C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\레몬웹툰

C:\Users\(사용자 계정)\Desktop\레몬웹툰.lnk

[생성 파일 진단 정보]

C:\Program Files\LemonWebtoon\lwtsvc.exe

- SHA-1 : 16f169608863510a3d7f0eff49ff8128c7a87917

- Hauri ViRobot : Dropper.Agent.96400[h] (VT : 2/57)

해당 프로그램은 "C:\Program Files\LemonWebtoon" 폴더에 주요 파일을 생성합니다.

"lwtsvc (표시 이름 : LemonWebtoon Update Service)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\LemonWebtoon\lwtsvc.exe" 파일을 자동 실행하여 메모리에 상주하도록 구성되어 있습니다.

사용자가 레몬웹툰(LemonWebtoon) 프로그램 실행시 "C:\Program Files\LemonWebtoon\lwtupt.exe" 파일(SHA-1 : ea8cbfb82f4a1966e7ef3a2f0a1f1fd62f1522e8) 실행을 통해 특정 서버에서 프로그램 업데이트 및 추가적인 제휴 프로그램 정보를 체크(C:\ProgramData\vchk.vck)합니다.

LemonWebtoon.exe (SHA-1 : c928be19db31eae3d33a477c210c2ddd258b3de9) :: 업데이트 전
LemonWebtoon.exe (SHA-1 : 312bfa84c23024d354682de12f353933faeb610f) :: 업데이트 후

이를 통해 추가 업데이트가 존재할 경우 "C:\ProgramData\LemonWebtoon.exe" 파일로 다운로드 및 임시 생성하여 구버전 파일을 패치한 후 임시 파일은 자동 삭제 처리됩니다.

해당 업데이트 중 추가적인 제휴 프로그램이 존재할 경우 "정규 업데이트 및 추가 프로그램 설치 안내" 창을 생성하여 광고 프로그램 설치를 유도할 수 있으므로 주의하시기 바랍니다.

참고로 레몬웹툰(LemonWebtoon) 프로그램은 네이버, 다음, 네이트 등의 웹툰 페이지로 연결하여 프로그램 상에서 만화를 볼 수 있도록 지원하고 있습니다.

■ LemonWebtoon 프로그램 삭제 방법

(a) "보조프로그램 - 명령 프롬프트" 메뉴를 "관리자 권한으로 실행"하여 생성된 명령 프롬프트 창에 [sc stop "lwtsvc"] 명령어를 입력 및 실행하여 메모리에 상주하는 lwtsvc.exe 서비스 프로세스를 자동 종료하시기 바랍니다.

(b) 레몬웹툰(LemonWebtoon) 프로그램(LemonWebtoon.exe)이 실행 중이라면 종료한 후 제어판 또는 체크잇(CheckIt : www.checkitinfo.com) 프로그램에 등록된 "LemonWebtoon" 삭제 항목을 이용하여 프로그램을 제거하실 수 있습니다.

프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 찾아 직접 삭제하시기 바랍니다.

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\레몬웹툰
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\레몬웹툰\레몬웹툰 프로그램 실행.lnk

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\LemonWebtoon

HKEY_LOCAL_MACHINE\SOFTWARE\LemonWebtoon

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\LemonWebtoon

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\lwtsvc

레몬웹툰(LemonWebtoon) 프로그램은 "Now Media Corp." 디지털 서명을 사용하는 국내 광고 업체에서 운영하며, 광고 프로그램 설치를 위해 무료 만화 뷰어 프로그램을 운영하는 것으로 보이므로 프로그램 설치 및 업데이트시 주의하시기 바랍니다.

화면에 표시되지 않는 광고 배너를 연결하는 오토오프(AutoOff) 컴퓨터 예약 종료 프로그램 (2015.5.12)

2015-05-12T20:19:00.003+09:00

시스템 시작시 자동 실행되는 오토오프(AutoOff) 컴퓨터 예약 종료 프로그램(SHA-1 : b574681745b9a190a69c8b15c8cd2828002645ab)이 사용자 몰래 광고 행위를 수행하는 부분에 대해 살펴보도록 하겠습니다.

참고로 프로그램 설치시 제시되는 이용약관에서는 프로그램 사용으로 인한 광고가 포함되어 있을 수 있다고 명기되어 있습니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\AutoOff
C:\Program Files\AutoOff\AutoOff.exe :: 시작 프로그램(AutoOff) 등록 파일, 프로그램 실행 파일
C:\Program Files\AutoOff\Readme_en.txt
C:\Program Files\AutoOff\Readme_ko.txt
C:\Program Files\AutoOff\Uninstall.exe :: 프로그램 삭제 파일
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoOff
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoOff\AutoOff 제거.lnk
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoOff\AutoOff 홈페이지.url
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\AutoOff\AutoOff.lnk
C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\AutoOff.lnk
C:\Users\Public\Desktop\AutoOff.lnk

Pintosoft 디지털 서명이 포함된 해당 프로그램은 "C:\Program Files\AutoOff" 폴더에 파일을 생성하며, Windows 시작시 ["C:\Program Files\AutoOff\AutoOff.exe" /s] 파일(SHA-1 : 4117db82b354664ae8e6a3dd22a75113c0e7b7e9)을 시작 프로그램(AutoOff)으로 등록하여 자동 실행되도록 구성되어 있습니다.

프로그램이 설치된 환경에서 자동 실행된 오토오프(AutoOff) 프로그램은 그림과 같이 자동 실행되며 외형적으로 광고가 노출되지 않습니다.

하지만 실행 과정에서 프로그램 업데이트 체크 후 특정 연결을 통해 화면상에는 표시되지 않는 광고 배너를 부팅시마다 로딩하여 수익을 창출하는 것으로 보입니다.

■ 오토오프(AutoOff) 프로그램 삭제 방법

프로그램 삭제를 위해서는 제어판 또는 체크잇(CheckIt : www.checkitinfo.com) 프로그램에 등록된 "AutoOff" 삭제 항목을 이용하여 제거할 수 있습니다.

프로그램 삭제 후에는 추가적으로 다음의 파일을 찾아 추가적으로 삭제하시기 바랍니다.

C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\AutoOff.lnk
C:\Users\Public\Desktop\AutoOff.lnk

또한 레지스트리 편집기(regedit)를 실행하여 삭제되지 않은 AutoOff 시작 프로그램 값을 삭제하시기 바랍니다.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

- AutoOff = "C:\Program Files\AutoOff\AutoOff.exe" /s

오토오프(AutoOff) 컴퓨터 예약 종료 프로그램 기능 자체는 문제없지만 화면상에는 표시되지 않는 광고 배너 노출은 사용자가 제대로 인지하지 못하고 사용한다는 점에서 문제가 될 수 있으며, 또한 취약점(Exploit)을 이용한 악성코드 유포에 노출될 수도 있다는 점에서 사용자가 잘 판단하시기 바랍니다.

제어판에 "nProtect Online Security" 삭제 항목이 없는 경우 삭제 방법

2015-04-18T14:02:00.003+09:00

그동안 국내 인터넷 환경에서 가장 이슈가 되었던 것 중의 하나인 ActiveX 설치 방식에 대한 큰 변화가 있을 것처럼 정부에서 말장난을 했지만 결과적으로는 전혀 변화없이 보안 및 결제 솔루션을 반드시 설치해야지 서비스를 이용할 수 있게 되었습니다.

<주간경향 1121호> [포커스] '눈 가리고 아웅' 액티브X 폐기 정책 (2015.4.14)

특히 "nProtect Online Security" 보안 솔루션의 경우 특정 웹 서비스 이용을 목적으로 설치됨에도 불구하고 시스템 시작시 자동 실행되어 메모리에 상주하는 문제가 있으며, 이런 문제로 인해 시스템이 느려지거나 충돌이 발생하여 프로그램 삭제를 원하는 경우도 많을 듯합니다.

그런데 "nProtect Online Security" 보안 솔루션에 대한 삭제를 원하는 사용자가 제어판에서 삭제값을 찾을 수 없는 문제로 문의가 들어와서 삭제 방법을 확인해 보았습니다.

일반적으로 "nProtect Online Security" 프로그램은 제어판에 다음과 같은 2종의 이름으로 설치될 수 있습니다.

nProtect Online Security Uninstall
nProtect Online Security V1.0(PFS)

만약 제어판에 위와 같은 삭제 항목이 존재하지 않을 경우에는 제품 보호 기능으로 인하여 수동으로 폴더(파일)를 삭제하여 삭제할 수는 없으므로 다음과 같은 방식으로 제거를 진행하시기 바랍니다.

프로그램 삭제를 위해서는 "C:\Program Files\INCAInternet UnInstall\nProtect Online Security\nProtectUninstaller.exe" 파일을 찾아 직접 실행하시면 정상적으로 프로그램 삭제를 진행할 수 있습니다.

그러므로 제어판에 "nProtect Online Security" 삭제값이 없는 경우에는 프로그램 삭제 파일을 직접 실행하여 제거를 진행하시기 바랍니다.

다음(Daum)앱 업데이트에 포함된 공유기 취약점을 이용한 악성앱 경고 (2015.4.11)

2015-04-11T18:37:00.001+09:00

최근 아이패드(iPad) 업데이트를 통해 제공되는 "다음 - 뉴스, 브라우저" 애플리케이션의 업데이트 내용 중 공유기 해킹을 통한 악성앱 설치를 유도하는 부분에 대한 안내가 포함되어 있는 것을 확인할 수 있습니다.

안드로이드(Android)용 "다음 - 뉴스, 브라우저" : Google Play
iOS용 "다음 - 뉴스, 브라우저" : Apple Store

해당 업데이트 내용에서는 와이파이(Wi-Fi) 인터넷 환경에서 다음(Daum)앱 실행시 다음과 같은 동작이 발생할 경우 LTE 또는 3G망을 이용할 것을 권장하고 있습니다.

다음앱 안에서 다음앱이 아닌 크롬 등의 전혀 다른 앱을 업데이트하라는 메시지가 나오는 경우
다음앱 첫 페이지가 네이버로 연결되는 경우
다음앱 첫 페이지의 주소가 m.daum.net이 아닌 숫자(IP)인 경우

실제 보안 취약점을 가진 공유기는 DNS 서버 주소가 수정되어 포털 사이트 접속시 특정 IP 주소로 자동 연결되어 "한층 개선된 chrome의 최신버전이 출시되었습니다. 업데이트후 이용해주십시오."와 같은 다양한 메시지를 통해 악성앱(APK) 다운로드를 유도하고 있습니다.

<울지않는벌새 블로그> 포털 접속시 "보안 업데이트 버전 출시" 알림창을 통한 Chrome 악성앱 주의 (2015.4.5)

이를 통해 설치된 악성앱은 정상적인 애플리케이션 삭제, 모바일뱅킹 정보 수집, 스미싱(Smishing) 문자 발송, SMS 문자 메시지 및 통화 가로채기 등의 다양한 악의적인 기능을 수행할 수 있습니다.

현재까지 발견된 국내의 스미싱(Smishing) 문자 또는 공유기 해킹을 통한 악성앱은 안드로이드(Android) 모바일을 표적으로 제작되었으며, iOS 모바일 운영 체제에서는 감염은 이루어지지 않습니다.

하지만 위와 같은 공유기 해킹은 차후 피싱(Phishing) 사이트 연결을 통한 정보 수집 등 다양한 악의적인 공격에 활용될 수 있으므로 공유기를 통해 인터넷 이용시에는 항상 최신 버전의 펌웨어 업데이트, 비밀번호 설정을 통한 외부에서 임의로 설정을 변경할 수 없도록 보안 설정을 꼼꼼하게 설정하시고 사용하시기 바랍니다.

세이브카카오(SaveKakao) 프로그램에 포함된 제휴 프로그램 설치 주의 (2015.4.10)

2015-04-10T22:26:00.004+09:00

안드로이드(Android) 스마트폰에 설치된 카카오톡(KakaoTalk) 애플리케이션의 백업 및 복원 기능을 제공하는 세이브카카오(SaveKakao) 프로그램(SHA-1 : db72916359d183aeb16f90515967c67749f1648b - avast! : Win32:Malware-gen (VT : 7/56))의 업데이트 기능을 통해 추가적인 제휴 프로그램 설치를 유도할 수 있는 부분에 대해 살펴보도록 하겠습니다.

[생성 폴더 / 파일 등록 정보]

C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\savekakao
C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\savekakao\savekakao.lnk
C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\savekakao\Uninstall.lnk
C:\Users\(사용자 계정)\AppData\Roaming\savekakao
C:\Users\(사용자 계정)\AppData\Roaming\savekakao\adb.exe
C:\Users\(사용자 계정)\AppData\Roaming\savekakao\AdbWinApi.dll
C:\Users\(사용자 계정)\AppData\Roaming\savekakao\AdbWinUsbApi.dll
C:\Users\(사용자 계정)\AppData\Roaming\savekakao\backup.svk
C:\Users\(사용자 계정)\AppData\Roaming\savekakao\com.kakao.talk.apk
C:\Users\(사용자 계정)\AppData\Roaming\savekakao\savekakao.exe :: 프로그램 실행 파일
C:\Users\(사용자 계정)\AppData\Roaming\savekakao\savekakaoUpdate.exe :: 시작 프로그램(savekakaoUpdate) 등록 파일, 예약 작업(savekakaoUpdate) 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\savekakao\uninst.exe :: 프로그램 삭제 파일
C:\Windows\System32\Tasks\savekakaoUpdate

[생성 파일 진단 정보]

C:\Users\(사용자 계정)\AppData\Roaming\savekakao\savekakaoUpdate.exe
- SHA-1 : afb0d0706120551325866d47dc3d13bcbcd28dd3
- avast! : Win32:Malware-gen (VT : 6/55)

"JE communication" 디지털 서명이 포함된 세이브카카오(SaveKakao) 프로그램은 숨김(H) 속성값을 가진 폴더 내의 "C:\Users\(사용자 계정)\AppData\Roaming\savekakao" 폴더에 파일을 생성합니다.

참고로 "JE communication (JE 커뮤니케이션)" 디지털 서명으로 확인해보면 국내 광고 프로그램 배포, 자동 연장 결제를 유도하는 악성코드 제거 및 개인정보 보안 솔루션, Z통합코덱 등을 운영하는 업체로 보입니다.

시작 프로그램(savekakaoUpdate) 등록값 : C:\Users\(사용자 계정)\AppData\Roaming\savekakao\savekakaoUpdate.exe
예약 작업(savekakaoUpdate) 등록값 : C:\Users\(사용자 계정)\AppData\Roaming\savekakao\savekakaoUpdate.exe

시스템 시작시 "C:\Users\(사용자 계정)\AppData\Roaming\savekakao\savekakaoUpdate.exe" 파일을 시작 프로그램과 작업 스케줄러로 등록하여 자동 실행되도록 구성되어 있습니다.

자동 실행된 savekakaoUpdate.exe 파일은 특정 서버에 등록된 업데이트 정보를 참조하여 신버전이 존재할 경우 추가적인 업데이트 파일을 다운로드 및 실행할 수 있습니다.

h**p://down.save**kao.com/Update_savekakao.exe (SHA-1 : 7bf79e71b2a3b8e365aa002a6d2a9a9c16dcaa5b) - AVG : Generic.80E (VT : 2/57)

추가 다운로드 및 실행된 Update_savekakao.exe 파일은 "세이브카카오 업데이트 Setup" 창을 생성하여 추가적인 제휴 프로그램 설치를 유도할 수 있습니다.

<울지않는벌새 블로그> 검색 도우미 : Interplex Service (2015.3.20)

참고로 해당 파일의 구성은 기존의 Z통합코덱 업데이트 기능과 매우 유사하므로 참고하시기 바랍니다.

설치된 세이브카카오(SaveKakao) 프로그램은 기본적으로 ADB(Android Debug Bridge) 파일(adb.exe)을 통해 백업 및 복원 기능을 제공하는 정상적인 무료 소프트웨어로 확인되고 있습니다.

프로그램 삭제를 위해서는 제어판 또는 체크잇(CheckIt : www.checkitinfo.com) 프로그램에 등록된 "savekakao 1.0" 삭제 항목을 이용하여 삭제할 수 있습니다.

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\savekakao

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\savekakaoUpdate.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

- savekakaoUpdate = C:\Users\(사용자 계정)\AppData\Roaming\savekakao\savekakaoUpdate.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\savekakao

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{582894A5-430E-4D0E-A527-8C1CD16EBF41}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\savekakaoUpdate

세이브카카오(SaveKakao) 프로그램은 프로그램 자체가 회원 가입이 필요없는 무료 소프트웨어이지만 업데이트 기능을 통해 추가적인 제휴 프로그램 설치 동작이 존재할 수 있으므로 원치않는 광고 프로그램이 설치되는 일이 없도록 주의하시기 바랍니다.

Avira 오진 : MBC mini 라디오 - TR/Dropper.MSIL.Gen (2015.3.31)

2015-03-31T18:50:00.001+09:00

Avira 보안 제품에서 MBC mini 라디오 프로그램의 부속 파일(mini 2.0 Beta.exe)에 대하여 TR/Dropper.MSIL.Gen 진단명으로 진단되는 문제를 확인하였습니다.

파일 경로 : C:\Program Files\iMBC\mini\mini 2.0 Beta.exe
SHA-1 : ecb4c90c5459a1682b24afcb8ad0d1d1cfd29c5f (버전 : 1.0.0.0)
SHA-1 : 2713f5d953af9532d5205ccd107bc233c02eb6bf (버전 : 1.0.0.1)

최초 실행된 MBC mini 라디오 프로그램의 생성 파일 중 mini 2.0 Beta.exe (버전 : 1.0.0.0)에 대해서 진단이 이루어지고 있으며, 프로그램 실행시 "C:\Program Files\iMBC\mini\miniBetaplayer2.exe" 파일 실행을 통해 업데이트를 진행합니다.

이를 통해 패치된 "C:\Program Files\iMBC\mini\mini 2.0 Beta.exe" 파일(버전 : 1.0.0.1)에 대해서도 동일하게 진단이 이루어지고 있습니다.

해당 파일들은 모두 "iMBC Co., Ltd." 디지털 서명이 포함된 정상적으로 파일로 바이러스토탈(VirusTotal) 진단 결과 Avira 보안 제품에서만 진단되는 오진으로 판단됩니다.

System Scanner - Scan - Exceptions
Real-Time Protection - Scan - Exceptions

그러므로 Avira 보안 제품 사용자는 환경 설정의 "PC Protecion" 메뉴에서 제외 처리(Exceptions) 항목에서 "C:\Program Files\iMBC\mini\mini 2.0 Beta.exe" 파일을 추가하여 진단되지 않도록 하시기 바랍니다.

현재 Avira 보안 업체에 오진 관련된 정보를 제공한 상태이며, 차후 진단에서 공식적으로 제외 처리된 경우에는 환경 설정에 추가한 진단 제외값은 제거하시기 바랍니다.

한컴 자동 업데이트 2014 수정 패치 적용 (2015.3.7)

2015-03-07T17:56:00.000+09:00

(주)한글과컴퓨터 업체에서 제공하는 한컴오피스 2010 SE+, 한컴오피스 2014 VP 제품의 업데이트 기능을 제공하는 "한컴 자동 업데이트 2014"의 고질적인 오류 문제가 해결되었습니다.

그동안 한컴 자동 업데이트를 실행할 경우 "현재 업데이트를 진행할 수 없습니다. 잠시 후 다시 시도하세요." 메시지를 통해 업데이트 서버에 연결되지 않는 문제가 빈번하게 발생하였습니다.

해당 문제를 해결하기 위해 최근 "한컴 자동 업데이트 9.0.0.42" 버전 업데이트를 통해 한컴 자동 업데이트 서버 통신에 관련된 오류를 수정한 패치를 적용하였습니다.

패치가 적용된 한컴 자동 업데이트에서는 한 번에 업데이트 서버 연결을 통해 최신 버전을 체크할 수 있지만, 무슨 이유인지 모르지만 업데이트 정보가 공란으로 표시되는 문제가 발생하는 것으로 보입니다.

그러므로 한컴 오피스 2010 / 2014 버전 사용자는 반드시 한컴 자동 업데이트가 최신 버전으로 설치되어 있는지 확인하시기 바랍니다.

안카메라(AnCamera) 설치시 추가된 "iekeybho Class" 확장 프로그램 정보 (2014.11.18)

2014-11-18T20:44:00.001+09:00

국내 화면 캡처 프로그램으로 유명한 안카메라(AnCamera) 프로그램을 오래전부터 사용하는 사용자들의 경우 프로그램 설치시 Internet Explorer 웹 브라우저에 "iekeybho Class" 확장 프로그램이 추가되는 것으로 보입니다.

안카메라(AnCamera) 설치 과정에서 제시되는 이용약관을 확인해보면 "제5조 [데이터 수집 및 사용]" 조항에서 제품에 포함된 광고 통계 수집 목적으로 광고 노출수와 광고 클릭수를 수집한다고 언급되어 있습니다.

하지만 "iekeybho Class" 확장 프로그램을 조사해보면 안카메라(AnCamera)를 통해 노출되는 광고와는 전혀 다른 동작이 이루어지고 있는 부분을 발견할 수 있기 때문에 관련 정보를 살펴보도록 하겠습니다.

단, 현재 안카메라(AnCamera) 홈 페이지에서 2014년 11월 17일부터 배포가 이루어지고 있는 5.3.3 최신 버전(SHA-1 : 15587504db339fd6eb258bde8bdd82eda59f3467)에서는 BHO 등록값이 제외된 것으로 보입니다.

테스트에서는 안카메라(AnCamera) 5.3 버전(SHA-1 : b5b8c47eed31064b42049f99c73308e724bc260f)을 이용하여 설치하여 자동 업데이트를 통해 안카메라 5.3.2 버전으로 설치된 환경에서 조사를 진행하였습니다.

안카메라(AnCamera)가 설치된 이후 Internet Explorer 웹 브라우저를 실행하면 ['EbizNetWorks'의 'iekeybho Class' 추가 기능을 사용할 준비가 되었습니다.]라는 알림바가 생성되는 것을 확인할 수 있습니다.

일반 사용자의 경우 해당 기능이 무엇인지는 알 수 없지만 안카메라(AnCamera) 프로그램의 정상적인 실행을 위해 필요하다고 판단하여 사용하도록 허용할 수 있습니다.

[도구 모음 및 확장 프로그램 정보]

이름 : iekeybho Class
게시자 : EbizNetWorks
유형 : 브라우저 도우미 개체
CLSID : {F1A015C9-8106-4120-9D18-21BAEDAB20FF}
파일 : C:\Program Files\AHNSOFT\ancamera3\ksmodule.dll

해당 확장 프로그램은 Internet Explorer 웹 브라우저 실행시 "C:\Program Files\AHNSOFT\ancamera3\ksmodule.dll" 파일을 "iekeybho Class" 값을 가지는 브라우저 도우미 개체(BHO)로 등록하여 자동 실행하도록 구성되어 있습니다.

이를 통해 사용자가 Internet Explorer 웹 브라우저를 통해 인터넷 검색을 시도할 경우 검색 엔진 정보와 검색 키워드 값을 특정 파일 서버에 전송하는 동작을 확인할 수 있습니다.

위와 같은 검색 키워드 값을 수집하는 이유는 알 수 없지만 관련 업체에서 운영하는 광고 솔루션에서 활용하는 것이 아닌가 판단됩니다.

문제가 되는 "C:\Program Files\AHNSOFT\ancamera3\ksmodule.dll" 광고 모듈(SHA-1 : 69bb2d097058aa1916f2c42c069850aa20dd0b56)은 5.3.3 버전에서는 파일은 존재하지만 BHO 등록은 이루어지지 않도록 정책이 변경된 것으로 보입니다.

그러므로 안카메라(AnCamera) 프로그램을 사용하는 사용자 중에서 Internet Explorer 웹 브라우저의 추가 기능 관리에 "iekeybho Class" 확장 프로그램이 등록된 경우에는 "사용 안 함"으로 변경하여 인터넷 검색 정보가 외부에서 수집되지 않도록 하시기 바랍니다.

또는 레지스트리 편집기(regedit)를 실행하여 "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{F1A015C9-8106-4120-9D18-21BAEDAB20FF}" 레지스트리 값을 찾아서 삭제하는 것도 방법입니다.

검색 도우미 : 위너파인더 1.0(WinnerFinder 1.0)

2014-09-12T19:37:00.000+09:00

국내 특정 증권 관련 홍보 프로그램으로 개발되어 광고 프로그램 유포 통로를 통해 배포가 이루어지고 있는 "위너파인더 1.0(WinnerFinder 1.0)" 프로그램(SHA-1 : 96f5fb54f509e99c3186f82ad1dadc36b28dcc2f)에 대해 살펴보도록 하겠습니다.

검색 도우미 : 박과장닷컴(ParkKJ) (2012.5.27)

해당 프로그램과 유사한 기능을 가진 주식 관련 정보를 제공하던 "박과장닷컴(ParkKJ)" 프로그램이 존재하였으므로 참고하시기 바랍니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\WinnerStock

C:\Program Files\WinnerStock\WinnerFinder

C:\Program Files\WinnerStock\WinnerFinder\pm.ini

C:\Program Files\WinnerStock\WinnerFinder\uninst.exe :: 프로그램 삭제 파일

C:\Program Files\WinnerStock\WinnerFinder\WF.ico

C:\Program Files\WinnerStock\WinnerFinder\WinnerFinder.exe :: 시작 프로그램 등록 파일, 메모리 상주 프로세스

C:\Program Files\WinnerStock\WinnerFinder\WUP.exe

C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\위너파인더

C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\위너파인더\위너파인더.lnk

C:\Users\(사용자 계정)\Desktop\위너파인더.lnk

(주)위너스톡 디지털 서명이 포함된 해당 프로그램은 "C:\Program Files\WinnerStock\WinnerFinder" 폴더에 파일을 생성하며, Windows 시작시 "C:\Program Files\WinnerStock\WinnerFinder\WinnerFinder.exe" 파일(SHA-1 : e368397e89086ab78d63d992b9872cc6dc079d78)을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

자동 실행된 프로그램은 시스템 트레이 알림 아이콘 영역에 "위너파인더" 아이콘을 생성하며, 바탕 화면 바로가기 아이콘 또는 시작 메뉴의 프로그램 목록에 등록된 위너파인더 메뉴를 실행할 경우에도 프로그램이 실행됩니다.

시스템 트레이 알림 아이콘 영역에 생성된 위너파인더를 실행할 경우 그림과 같은 광고창을 생성하여 주식 관련 정보 및 유료 서비스 가입을 유도할 수 있습니다.

프로그램 기능 종료 및 삭제시에는 Windows 작업 관리자를 실행하여 메모리에 상주하는 WinnerFinder.exe 프로세스를 찾아 종료하시기 바랍니다.

프로그램 삭제는 제어판에 등록된 "위너파인더 1.0" 삭제 항목을 이용하여 제거할 수 있으며, 프로그램 삭제 후에는 추가적으로 "C:\Program Files\WinnerStock" 폴더를 찾아 삭제하시기 바랍니다.

[생성 레지스트리 등록 정보]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\WinerTrader

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

- WinnerFinder = C:\Program Files\WinnerStock\WinnerFinder\WinnerFinder.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\위너파인더

위와 같은 증권(주식) 서비스 홍보 목적으로 제작되어 다양한 광고 유포 경로를 통해 사용자의 부주의한 실수로 설치가 이루어지는 경우가 있으므로 주의하시기 바랍니다.

Runscanner 프로그램 사용시 File error 발생 문제

2014-08-22T19:19:00.001+09:00

Runscanner 프로그램을 이용하여 사용자 PC에 설치된 프로그램 정보를 수집하여 악성코드 및 불필요한 프로그램(PUP)을 찾아 제거하는 과정에서 수집된 파일 중 File error로 저장된 경우가 발생할 수 있습니다.

<울지않는벌새 블로그> 검색 도우미 : Wordkey Reader (2014.8.21)

기록된 파일 정보 중 "Wordkey Reader" 광고 프로그램이 생성한 wkmon.exe, wk_.exe 파일에 대한 세부 정보는 수집되었지만 Hash 및 디지털 서명 정보에서 File error 이슈가 발생하고 있습니다.

위와 같은 증상이 발생하는 대표적인 파일로는 DAEMON 계열의 가상 CD/DVD 프로그램을 통해 생성되는 sptd.sys 드라이버 파일에서 발견되고 있습니다.

위와 같이 다른 파일과 다르게 파일의 리소스 정보를 제대로 읽지 못하는 문제는 파일에 락(Lock)이 걸려 있거나 독특한 보호 기능으로 인해 발생하는 것으로 추정됩니다.

특히 Wordkey Reader 광고 프로그램에서 확인된 wkmon.exe, wk_.exe 프로세스는 서로의 프로세스가 임의로 종료되지 못하도록 보호 기능으로 인해 Runscanner 프로그램에서 제대로 스캔을 하지 못하는 것으로 보입니다.

그러므로 Runscanner 프로그램을 통해 스캔 후 기록된 파일 중 File error로 표시되는 파일이 존재할 경우에는 프로세스 종료 후 다시 한 번 스캔을 통해 파일 정보를 수집하시기 바랍니다.

불량 백신을 이용한 사회복지 마케팅의 슬픈 현실 (2014.3.12)

2014-03-12T22:19:00.001+09:00

오늘자(2014년 3월 12일) 언론 보도를 보다보니 국내 모 업체에서 사회복지기관에 600만원 상단의 백신 프로그램을 후원했다는 기사를 볼 수 있었습니다.

이비즈네트웍스, 사회복지기관에 백신 SW 기부 (2014.3.12)

이같은 마케팅은 2000년대 초중반경부터 국내 일부 SW, 광고 업체들이 진행하여 현재까지 이어지고 있는 것으로 기억되는데 과연 업체에서 제공한 프로그램은 어떤지 확인해 보도록 하겠습니다.

해외 유명 안티바이러스(Anti-Virus) 테스트에서는 마이크로소프트(Microsoft)사에서 제공하는 Microsoft Security Essentials(MSE) 무료 백신을 진단률 커트 라인 기준으로 삼고 있으며, MSE 제품은 가장 오진이 적은 제품 중의 하나로 평가받고 있습니다.

1. Windows XP 운영 체제 + MSE 환경

Windows XP 운영 체제에서 MSE 무료 백신이 설치된 환경인 경우 해당 업체에서 이번에 제공하였다고 보도된 피씨클리어 소포스(PCClear Sophos) 설치 파일을 다운로드하면 Rogue:Win32/Vakcune 진단명으로 진단 및 삭제 처리를 합니다.

해당 백신 프로그램은 영국 보안 업체 소포스(Sophos) 엔진을 추가한 제품으로 높은 진단률을 자랑한다고 홍보하고 있지만, 실제 설치 파일(SHA-1 : 20ac15572246a41426fb711e3bb04bd09283fd16)에 대하여 Sophos 제품에서도 Mal/Generic-S (VT : 39/50) 진단명으로 진단이 이루어지고 있습니다.

참고로 해당 설치 파일은 2013년 12월 27일경 제작된 것으로 보이며, 바이러스토탈(VirusTotal)에는 한 번도 노출되지 않은 상태에서 검사를 진행하였습니다.

2. Windows 7 운영 체제 + Windows Defender 환경

그렇다면 Windows Vista 운영 체제부터 Windows 기본 탑재가 이루어진 Windows Defender에서는 어떻게 반응하는지 확인해 보도록 하겠습니다.

우선 Internet Explorer 10 웹 브라우저를 이용하여 파일 다운로드를 진행하면 바이러스가 포함되어 있다면 삭제 처리가 이루어지며, Windows Defender 보안 제품에서도 Rogue:Win32/Vakcune 진단명으로 진단되고 있습니다.

즉, 현재 국내(세계)에서 가장 많이 사용되는 Windows 7 운영 체제에 기본 설치된 Windows Defender에서도 설치 자체를 하지 못하도록 진단하고 있다는 점에서 언론에 보도된 백신 기증은 무의미하다고 할 수 있습니다.

3. Google Chrome 웹 브라우저 + AhnLab V3 365 Clinic 3.0 환경

또 다른 사용자 환경으로 구글 크롬(Google Chrome) 웹 브라우저 사용자가 설치 파일을 다운로드 시도를 하면 악성 파일이므로 차단되었다는 메시지를 확인할 수 있습니다.

국내 보안 업체 안랩(AhnLab)에서 유료로 판매 중인 AhnLab V3 365 Clinic 3.0 제품을 이용하여 설치 파일을 검사해보면 PUP/Win32.ViHunter 진단명으로 진단하는 모습도 확인할 수 있습니다.

이처럼 해당 업체의 사회복지단체 백신 기증 마케팅은 국내외 대다수의 보안 제품에서 악성코드 또는 불필요한 프로그램(PUP)으로 진단되는 프로그램으로 시스템을 안전하게 보호할 수 있는 수준이라고 볼 수 없다고 판단됩니다.

정작 기증을 통해 전달받은 제품을 PC에 설치하다가 위와 같은 문제가 발생하였을 경우 과연 복지단체 관계자들은 어떤 표정을 지을지 씁쓸합니다.

일간베스트(ilbe.com)를 차단하는 Trend Micro 보호자 통제 기능 (2014.3.8)

2014-03-08T15:03:00.005+09:00

정치 및 사회적 이슈를 유발하는 일간베스트(일베, ilbe.com) 접속시 Trend Micro 보안 제품에서 차단을 한다는 내용에 대해 확인을 해보았습니다.

Trend Micro 사용자들이 기본적으로 사용하는 안티바이러스(Anti-Virus) 및 웹 사이트 차단(웹 위협) 기술로는 일간베스트 접속시 아무런 문제없이 정상적으로 연결되는 것을 확인할 수 있었습니다.

이에 Trend Micro Titaniumm Maximum Security 2014 버전에서 제공하는 "보호자 통제" 기능(기본값 : OFF)을 활성화 해보도록 하겠습니다.

보호자 통제 기능은 관리자가 특정 연령대의 자녀들이 부적절한 웹 사이트를 방문하지 못하도록 보호할 수 있으며, 인터넷 사용 시간과 특정 응용 프로그램의 실행을 방지하도록 하는 기능을 제공하고 있습니다.

보호자 통제 설정 중 "웹 사이트 필터 규칙"에서는 "13~17세(청소년)"을 대상으로 한 기본값을 통해 일간베스트 웹 사이트 접속시 어떤 동작을 하는지 확인하도록 하였으며, 기본값에서는 에로물/성인물, 나체, 포르노 관련 사이트는 차단되도록 설정되어 있습니다.

설정 완료 후 Internet Explorer 웹 브라우저를 이용하여 일간베스트 접속시 "액세스 제한" 표시를 통해 해당 사이트는 에로물/성인물 범주에 포함되어 페이지를 열 수 없다는 메시지를 확인할 수 있습니다.

그렇다면 동일 수준의 타 보안 제품에서는 어떻게 반응하는지 확인하기 위하여 국내에서 판매되는 Kaspersky PURE 3.0 통합 보안 솔루션을 이용하여 확인해 보도록 하였습니다.

Kaspersky PURE 3.0 보안 제품에는 "자녀 보호 서비스" 기능(기본값 : OFF)을 통해 Trend Micro에서 제공하는 보호자 통제와 유사한 기능을 제공하고 있습니다.

자녀 보호 서비스 활성화를 위해서는 제어 레벨 선택에서 "청소년 프로필"로 설정하여 유사한 연령대를 적용하였습니다.

청소년 프로필의 "웹 브라우징 제어" 설정에서는 포르노, 폭력, 노골적인 언어와 같은 카테고리에 포함된 웹 사이트 차단을 기본값으로 제공하고 있습니다.

하지만 청소년을 기준으로 Kaspersky PURE 3.0 제품의 자녀 보호 서비스는 일간베스트 접속시 아무런 차단없이 이용이 가능한 것으로 확인되고 있습니다.

참고로 "어린이 프로필"로 설정하여도 노골적인 언어 사용이 심한 일간베스트 웹 사이트 접속시에는 차단이 이루어지지 않고 있습니다.

반대로 구글(Google) 검색을 통해 첫 페이지에 노출되는 해외 도박 사이트의 경우에는 "요청한 URL로의 접속이 차단되었습니다."와 같은 메시지를 통해 차단되는 모습을 발견할 수 있습니다.

결론적으로 Trend Micro 보호자 통제 기능이 Kaspersky 자녀 보호 서비스보다 효과적인 웹 차단을 한다고 결론을 내리는 것은 무의미하지만, 확실한 Trend Micro는 국내 웹 사이트에 대한 직접적인 분석을 통해 일간베스트를 청소년 유해 사이트로 지정한 것으로 보이며, Kaspersky는 한국에서 법인 설립 및 한글판 지원을 하고 있지만 아직은 국내 웹 사이트에 대한 정보가 부족한 것이 아닌가 판단됩니다.

제휴 프로그램 : UCC 스마트캡쳐(Ucc SmartCapture)

2013-10-22T21:16:00.001+09:00

유튜브(YouTube), 아프리카TV를 비롯한 인터넷 동영상을 다운로드할 수 있는 기능을 가진 "UCC 스마트캡쳐(Ucc SmartCapture)" 프로그램에 대해 살펴보도록 하겠습니다.

UCC 스마트캡쳐(Ucc SmartCapture) 프로그램의 배포 방식을 살펴보면 블로그 또는 신뢰할 수 없는 파일 자료실에 등록된 파일을 다운로드하여 실행할 경우 그림과 같은 파일 다운로드 창의 제휴 프로그램으로 추가되어 배포가 이루어지고 있습니다.

이로 인하여 배포 파일(MD5 : 0fa11edbbd90f8ccda2a622717fe3aa9)에 대하여 Kaspersky 보안 제품에서는 UDS:DangerousObject.Multi.Generic (VT : 4/48) 진단명으로 사전 차단이 이루어지고 있습니다.

프로그램 설치가 진행되면 Daum 서버에 등록된 첨부 파일을 추가적으로 다운로드하여 UCC 스마트캡쳐(Ucc SmartCapture) 프로그램 설치를 진행하며, 다운로드된 UccSmartCapture_Pack.exe 파일(MD5 : fd267b2d8ff1efa998e07333ef0f3c5d)에 대하여 Kaspersky 보안 제품에서는 Trojan.Win32.Agent.ackec (VT : 2/48) 진단명으로 진단되고 있습니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\UCC SmartCapture
C:\Program Files\UCC SmartCapture\Interop.SHDocVw.dll
C:\Program Files\UCC SmartCapture\Microsoft.mshtml.dll
C:\Program Files\UCC SmartCapture\UccSmartCapture.exe :: 프로그램 실행 파일
C:\Program Files\UCC SmartCapture\unins000.dat
C:\Program Files\UCC SmartCapture\unins000.exe :: 프로그램 삭제 파일
C:\Program Files\UCC SmartCapture\update_UCC.exe :: 시작 프로그램 등록 파일
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\UCC SmartCapture
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\UCC SmartCapture\UCC SmartCapture.lnk

UCC 스마트캡쳐(Ucc SmartCapture) 프로그램은 "C:\Program Files\UCC SmartCapture" 폴더에 파일을 생성하며, Windows 시작시 "C:\Program Files\UCC SmartCapture\update_UCC.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

자동 실행된 update_UCC.exe 파일은 기본적으로 Daum 서버로부터 UCC 스마트캡쳐(Ucc SmartCapture) 프로그램의 실행 파일(UccSmartCapture.exe - MD5 : 2308f9519c0220eac84cc2fc7d039eda)을 다운로드하여 "C:\Program Files\UCC SmartCapture\UccSmartCapture.exe" 파일을 수정할 수 있습니다.

하지만 추가적으로 UCC 관련 특정 서버로부터 암호화된 정보를 체크하는 부분이 존재하며 이를 통해 추가적으로 "UCC-Updater" 창 생성을 통해 추가적인 제휴 프로그램을 설치할 수 있지 않나 의심이 됩니다.

현재 UCC 스마트캡쳐(Ucc SmartCapture) 프로그램의 이용약관에서는 광고 등과 관련된 추가적인 정보가 포함되어 있지 않지만, 돈을 지불하고 다양한 배포 경로를 통해 광고가 포함되어 있지 않은 소프트웨어를 배포한다는 점에서 차후 수익 활동에 예상됩니다.

설치된 UCC 스마트캡쳐(Ucc SmartCapture) 프로그램을 실행하면 그림과 같은 프로그램이 실행되지만, 프로그램의 환경 설정에 표시된 자동 업데이트(update_UCC.exe) 체크를 체크 해제하여도 정상적으로 적용되지 않는 등 프로그램 품질에 문제가 있습니다.

프로그램 삭제는 제어판에 등록된 "UCC SmartCapture version 1.8.0" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 "C:\Program Files\UCC SmartCapture" 폴더를 찾아 수동으로 삭제하시기 바랍니다.

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- UCC SmartCapture = C:\Program Files\UCC SmartCapture\update_UCC.exe
HKEY_CURRENT_USER\Software\UCC SmartCapture
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{1E14EEBB-8EA3-4200-8CE2-D5539BBD8E1F}_is1

예전부터 사용자에게 유용한 기능을 제공하는 프로그램을 다양한 배포 경로를 통해 사용자가 제대로 인지하지 못하는 과정에서 설치가 이루어지도록 한 후, 특정 시점에서 업데이트 창 생성 등을 통해 추가적인 제휴 프로그램의 설치를 유도하는 마케팅 방법이 많이 발견되고 있었으므로 주의하시기 바랍니다.

쇼핑도우미(ShoppingHelp) - 나워데이(Nowaday)

2013-10-21T23:14:00.002+09:00

바탕 화면 우측 상단에 "반값 할인 쇼핑도우미" 아이콘을 생성하여 마우스를 위치할 경우 광고창이 노출되는 "쇼핑도우미(ShoppingHelp) - 나워데이(Nowaday)" 프로그램(MD5 : e898db904cf87101cfe451ba36606581)에 대해 살펴보도록 하겠습니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\ShoppingHelp
C:\Program Files\ShoppingHelp\ShoppingHelp.exe :: 예약 작업(SHelpTask) 등록 파일, 메모리 상주 프로세스
C:\Program Files\ShoppingHelp\Uninstall.exe :: 프로그램 삭제 파일
C:\Users\(사용자 계정)\AppData\Local\ShoppingHelp
C:\Users\(사용자 계정)\AppData\Local\ShoppingHelp\ShoppingHelp.png
C:\Windows\System32\Tasks\SHelpTask

해당 프로그램은 "C:\Program Files\ShoppingHelp" 폴더에 파일을 생성하며, 시스템 시작시 예약 작업에 등록된 "SHelpTask" 작업 스케줄러를 실행하여 "C:\Program Files\ShoppingHelp\ShoppingHelp.exe" 파일을 자동 실행하도록 구성되어 있습니다.

자동 실행된 ShoppingHelp.exe 파일은 시스템 트레이 알림 아이콘에 "쇼핑도우미" 프로그램을 생성하여 바탕 화면 우측 상단에 "반값 할인 쇼핑도우미" 아이콘을 생성합니다.

생성된 "반값 할인 쇼핑도우미" 아이콘에 마우스를 위치할 경우 좌측 영역에 "오늘의 특가"와 같은 광고창을 생성합니다.

또한 쇼핑도우미 프로그램이 설치된 환경에서는 Internet Explorer 웹 브라우저의 홈 페이지를 "나워데이(nowaday.co.kr?ad=s2n)"로 변경을 합니다.

위와 같은 광고 동작은 시스템 시작시 자동 실행된 ShoppingHelp.exe 파일을 통해 동작하므로, 프로그램 삭제시에는 시스템 트레이 알림 아이콘에 추가된 "쇼핑도우미" 프로그램을 종료하거나 Windows 작업 관리자를 실행하여 ShoppingHelp.exe 프로세스를 수동으로 종료하시기 바랍니다.

프로그램 삭제는 제어판에 등록된 "쇼핑도우미" 항목을 이용하여 삭제할 수 있습니다.

[생성 / 변경 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Start Page = (사용자 지정 홈 페이지 URL) :: 변경 전
- Start Page = http://nowaday.co.kr?ad=s2n :: 변경 후
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\ShoppingHelp
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\MAIN
- Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 :: 변경 전
- Start Page = http://nowaday.co.kr?ad=s2n :: 변경 후
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{E1C6977A-472A-4F46-9AF2-33D047F1CC56}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\SHelpTask

프로그램 삭제 후에는 변경된 홈 페이지 주소를 인터넷 옵션을 통해 사용자가 원하는 주소로 변경하시기 바랍니다.

검색 도우미 : 네이트 주소창 검색

2013-10-21T20:41:00.001+09:00

SK Communications 업체에서 서비스하는 네이트온(NateOn) 메신저를 설치하는 과정에서는 "네이트 주소창 검색" 프로그램을 제휴 프로그램으로 추가하여 사용자가 체크 해제를 하지 않고 설치할 경우 자동으로 설치되도록 제작되어 있습니다.

이로 인하여 프로그램 설치시 화면을 제대로 확인하지 않는 부주의한 사용자들은 자신이 원하지 않던 "네이트 주소창 검색" 프로그램이 설치되어 Internet Explorer 웹 브라우저의 설정을 변경되게 할 수 있습니다.

특히 이로 인하여 일부 사용자 환경에서는 프로그램 삭제시 정상적으로 삭제되지 않는 문제가 발생하거나, 프로그램 삭제 이후에도 "네이트 주소창 검색" 프로그램은 지속적인 기능 수행이 가능하다는 점에서 문제가 된다고 판단됩니다.

우선 "네이트 주소창 검색" 프로그램의 설치 방법을 살펴보면 네이트온(NateOn) 메신저의 설치 초기 단계의 이용약관 하단에 "네이트 주소창 검색 프로그램을 설치합니다." 항목을 통해 기본값으로 체크된 상태로 배포되고 있습니다.

이를 통해 사용자가 해당 체크 박스를 해제하지 않은 상태에서 네이트온(NateOn) 메신저 프로그램을 설치하면 "C:\Program Files\SK Communications\NATEON\BIN\setup_nas.exe" 파일로 생성된 "네이트 주소창 검색" 설치 파일(MD5 : 83e8c7756471d4f1f4592f61b99567f6)을 통해 설치가 진행됩니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\nate_as
C:\Program Files\nate_as\check.ini
C:\Program Files\nate_as\check.php
C:\Program Files\nate_as\Install.ini
C:\Program Files\nate_as\ldns.ini
C:\Program Files\nate_as\local_version.ini
C:\Program Files\nate_as\nate_as.dll
C:\Program Files\nate_as\nate_as.exe :: 시작 프로그램(Nate) 등록 파일
C:\Program Files\nate_as\nate.ico
C:\Program Files\nate_as\patch.exe
C:\Program Files\nate_as\server_version.ini
C:\Program Files\nate_as\unins000.dat
C:\Program Files\nate_as\unins000.exe :: 프로그램 삭제 파일
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\네이트 주소창 검색
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\네이트 주소창 검색\안내 페이지.url
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\네이트 주소창 검색\프로그램 제거.lnk

"네이트 주소창 검색" 프로그램은 "C:\Program Files\nate_as" 폴더에 파일을 생성하며, Windows 시작시 "C:\Program Files\nate_as\nate_as.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되어 업데이트 체크를 하도록 구성되어 있습니다.

프로그램이 설치된 환경에서는 Internet Explorer 웹 브라우저의 검색 공급자에 "네이트"를 추가하여 기본 검색 공급자로 변경을 유도합니다.

이를 통해 사용자가 Internet Explorer 웹 브라우저의 주소 표시줄에 검색어를 입력하여 검색을 시도할 경우 "search.nate.com/search/search.asp?SearchField=1&q={searchTerms}&query={searchTerms}" 검색 주소를 참조하여 네이트(Nate) 검색 결과로 연결됩니다.

프로그램 삭제는 제어판에 등록된 "네이트 주소창 검색"을 통해 삭제할 수 있으며, 일부 환경에서 프로그램 삭제가 되지 않을 때는 생성 폴더(파일), 레지스트리 정보를 참고하여 수동으로 삭제를 진행하시기 바랍니다.

[생성 / 변경 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes
- DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} :: 변경 전
- DefaultScope = {972AF77D-A24C-4993-9366-7859D38CC51C} :: 변경 후
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchScopes\{972AF77D-A24C-4993-9366-7859D38CC51C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- Nate = C:\Program Files\nate_as\nate_as.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\네이트 주소창 검색_is1
HKEY_LOCAL_MACHINE\SOFTWARE\Nate\Nateas

"네이트 주소창 검색" 프로그램의 문제는 다른 검색 공급자 변경을 시도하는 프로그램도 그렇지만 프로그램 삭제 이후에도 변경된 기본 검색 공급자를 이전 상태로 복원하지 않는다는 점입니다.

이로 인하여 "네이트 주소창 검색" 프로그램을 삭제한 이후에도 주소창 검색을 시도할 경우 지속적으로 네이트(Nate) 검색으로 연결되기에 다음과 같은 추가적인 사용자의 변경이 필요합니다.

Internet Explorer 웹 브라우저의 "추가 기능 관리"의 "검색 공급자"에 등록된 목록 중 사용자가 기존에 사용하던 검색 공급자를 선택한 후 "기본값으로 설정" 버튼을 클릭하시기 바랍니다.

그 후 "네이트" 항목을 선택하여 "제거" 버튼을 클릭하시면 "네이트 주소창 검색" 설치로 인해 변경되었던 검색 공급자를 수정할 수 있습니다.

제휴(스폰서) 프로그램 : DalTong Widget Engine

2013-03-24T20:08:00.004+09:00

바탕 화면에 다양한 위젯(가젯)을 표시할 수 있는 "DalTong Widget Engine" 프로그램(MD5 : 895deef6731e48311ac2cab75b46929d)에 대해 살펴보도록 하겠습니다.

배포 파일을 통해 설치가 진행되면 특정 서버로부터 프로그램 설치 파일 DalTongIOnly.exe (MD5 : 0cea4b5fc0ae215b3a06741d9c8199dd)을 다운로드하여 진행됩니다.

[생성 폴더 / 파일 등록 정보]

C:\#dal_temp
C:\#dal_temp\agree.htm
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\bass.dll
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\basscd.dll
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\bassflac.dll
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalLocalVer.dat
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalServerVer.dat
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTong.exe :: 프로그램 실행 파일
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongD.exe :: 프로그램 삭제 파일
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongDownloadAx.ocx
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongEx.exe
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongHelper.ocx
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongList
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongMan.exe :: 메모리 상주 프로세스
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongPlayer.dll
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongU.exe :: 시작 프로그램 등록 파일
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalVer.dat
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\tags.dll
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\Temp

해당 프로그램은 "C:\Documents and Settings\(사용자 계정)\My Documents\Daltong" 폴더에 파일을 생성하며, Windows 시작시 DalTongU.exe 파일을 시작 프로그램으로 등록하여 업데이트 체크를 하도록 구성되어 있습니다.

자동 실행된 DalTongU.exe 파일은 DalTongMan.exe 파일을 로딩하여 메모리에 상주하도록 구성되어 있습니다.

이렇게 설치된 "DalTong Widget Engine" 프로그램은 기본적으로 "C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongList" 폴더 내부에 위젯(가젯)이 등록되어 있지 않는 문제로 인해 어떠한 동작도 일어나지 않습니다.

정상적인 프로그램 사용을 위해서는 사용자가 "달통엔진(DalTong Engine)" 웹 사이트에 등록된 특정 위젯(가젯) 파일을 다운로드하여 등록해야 합니다.

하지만 "DalTong Widget Engine" 프로그램은 외부 프로그램의 제휴(스폰서) 프로그램을 통해 배포가 이루어지며, 사용자의 부주의한 동의 과정을 거쳐 설치되어 프로그램을 통해서는 공식 웹 사이트를 확인할 수 없을 것으로 판단됩니다.

정상적으로 위젯(가젯)이 등록된 경우 DalTong.exe 프로세스 생성을 통해 바탕 화면에 해당 위젯이 표시되며, 등록된 위젯은 "C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongList" 폴더 내에 생성됩니다.

그러므로 제휴(스폰서) 프로그램을 통해 배포되는 "DalTong Widget Engine" 프로그램은 기본 설치 상태에서는 시스템 자원만 낭비하는 것으로 보이므로 삭제를 권장합니다.

프로그램 삭제를 위해서는 Windows 작업 관리자를 실행하여 DalTongMan.exe 프로세스를 찾아 수동으로 종료한 후, 제어판에 등록된 "DalTong Widget Engine" 삭제 항목을 이용하여 삭제할 수 있습니다.

프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 찾아 수동으로 삭제하시기 바랍니다.

C:\#dal_temp
C:\#dal_temp\agree.htm
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongD.exe
C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongList

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\Daltong
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- DalTongStart = C:\Documents and Settings\(사용자 계정)\My Documents\Daltong\DalTongU.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\daltong
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\.daltong
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4ECFC05D-1B7C-4DBA-922F-0370FE7C3993}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6EF1925A-E376-49C9-8536-B15273EC8DFA}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A1C8538C-598F-4298-80A7-0AD4F021D633}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F5B13D3F-8B5C-431B-BD4C-28E7AFD41E43}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DALTONGDOWNLOADAX.DalTongDownloadAxCtrl.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DaltongFormat
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\DALTONGHELPER.DalTongHelperCtrl.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{106B0818-DCDE-40EF-A1E3-88BB81D2DED2}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1421A601-A92A-455C-B546-7AE9B7FAB9FE}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6EF3E336-1CB4-4059-A060-9F06885C26E2}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E1EE38EC-2853-493A-A094-03754ECA11DC}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{3DA24F9F-83E5-47C8-9A78-590416D4C630}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{8DB03EAB-5C67-47D2-9EFF-D055EDFDE4F2}

일반적으로 프로그램 설치 과정에서 추가된 제휴(스폰서) 프로그램은 설치시 백그라운드 방식으로 다양한 프로그램들이 함께 설치되는 문제로 사용자가 어떤 기능을 하는 프로그램이 설치되는지 제대로 인지하지 못할 가능성이 높으므로 주의하시기 바랍니다.

검색 도우미 : DirectKeyword2 - DirectKeywordUpdateService

2013-03-23T21:33:00.002+09:00

인터넷 검색시 추가적인 광고창을 생성하는 검색 도우미 "DirectKeyword2 - DirectKeywordUpdateService" 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램의 설치 파일(MD5 : f5d6cec176bb6b7d917c948fa8ea4426)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.DirectKeyword (VirusTotal : 7/46) 진단명으로 진단되고 있습니다.

<울지않는벌새 블로그> 검색 도우미 : 다이렉트키워드(DirectKeyword) (2011.6.24)

<울지않는벌새 블로그> 검색 도우미 : 다이렉트키워드(DirectKeyword) - DirectKeyword2 (2011.8.11)

또한 기존의 다이렉트키워드(DirectKeyword) 검색 도우미 프로그램의 변형된 버전이므로 참고하시기 바랍니다.

[생성 폴더 / 파일 등록 정보]

C:\Documents and Settings\All Users\Application Data\DirectKeyword2

C:\Documents and Settings\All Users\Application Data\DirectKeyword2\DirectKeyword2.exe :: 시작 프로그램 등록 파일 / 메모리 상주 프로세스 / 프로그램 삭제 파일

C:\Documents and Settings\All Users\Application Data\DirectKeyword2\DirectKeywordUpdateService.exe :: 서비스(DirectKeywordUpdateService) 등록 파일 / 메모리 상주 프로세스

[생성 파일 진단 정보]

C:\Documents and Settings\All Users\Application Data\DirectKeyword2\DirectKeyword2.exe

- MD5 : 43a89d968dc5dd73d9312fa43cdc69a7

- AhnLab V3 : Win-PUP/Helper.DirectKeyword.285296 (VirusTotal : 3/46)

C:\Documents and Settings\All Users\Application Data\DirectKeyword2\DirectKeywordUpdateService.exe

- MD5 : 0490b5078c8203b61d86b5ba53f01076

- AhnLab V3 : PUP/Win32.DirectKeyword (VirusTotal : 3/46)

해당 프로그램은 "C:\Documents and Settings\All Users\Application Data\DirectKeyword2" 폴더에 파일을 생성하며, 시스템 시작시 다음과 같은 서비스와 시작 프로그램(Run) 등록을 통해 자동으로 실행되도록 구성되어 있습니다.

1. 서비스 : DirectKeywordUpdateService

"DirectKeywordUpdateService" 서비스 항목을 등록하여 시스템 시작시 "C:\Documents and Settings\All Users\Application Data\DirectKeyword2\DirectKeywordUpdateService.exe" 파일을 자동으로 실행하도록 구성되어 있습니다.

자동 실행된 서비스 파일(DirectKeywordUpdateService.exe)은 사용자 Mac Address 값을 기반으로 한 체크 동작 및 DirectKeyword2.exe 파일을 로딩하는 기능을 수행합니다.

2. 시작 프로그램 : DirectKeyword2.exe

시스템 시작시 DirectKeyword2.exe 파일을 시작 프로그램으로 등록하여 자동 실행된 파일은 업데이트 체크, 네이버(Naver) 쿼리 전송, 광고 구성값 체크를 하도록 구성되어 있습니다.

3. 광고 동작

프로그램이 설치된 환경에서는 인터넷 검색을 하는 과정에서 자동으로 광고창이 생성되는 동작을 확인할 수 있습니다.

해당 광고 동작은 메모리에 상주하는 DirectKeyword2.exe 프로세스를 통해 이루어지므로, 광고 동작 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 통해 DirectKeyword2.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.

또한 서비스로 등록된 DirectKeywordUpdateService.exe 프로세스를 종료하기 위해서는 실행창에 [sc stop "DirectKeywordUpdateService"] 명령어를 입력하여 서비스를 종료하시기 바랍니다.

프로그램 삭제는 제어판에 등록된 "DirectKeyword2" 삭제 항목을 이용하여 삭제할 수 있습니다.

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\GOMSEK.COM
HKEY_CURRENT_USER\Software\GOMSEK.COM\DirectKeyword2
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- DirectKeyword2 = "C:\Documents and Settings\All Users\Application Data\DirectKeyword2\DirectKeyword2.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\DirectKeyword2
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{FD532C54-FC82-4C97-9E7C-FB4397203A44}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\DirectKeywordUpdateService.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{2402B2ED-0F0A-4E5F-89A2-8BD09140352C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- DirectKeyword2 = C:\Documents and Settings\All Users\Application Data\DirectKeyword2\DirectKeyword2.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_DIRECTKEYWORDUPDATESERVICE
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DirectKeywordUpdateService

해당 프로그램은 인터넷 이용시 원치 않는 광고창 생성으로 속도 저하 및 불편을 유발할 수 있으므로 주의하시기 바랍니다.