본문 바로가기

벌새::Analysis

검색 도우미 : cwinabout

반응형
국내에서 제작되어 인터넷 검색시 웹 브라우저 상단에 광고바가 생성되는 검색 도우미 cwinabout 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램의 설치 파일(MD5 : e147d34321f91f1d1e91e541deee9baa)에 대하여 하우리 바이로봇(Hauri ViRobot) 보안 제품에서는 Trojan.Win32.S.BHO.180768 (VirusTotal : 5/42) 진단명으로 진단되므로 참고하시기 바랍니다.

해당 프로그램은 기존의 CKLBar와 유사성이 있으므로 참고하시기 바랍니다.

[생성 폴더 / 파일 등록 정보]

C:\Documents and Settings\(사용자 계정)\cwinabout_query_list.txt
C:\Program Files\cwinabout
C:\Program Files\cwinabout\cwinabout.dll :: BHO 등록 파일
C:\Program Files\cwinabout\cwinaboutagent.exe :: 시작 프로그램 등록 파일
C:\Program Files\cwinabout\uninstall.exe :: 프로그램 삭제 파일

해당 프로그램은 Windows 시작시 cwinaboutagent.exe 파일을 시작 프로그램으로 등록하여 자동 실행되며, 실행된 파일은 특정 서버에 접속하여 업데이트 기능을 가지고 있습니다.

[cwinaboutagent.exe 네트워크 연결 정보]

GET /update/files.php?ver=2,(생략)&instdate=2011042214&pid=base&mac=(사용자 Mac Address) HTTP/1.1
Accept: */*
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; Trident/4.0; .NET4.0C; .NET CLR 1.1.4322; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; InfoPath.2)
Host: update.cwinabout.com
Connection: Keep-Alive

참고로 해당 업데이트 서버는 국내 악성코드 WinSoft 서버와 연관성이 있으므로 차후 사용자 몰래 악성 파일을 다운로드할 수 있는 가능성이 있을 것으로 추정됩니다.


프로그램이 설치된 환경에서 사용자가 인터넷 검색을 시도할 경우 웹 브라우저 상단에 광고바가 생성되는 것을 확인할 수 있습니다.


[추가 기능 관리 : 도구 모음 및 확장 프로그램]

cwinabout Class

 - 게시자 : torangcommunications
 - CLSID : {9A36A1C6-4B10-470F-A10F-932D597B3021}
 - 파일 : C:\Program Files\cwinabout\cwinabout.dll

cwinabout Class
- 게시자 : torangcommunications
- CLSID : {D9AB9559-DB75-44A2-871F-8BC5BB9CA63A}
- 파일 : C:\Program Files\cwinabout\cwinabout.dll

해당 광고 기능을 중지하기 위해서는 추가 기능 관리에 등록된 cwinabout Class 항목을 선택하여 [사용 안 함]으로 변경하시기 바랍니다.


프로세스 정보를 살펴보면 사용자가 Internet Explorer 웹 브라우저를 실행할 경우 iexplore.exe 프로세스에 cwinabout.dll 파일을 BHO 방식으로 추가하여 동작하는 것을 확인할 수 있습니다.


프로그램 삭제시에는 모든 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 [cwinabout] 삭제 항목을 이용하여 삭제하실 수 있습니다.

프로그램 삭제 후 제어판의 삭제 항목이 제대로 제거되지 않는 문제가 확인되므로 다시 한 번 삭제를 클릭하시면 제거 프로그램 오류창이 생성되며, [예] 버튼을 클릭하여 최종적으로 삭제 항목을 제거할 수 있습니다.

프로그램 삭제 후에는 추가적으로 [C:\Documents and Settings\(사용자 계정)\cwinabout_query_list.txt] 파일을 수동으로 삭제하시기 바랍니다.

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - cwinaboutagent = C:\Program Files\cwinabout\cwinaboutagent.exe
HKEY_CURRENT_USER\Software\cwinabout
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\cwinabout.DLL
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{5A481CDA-3609-4E34-AE0F-AD00F1C29CEA}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{363058D7-E287-4FCC-AFD5-77734639EE57}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9A36A1C6-4B10-470F-A10F-932D597B3021}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D9AB9559-DB75-44A2-871F-8BC5BB9CA63A}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{0004CFF3-D283-4F64-8413-63C9EF7B0010}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{AFCB1B80-564B-4576-A7E3-9EE8A819B4F5}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{EE205EFC-E30D-4D35-9025-F1FA3825DF14}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{FEC3AF07-DF4F-46AD-AA7D-F45D69683043}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cwinabout.cwinabout
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cwinabout.cwinabout.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cwinabout.torcom
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cwinabout.torcom.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cwinabout.tside
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cwinabout.tside.1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{9A36A1C6-4B10-470F-A10F-932D597B3021}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{D9AB9559-DB75-44A2-871F-8BC5BB9CA63A}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
cwinabout


해당 프로그램은 프로그램 목록에 제시되지 않는 점과 업데이트 기능으로 인하여 차후 다른 프로그램이 설치될 수 있다는 점에서 주의하시기 바랍니다.
728x90
반응형