참고로 해당 프로그램의 설치 파일(MD5 : 17b6a125840a8c32054f60b786d43f4d)에 대하여 안철수연구소(AhnLab) V3 보안 제품에서는 Trojan/Win32.HDC (VirusTotal : 11/42) 진단명으로 진단하고 있으므로 참고하시기 바랍니다.
해당 프로그램은 최근에 동일한 이름과 기능을 가진 변종 프로그램을 통해 사용자 몰래 다수의 상업적 목적의 프로그램을 설치한 사례가 있으므로 주의가 필요합니다.
C:\Program Files\onestep
C:\Program Files\onestep\ls.plc
C:\Program Files\onestep\onestep.dll :: 탐색창 관련 파일
C:\Program Files\onestep\onestepb.dll :: BHO 등록 파일
C:\Program Files\onestep\onestepe.exe :: 시작 프로그램 등록 파일
C:\Program Files\onestep\uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\onestep\onestep.dll
- MD5 : 5dd80ad77bf1fb3b53f8a59f971a2053
- nProtect : Trojan-Clicker/W32.UBar.1378304 (VirusTotal : 8/42)
해당 프로그램은 [C:\Program Files\onestep] 폴더에 파일을 생성하며, Windows 시작시 onestepe.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
프로그램이 설치된 환경에서 인터넷 검색시 웹 브라우저 하단에 그림과 같은 광고바가 생성되는 것을 확인할 수 있으며, 해당 광고바는 "O"라는 이름으로 표기가 되어 있는 특징이 있습니다.
이름 : onestep
유형 : 브라우저 도우미 개체
CLSID : {99D4AFE9-63C8-46E4-A71D-A6CFD6812F84}
파일 : C:\Program Files\onestep\onestepb.dll
이름 : O
유형 : 탐색창
CLSID : {154D777A-9479-4565-BC4D-D25D6614E067}
파일 : C:\Program Files\onestep\onestep.dll
해당 프로그램은 Internet Explorer 웹 브라우저에서 onestepb.dll 파일을 브라우저 도우미 개체(BHO), onestep.dll 파일을 탐색창으로 등록하여 키워드 감시를 통한 광고바를 생성하는 기능을 합니다.
그러므로 해당 광고 동작의 중지를 위해서는 웹 브라우저에서 제공하는 추가 기능 관리에 등록된 onestep, O 2개의 항목을 선택하여 [사용 안 함]으로 변경하시기 바랍니다.
프로세스 정보를 살펴보면 Internet Explorer 웹 브라우저를 실행할 경우 iexplore.exe 프로세스에 onestepb.dll 파일을 BHO 방식으로 추가하여 동작하는 것을 확인할 수 있습니다.
프로그램 삭제 후에는 추가적으로 [C:\Program Files\onestep] 폴더를 수동으로 삭제하시기 바랍니다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- onestep = C:\Program Files\onestep\onestepe.exe
HKEY_CURRENT_USER\Software\noonestep
HKEY_CURRENT_USER\Software\noone-step
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{154D777A-9479-4565-BC4D-D25D6614E067}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{99D4AFE9-63C8-46E4-A71D-A6CFD6812F84}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\onestep.one
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\onestep
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{99D4AFE9-63C8-46E4-A71D-A6CFD6812F84}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
onestep
해당 프로그램은 프로그램 목록에 제시되지 않는 문제와 프로그램 삭제 이름과 폴더명이 다른 문제로 사용자가 설치 여부를 확인하기 어렵습니다.
또한 생성되는 광고바로 어떤 프로그램으로 인한 동작인지 확인하기 어려우며, 기존의 사례와 같이 차후 사용자 몰래 추가적인 프로그램을 설치할 가능성이 존재하므로 주의하시기 바랍니다.