국내 악성코드 : Win Search for rolypop

국내 특정 인터넷 쇼핑몰에 접속시 사용자 몰래 광고 코드를 추가하는 Win Search for rolypop 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램은 특정 광고 프로그램을 통해 사용자 몰래 설치가 이루어지고 있으며, 설치 파일(MD5 : 61f0ccc2ec1f6af8328d8280106b975f)에 대하여 ESET NOD32 보안 제품에서는 a variant of Win32/Adware.Kraddare.CZ (VirusTotal : 6/40) 진단명으로 진단되고 있습니다.

  ▷ 검색 도우미 : SearchFree - Win Search forsearchfree (2010.4.20)

  ▷ 검색 도우미 : Win Search forezlinker (2011.3.1)

  ▷ 검색 도우미 : Win Search forsmartfinder (2011.4.11)

  ▷ 검색 도우미 : Win Search forservice2 (2011.7.9)

  ▷ 검색 도우미 : Win Search forhantiat6 + winsearchshop 1.00 (2011.8.12)

  ▷ 국내 악성코드 : Win Search forsecretkey (2011.9.6)

  ▷ 국내 악성코드 : Win Search for finalget (2011.10.21)

  ▷ 국내 악성코드 : Win Search forxercle (2011.11.8)

  ▷ 검색 도우미 : Win Search fortruepod (2011.11.15)

  ▷ 국내 악성코드 : Win Search forozplus (2011.12.18)

해당 프로그램은 기존의 Win Search for 시리즈 광고 프로그램으로 알려져 있으므로 참고하시기 바랍니다.

[생성 폴더 / 파일 등록 정보]

C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop :: 숨김(H) 속성
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop\evdat2.dmc
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop\rolypop.dll :: BHO 등록 파일
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop\rolypops.exe :: 시작 프로그램 등록 파일
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop\uninstall.exe :: 프로그램 삭제 파일
C:\WINDOWS\system32\sircheckfile.dat

[생성 파일 진단 정보]

C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop\rolypop.dll
 - MD5 : 2aa0a4b4de84a3508823083da033940a
 - ESET NOD32 : a variant of Win32/Delf.QLU (VirusTotal : 6/43)

C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop\rolypops.exe
 - MD5 : ce93b77081cc79769faca7d6173bcca0
 - Microsoft : TrojanDownloader:Win32/Pluzoks.A (VirusTotal : 13/43)

해당 프로그램은 사용자가 인지하기 어려운 숨김(H) 속성의 "C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop" 폴더 내부에 파일을 생성하며, Windows 시작시 rolypops.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

프로그램이 설치된 환경에서 사용자가 11번가, G마켓, 옥션과 같은 특정 인터넷 쇼핑몰에 접속할 경우 특정 광고 코드(click.clickstory.co.kr)를 추가한 형태로 접속하도록 제작되어 있습니다.

이를 통해 특정 조건을 만족시킬 경우 프로그램 제작자(배포자)에게 금전적 수익이 발생할 것으로 보입니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

이름 : O
유형 : 브라우저 도우미 개체
CLSID : {556F50CF-FDBD-41B0-BA02-E4AF2F9385EC}
파일 : C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop\rolypop.dll

해당 프로그램은 Internet Explorer 웹 브라우저가 실행될 경우 iexplore.exe 프로세스에 rolypop.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 키워드 감시를 통해 특정 인터넷 쇼핑몰에 접속시 광고 코드를 추가하도록 구성되어 있습니다.

그러므로 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "O" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "Win Search for rolypop" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 "C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop" 폴더를 수동으로 삭제하시기 바랍니다.

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - rolypopv3 = C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\rolypop\rolypops.exe
HKEY_CURRENT_USER\Software\rolypoppp
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{556F50CF-FDBD-41B0-BA02-E4AF2F9385EC}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\rolypop.P
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\rolypop
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{556F50CF-FDBD-41B0-BA02-E4AF2F9385EC}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
rolypop

해당 프로그램은 프로그램 목록에 제시되지 않는 문제로 설치 여부를 확인하기 어려우며, 프로그램 설치 폴더가 숨김 속성의 비정상적인 폴더 위치에 존재하므로 주의하시기 바랍니다.