참고로 해당 파일에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.MicroDownload (VirusTotal : 1/43) 진단명으로 진단되고 있으므로 참고하시기 바랍니다.
여기에서 몇 가지 사용자 눈을 속이기 위한 트릭(Trick)이 숨어 있으며 세부적으로 다음과 같습니다.
이를 통해 사용자 입장에서 안내 메시지를 읽지 않고 종료를 목적으로 "예" 버튼을 클릭할 경우에는 추가된 광고 프로그램이 모두 설치된 후 종료가 이루어지게 되어 있으므로 주의하시기 바랍니다.
이렇게 설치되는 다양한 제휴(스폰서) 프로그램은 무엇인가 간단하게 살펴보도록 하겠으며, 1차적으로 설치된 프로그램(12종)이 또 다시 사용자 몰래 추가적으로 5종의 광고 프로그램을 설치하여 최종적으로 17종의 광고 프로그램이 설치되고 있습니다.(※ 해당 광고 프로그램의 종류는 배포자의 의도에 따라 변경될 수 있습니다.)
(1) 제휴(스폰서) 프로그램 : pds launcher control 2.1 + windows pds update 1.1 (2012.1.31)
- h**p://******.mindtop.kr/111221/***_up/launc.exe (MD5 : 94879888769e366f7cbd4b3c555a3b43) : pds launcher control 2.1 프로그램
- h**p://******.mindtop.kr/120106/*****_md/pds.exe (MD5 : 92deffcec2a175f122a8194010ea09f0) : windows pds update 1.1 프로그램
설치된 pds launcher control 2.1 프로그램은 서비스에 자신을 등록하여 1분이 경과하는 시점에서 사용자 동의없이 추가적으로 5종의 프로그램을 설치하는 동작이 있습니다.
(1-1) 글자수 세기 프로그램 "System count Lab"
- h**p://******.greenkeep.kr/120315/******/Wordcntje.exe (MD5 : c7f89fa9dccd9a6f2a59428b3968fb9a)
(1-2) 개인정보 보안 솔루션 : 파일보안(FileBoan) (2011.10.31)
- h**p://******.greenkeep.kr/120315/******/fileboansetup_run.exe (MD5 : 4426a7802c93e9206692eb66ece58b43) - AhnLab V3 : Trojan/Win32.Fakeav (VirusTotal : 12/42)
(1-3) 검색 도우미 : SmartTool (2011.4.11)
- h**p://******.greenkeep.kr/120315/******/SmartTool__SM83.exe (MD5 : 4f2e28e9b0703b5a00ad0f7aedfb1974) - nProtect : Trojan-Downloader/W32.Agent.66008.B (VirusTotal : 17/43)
(1-4) 검색 도우미 : GuideOn (2011.4.14)
- h**p://******.greenkeep.kr/120315/******/GuideOn__GO83.exe (MD5 : 41ad096cba55de9bf1c2c789a74b9c24) - Hauri ViRobot : Trojan.Win32.Fosniw.146528 (VirusTotal : 35/42)
(1-5) 즐겨찾기 및 바탕 화면 바로가기 아이콘 생성 : 삭제 미지원
- h**p://******.greenkeep.kr/120315/******/barcorn.exe (MD5 : 12a0b9bf275fcca85a88c7c065580825)
C:\Documents and Settings\(사용자 계정)\Favorites\★2012년★ 최신무료 영화.url
C:\Documents and Settings\(사용자 계정)\Favorites\11번가.url
C:\Documents and Settings\(사용자 계정)\Favorites\d&shop.url
C:\Documents and Settings\(사용자 계정)\Favorites\G마켓.url
C:\Documents and Settings\(사용자 계정)\Favorites\옥션.url
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\flashup.exe :: 숨김(H) 속성 폴더
C:\Documents and Settings\(사용자 계정)\바탕 화면\★2012년★ 최신무료 영화.lnk
C:\Documents and Settings\(사용자 계정)\바탕 화면\12년도 11번가 .lnk
C:\Documents and Settings\(사용자 계정)\바탕 화면\G마켓 - 놀라움을 쇼핑하다, G마켓.lnk
C:\Documents and Settings\(사용자 계정)\바탕 화면\옥션 - 앞으로의 인터넷쇼핑, 옥션.lnk
C:\WINDOWS\11s1.ico
C:\WINDOWS\act1.ico
C:\WINDOWS\gma1.ico
C:\WINDOWS\webhard.ico
GET /log/?modeAct=install&imac=(사용자 Mac Address)&icode=barc HTTP/1.1
User-Agent: flashup
Host: www.totallog.co.kr
설치 과정에서 flashup.exe 파일은 특정 로그(Log) 서버에 설치된 PC의 Mac Address 정보를 전송합니다.
해당 프로그램은 즐겨찾기와 바탕 화면에 추천인 아이디가 포함된 최신 무료 영화(웹하드) 바로가기 아이콘과 광고 코드가 추가된 인터넷 쇼핑몰(11번가, 옥션, G마켓) 바로가기 아이콘이 생성됩니다.
해당 프로그램을 삭제하기 위해서는 삭제 기능이 존재하지 않으므로 수동으로 생성 파일들은 찾아 삭제하시기 바랍니다.
"pds launcher control 2.1" 윈도우 종료 매니저 프로그램을 통해 사용자 몰래 설치된 프로그램들은 제어판에 등록된 "fileboan, GuideOn, processdata, SmartTool, System count Lab ." 삭제 항목을 이용하여 삭제하시기 바랍니다.
(2) <Right Security Blog> 제휴(스폰서) 프로그램 : 파일함 탐색기 (2012.1.3)
- h**p://www.fileham.com/ad/*****/exad014.exe (MD5 : 1b0da974b30ca1b34fb0c0b6c6f3a07c)
(3) 검색 도우미 : Addendum - addentool (2011.10.3)
- h**p://******.mindtop.kr/120306/*******/setup_p006.exe (MD5 : 3bfaf6ebc237eff1a64e91419044a7f0)
(4) 검색 도우미 : WallTab (2011.9.4)
- h**p://******.mindtop.kr/120118/*******/WallTab__WT10.exe (MD5 : d024318c23eb4b5eacf61bb905865913) - AhnLab V3 : PUP/Win32.NBiz (VirusTotal : 13/42)
(5) 검색 도우미 : FineTop (2011.8.19)
- h**p://******.mindtop.kr/111221/*******/FineTop__FT81.exe (MD5 : 26c59a11ff9991b3f34d434c7fd2a3ef) - Hauri ViRobot : Adware.FineTop.73000.B (VirusTotal : 9/42)
(6) 모빈포인츠(MobinPoints)
- h**p://******.mindtop.kr/120207/*******/setup_c32065_mobinpoints.exe (MD5 : 29c8f5c38bb59f54c96858ea47a1b2a5)
해당 프로그램은 "모던플러스(ModernPlus)" 시리즈 검색 도우미 프로그램으로 인터넷 검색시 포털 사이트 검색 결과를 변조하여 광고를 생성하는 기능이 있는 것으로 알려져 있습니다.
참고로 해당 시리즈는 다양한 이름으로 배포되는 과정에서 기존에 모던플러스(ModernPlus) 프로그램이 설치되었던 환경에서는 설치가 되지 않으므로 실제 정상적으로 설치되지 않을 수 있습니다.
(7) 검색 도우미 : Keyword Find (2011.11.25)
- h**p://******.mindtop.kr/120210/*******/utildown.exe (MD5 : d00a5ca86dcbee73701eea6b4af8333a)
(8) 제휴(스폰서) 프로그램 : MicroWebAD Installer 1.1 (2011.9.16)
- h**p://******.mindtop.kr/111221/*******/microWebAD_install_G.exe (MD5 : 8843607b3827f4ff4d73489f7ef73051) - Hauri ViRobot : Adware.Agent.1509232 (VirusTotal : 20/43)
(9) 검색 도우미 : Advenced Top C Manager (2012.3.15)
- h**p://******.mindtop.kr/120314/*******/TC_Channel68.exe (MD5 : 6f49cc3d9f94eecedcb1b445c768ae2a) - AhnLab V3 : Win-PUP/Helper.Werping.502824 (VirusTotal : 1/43)
(10) 야후(Yahoo) 시작 페이지 변경, 즐겨찾기 및 바탕 화면 바로가기 아이콘 생성 : 삭제 미지원
- h**p://******.mindtop.kr/120309/******/barcon.exe (MD5 : 5604a129e5102e4fc26faaeea6c931a9) - Hauri ViRobot : Adware.Agent.72742 (VirusTotal : 18/43)
C:\Documents and Settings\(사용자 계정)\Favorites\★2012년★ 최신무료 영화.url
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\yhsen.exe :: 숨김(H) 속성 폴더
C:\Documents and Settings\(사용자 계정)\바탕 화면\★2012년★ 최신무료 영화.lnk
C:\WINDOWS\webhard.ico
[생성 / 변경 레지스트리 등록 정보]
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- Start Page = (사용자 지정 시작 페이지 URL) :: 변경 전
- Start Page = http://kr.yahoo.com/?ilc=128 :: 변경 후
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Main
- Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 :: 변경 전
- Start Page = http://kr.yahoo.com/?ilc=128 :: 변경 후
※ 레지스트리 편집기(regedit)를 실행하여 "변경 후" 값을 "변경 전" 값으로 수정하시기 바랍니다.
GET /install.asp?id=127&mac=(사용자 Mac Address) HTTP/1.1
User-Agent: yhsen
Host: ilc.nbz.co.kr
프로그램 설치 과정에서 yhsen.exe 파일은 설치되는 PC의 Mac Address 정보를 특정 서버로 전송하는 동작을 합니다.
해당 프로그램은 사용자가 지정한 홈 페이지를 특정 코드가 포함된 야후(Yahoo)로 시작 페이지를 변경합니다.
또한 바탕 화면에는 추천인 아이디가 포함된 웹하드 바로가기 아이콘(★2012년★ 최신무료 영화)이 생성되며, 즐겨찾기 항목에도 동일한 바로가기 아이콘이 추가됩니다.
그러므로 삭제 기능을 제공하지 않는 해당 프로그램은 사용자가 생성 파일 및 레지스트리 정보를 참고하여 수동으로 삭제 및 수정을 하시기 바랍니다.
(11) 검색 도우미 : Win shopping icon guide (2011.11.30)
- h**p://******.mindtop.kr/120215/*******/install_Shortcut_20355604.exe (MD5 : 52106d1db809fcd4535dd9d09f9b111d) - Hauri ViRobot : Adware.Agent.163800 (VirusTotal : 6/43)
이상의 프로그램을 삭제하시기 위해서는 각 프로그램별 분석 링크 정보를 참고하시기 바라며, 제어판에서 다음과 같은 삭제 항목을 이용하여 삭제를 하시기 바랍니다.
다운로드 과정에서 비록 사용자 동의를 얻어서 설치된 프로그램들(※ 동의를 얻어서 설치된 프로그램은 그 이후에는 동의없이 설치하는 경우도 많습니다.)은 다양한 광고창 생성, 시작 페이지 변경, 사이드바 생성, 바로가기 아이콘 생성, 추가적인 프로그램 설치 등 시스템에 많은 문제와 불편을 유발할 수 있습니다.
그러므로 프로그램 다운로드는 잘 알려진 공개 자료실(심파일, 앳파일) 또는 제작사 홈페이지를 이용하시기 바라며, 프로그램 설치시에는 추가적으로 설치되는 요소가 없는지 꼼꼼하게 살피는 습관을 가지시기 바랍니다.(※ 이런 방식이라면 웬만해서 다운로드를 막을 수 없을 것 같지만... 
)