본문 바로가기

벌새::Analysis

검색 도우미 : 윈도우즈탭(WindowsTab)

반응형

Internet Explorer 웹 브라우저 실행시 About-Tab 페이지로 자동 이동되며, 인터넷 검색 과정에서 순위 가격 비교(SoonWe) 사이트가 연결되는 검색 도우미 윈도우즈탭(WindowsTab) 프로그램에 대해 살펴보도록 하겠습니다.

 

해당 프로그램의 설치 파일(MD5 : 087e1082379765eb0f7506ffab820021)에 대하여 AhnLab V3 보안 제품에서는 Win-PUP/Helper.WindowTap.614816 (VirusTotal : 6/42) 진단명으로 진단되고 있으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Documents and Settings\All Users\Application Data\WindowsTab :: 숨김(H) 속성 폴더
C:\Documents and Settings\All Users\Application Data\WindowsTab\uninst.exe :: 프로그램 삭제 파일
C:\Documents and Settings\All Users\Application Data\WindowsTab\windowstab.exe :: 메모리 상주 프로세스
C:\Documents and Settings\All Users\Application Data\WindowsTab\windowstabup.exe :: 시작 프로그램 등록 파일 

 

해당 프로그램은 사용자가 확인하기 어려운 숨김(H) 속성값을 가지는 폴더 내의 "C:\Documents and Settings\All Users\Application Data\WindowsTab" 폴더에 파일을 생성하며, Windows 시작시 windowstabup.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

GET /app/auction21/info/infow.php?pt=partner1 HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Accept: text/html, */*
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0;)
Host: ***.muuk.co.kr
Connection: Keep-Alive

자동 실행된 windowstabup.exe 파일은 특정 서버에 접속하여 업데이트 체크 및 Mac Address 정보를 체크하며, 차후 업데이트 기능을 통해 추가적인 프로그램 설치 가능성이 존재합니다. 

프로그램이 설치된 환경에서 사용자가 Internet Explorer 웹 브라우저를 실행하면 자동으로 About-Tab 페이지로 연결을 시도하며, 자주 방문하는 사이트 목록 중 옥션, 11번가, G마켓 바로가기 링크의 경우 특정 광고 코드가 추가되어 있는 것으로 확인이 됩니다.(※ 시작 페이지(홈 페이지)가 "빈 페이지(about:blank)" 설정인 경우에만 동작하는 것으로 추정됩니다.) 

또한 인터넷 검색시 특정 검색어에 따라 사용자가 입력한 키워드 값을 참조하여 추가적인 새 탭이 생성되는 동작을 확인할 수 있습니다. 

새 탭 방식으로 생성된 페이지는 순위 가격 비교(SoonWe) 광고 페이지로 사용자의 인터넷 검색 과정에서 반복적으로 생성되어 불편을 유발할 수 있습니다. 

해당 프로그램의 광고 동작은 메모리에 상주하는 windowstab.exe 프로세스를 통해 이루어지므로, 프로그램 삭제시에는 Windows 작업 관리자에서 해당 프로세스를 찾아 수동으로 종료하시기 바랍니다. 

프로그램 삭제는 제어판의 "WindowsTab Uninstall" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 "C:\Documents and Settings\All Users\Application Data\WindowsTab" 폴더를 수동으로 삭제하시기 바랍니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - WindowsTab = "C:\Documents and Settings\All Users\Application Data\WindowsTab\windowstabup.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\WindowsTab
HKEY_CURRENT_USER\Software\WindowsTab 

 

해당 프로그램은 프로그램 목록에 제시되지 않는 문제로 설치 여부를 확인하기 어려우며, 인터넷 이용 과정에서 원치 않는 페이지 이동으로 불편을 겪을 수 있으므로 주의하시기 바랍니다.

728x90
반응형