본문 바로가기

벌새::Analysis

검색 도우미 : Win Search for bizpop

반응형

인터넷 검색시 광고창이 생성되는 검색 도우미 "Win Search for bizpop" 프로그램에 대해 살펴보도록 하겠습니다.

 

  검색 도우미 : SearchFree - Win Search forsearchfree (2010.4.20)

 

  검색 도우미 : Win Search forezlinker (2011.3.1)

 

  검색 도우미 : Win Search forsmartfinder (2011.4.11)

 

  검색 도우미 : Win Search forservice2 (2011.7.9)

 

  검색 도우미 : Win Search forhantiat6 + winsearchshop 1.00 (2011.8.12)

 

  국내 악성코드 : Win Search forsecretkey (2011.9.6)

 

  국내 악성코드 : Win Search for finalget (2011.10.21)

 

  국내 악성코드 : Win Search forxercle (2011.11.8)

 

  검색 도우미 : Win Search fortruepod (2011.11.15)

 

  국내 악성코드 : Win Search forozplus (2011.12.18)

 

  국내 악성코드 : Win Search for rolypop (2012.2.13)

 

  검색 도우미 : Win Search fordirectsearch (2012.4.3)

 

해당 프로그램(MD5 : 2549c062255495d07bf6d2ff980bca83)은 기존에 알려진 Win Search for 검색 도우미 시리즈의 변종으로 확인되고 있으므로 참고하시기 바랍니다.

GET /install/bizpop.biz HTTP/1.1
Content-Type: text/html
Host: ****.bizpop.co.kr
Accept: text/html, */*
User-Agent: Mozilla/3.0 (compatible; Indy Library)

프로그램의 설치 과정을 살펴보면 특정 서버로부터 bizpop.biz 파일을 다운로드하며, 해당 파일은 생성 파일을 포함하고 있는 압축 포맷임을 확인할 수 있습니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop :: 숨김(H) 속성 폴더
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop\bizpop.dll :: BHO 등록 파일
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop\bizpop.exe :: 시작 프로그램 등록 파일
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop\except.dmc
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop\uninstall.exe :: 프로그램 삭제 파일

 

[생성 파일 진단 정보]

 

C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop\bizpop.dll
 - MD5 : 1226720812973743c3cfec4161958ad2
 - AhnLab V3 : Win-PUP/Helper.BizPop.1084416 (VirusTotal : 4/42)

 

C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop\bizpop.exe
 - MD5 : 02244614633efc1ab1f499a652ac6be0
 - AhnLab V3 : Win-PUP/Helper.BizPop.1086464 (VirusTotal : 17/42)

 

프로그램은 사용자가 확인하기 어려운 숨김(H) 속성값을 가지는 폴더 내의 "C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop" 폴더에 파일을 생성하며, Windows 시작시 bizpop.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다. 

 

자동 실행된 bizpop.exe 파일은 프로그램 업데이트 체크(bizpop.exe 다운로드) 및 추가적인 업데이트 체크를 통해 차후 수익성 프로그램 등이 포함될 가능성이 존재할 것으로 추정됩니다. 

프로그램이 설치된 환경에서 인터넷 검색을 시도할 경우, 특정 광고 서버에 키워드 값을 참조하여 광고창이 생성되는 동작을 확인할 수 있습니다. 

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : bizpop

유형 : 브라우저 도우미 개체

CLSID : {771B3380-4A1C-4F02-9E26-A8527D60F45C}

파일 : C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop\bizpop.dll

 

해당 프로그램은 Internet Explorer 웹 브라우저 실행시 iexplore.exe 프로세스에 bizpop.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 키워드 감시를 통한 광고창을 생성하도록 되어 있습니다.

 

그러므로 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "bizpop" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다. 

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "Win Search for bizpop" 삭제 항목을 이용하여 삭제할 수 있습니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - bizpopv3 = C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\bizpop\bizpop.exe
HKEY_CURRENT_USER\Software\bizpoppp
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\bizpop.bizpop
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{771B3380-4A1C-4F02-9E26-A8527D60F45C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Management\ARPCache\bizpop
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{771B3380-4A1C-4F02-9E26-A8527D60F45C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\bizpop

 

해당 프로그램은 프로그램 목록에 제시되지 않는 문제로 설치 여부를 확인하기 어려우며, 인터넷 이용시 원치 않는 광고창 생성으로 불편을 유발할 수 있으므로 주의하시기 바랍니다.

 

728x90
반응형