Internet Explorer 웹 브라우저의 주소 표시줄에 검색 키워드를 입력시 DreamX 열린 주소창 검색(dreamx.dns3.paran.com)으로 연결을 시도하는 검색 도우미 splansonid 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 745f851f4337deabb778a7e2609755e4)에 대하여 Hauri ViRobot 보안 제품에서는 Dropper.Agent.913408 (VirusTotal : 17/42) 진단명으로 진단되고 있습니다.
▷ <2011년 관련 정보> 검색 도우미 : isearchplus 1.00 (2011.12.30) 외 4종
▷ 검색 도우미 : Clicknsearch 1.00 - neopsearch (2012.2.23)
▷ 국내 악성코드 : OpenSearch 1.00 - sjadsearch (2012.2.25)
▷ 검색 도우미 : Quicknsearch 1.00 (2012.3.30)
▷ 국내 악성코드 : mplantsearch 1.00 + quicktimesh (2012.4.10)
▷ [삭제] wmplanttool 1.00 - wmplantsearch (2012.5.7)
▷ 검색 도우미 : qplansonic 1.00 (2012.5.7)
▷ 검색 도우미 : mplansonic 1.00 (2012.5.10)
▷ 검색 도우미 : msncptool 1.00 (2012.5.26)
▷ 검색 도우미 : Micro ScanPlan (2012.6.2)
▷ 검색 도우미 : PowerPlan (2012.6.7)
▷ 검색 도우미 : WebPro Extension 1.00 (2012.6.8)
해당 프로그램과 동일한 기능을 가진 다양한 이름의 검색 도우미 프로그램이 존재하므로 참고하시기 바랍니다.
C:\Program Files\splansonid
C:\Program Files\splansonid\splansonid.dll :: BHO 등록 파일
C:\Program Files\splansonid\splansonid.exe
C:\Program Files\splansonid\splansoniddl.exe
C:\Program Files\splansonid\Uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\splansonid\Uninstall.ini
C:\WINDOWS\system32\splansonidinst.exe :: 자가 삭제(Internet Explorer 웹 브라우저 실행시)
해당 프로그램은 "C:\Program Files\splansonid" 폴더에 파일을 생성하며, 프로그램 설치 완료 후 splansonid.exe 파일을 자동 실행하여 특정 서버로부터 광고 구성값 등의 정보를 체크하는 동작을 확인할 수 있습니다.
또한 사용자가 Internet Explorer 웹 브라우저를 실행하며 특정 서버로 연결하여 광고 구성값 체크 및 프로그램 설치 파일(C:\WINDOWS\system32\splansonidinst.exe)을 자가 삭제 처리합니다.
프로그램이 설치된 환경에서 Internet Explorer 웹 브라우저의 주소 표시줄에 검색 키워드를 입력시 DreamX 열린 주소창 검색(dreamx.dns3.paran.com) 결과로 연결이 이루어지는 동작을 확인할 수 있습니다.
또한 포털 사이트에서 검색(①)을 시도할 경우 백그라운드 방식(②)으로 DreamX 열린 주소창 검색(dreamx.dns3.paran.com)을 시도하는 동작을 확인할 수 있습니다.
이로 인하여 인터넷 검색시 사용자가 입력한 검색 키워드 값을 참조한 원치 않는 연결로 인하여 인터넷 속도 저하 등의 문제가 발생할 수 있습니다.
이름 : splansonidprg.splansonid
게시자 : splansonid
유형 : 브라우저 도우미 개체
CLSID : {C3130C8C-0731-4476-BE4F-11021DE92DF9}
파일 : C:\Program Files\splansonid\splansonid.dll
해당 프로그램은 Internet Explorer 웹 브라우저 실행시 iexplore.exe 프로세스에 splansonid.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 사용자 키워드 감시를 통해 DreamX 열린 주소창 검색(dreamx.dns3.paran.com)이 이루어지도록 제작되어 있습니다.
그러므로 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "splansonidprg.splansonid" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
프로그램 삭제시에는 Internet Explorer 웹 브라우저 종료 및 Windows 작업 관리자를 실행하여 splansonid.exe 프로세스가 존재할 경우 수동으로 종료한 후, 제어판의 "splansonid" 삭제 항목을 이용하여 삭제하시기 바랍니다.
프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 수동으로 삭제하시기 바랍니다.
- C:\Program Files\splansonid
- C:\Program Files\splansonid\splansonid.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C3130C8C-0731-4476-BE4F-11021DE92DF9}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{46D3BC75-4E38-40D3-A3D4-95844610D19E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Software\Microsoft\Windows\CurrentVersion\Run
- (기본값) = C:\Program Files\splansonid\splansonid.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\splansonidprg.splansonid
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{5DF36F68-B3A1-491B-9C2B-2676B21EE37F}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
- splansonid = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C3130C8C-0731-4476-BE4F-11021DE92DF9}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\splansonid
HKEY_LOCAL_MACHINE\SOFTWARE\splansonid
해당 프로그램은 프로그램 목록에 등록되지 않는 문제로 설치 여부를 확인하기 어려우며, 인터넷 검색시 백그라운드 방식의 검색 동작으로 인해 인터넷 속도 저하를 유발할 수 있으므로 주의하시기 바랍니다.