마이크로소프트(Microsoft) 관련 프로그램처럼 위장한 문자열 세기 프로그램(글자수 세기 프로그램)을 이용하여 추가적인 수익성 프로그램의 설치를 유도할 것으로 추정되는 "Micros client service x86" 프로그램에 대해 살펴보도록 하겠습니다.
▷ 제휴(스폰서) 프로그램 : MicroClient x86 (2012.5.26)
▷ 제휴(스폰서) 프로그램 : Microclient update service x86 (2012.5.27)
▷ 국내 악성코드 : alexa drv & Miclient service allupdate x86 (2012.6.27)
▷ 국내 악성코드 : Microupdate ninetip x86 (2012.7.23)
마이크로소프트(Microsoft) 관련 업데이트 또는 패치 프로그램 형태의 이름을 가진 유사한 기능을 가진 프로그램이 확인되고 있으므로 참고하시기 바랍니다.
해당 프로그램의 설치 파일(MD5 : c0532e8aeefbd9a3ab845ed36bf2a50a)을 이용하여 수동 설치를 할 경우에는 그림과 같은 이용약관 창을 통해 "문자열 세기 프로그램"을 설치한다고 안내하고 있습니다.
C:\Program Files\norbaweum
C:\Program Files\norbaweum\cns.dat
C:\Program Files\norbaweum\cntnorbawe.exe
C:\Program Files\norbaweum\norbawemds.exe
C:\Program Files\norbaweum\norbawesvc.exe :: norbaweum SERVICE 서비스 등록 파일
C:\Program Files\norbaweum\norbaweum.exe :: 글자수 세기 프로그램 실행 파일
C:\Program Files\norbaweum\uninst.exe :: 프로그램 삭제 파일
해당 프로그램은 "C:\Program Files\norbaweum" 폴더에 파일을 생성하며, 프로그램 설치(삭제) 과정에서 "C:\Program Files\norbaweum\cntnorbawe.exe" 파일을 실행하여 카운터(Counter) 체크를 하도록 구성되어 있습니다.
GET /log/?modeAct=install&iMAC=(사용자 Mac Address)&iPID=weba HTTP/1.1
Host: d120604.adntop.com
설치된 프로그램은 "norbaweum SVC(norbaweum SERVICE)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\norbaweum\norbawesvc.exe" 파일을 자동으로 실행하도록 제작되어 있습니다.
이런 일련의 과정을 통해 자동으로 실행된 norbawesvc.exe 파일은 "C:\Program Files\norbaweum\norbawemds.exe" 파일을 실행하여 프로그램 실행 체크 및 특정 서버에 등록된 추가적인 업데이트를 체크하도록 구성되어 있습니다.
테스트 시점에서는 추가적인 프로그램이 존재하지 않지만, 만약 수익성 프로그램이 존재할 경우 업데이트 창 등과 같은 알림창을 통해 프로그램 설치를 유도할 것으로 추정됩니다.
생성된 파일을 확인해보면 사용자가 "C:\Program Files\norbaweum\norbaweum.exe" 파일을 직접 찾아서 실행한 경우에만 "글자수 세기 프로그램"이 동작하도록 되어 있으므로, Micros client service x86 프로그램의 배포 목적은 시스템 시작시 업데이트 기능을 통한 수익성 프로그램 설치로 볼 수 있습니다.
프로그램 삭제는 제어판의 "Micros client service x86 (remove only) ." 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\norbaweum.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Micros client service x86 (remove only)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NORBAWEUM
_SVC
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\norbaweum SVC
해당 프로그램의 이름은 정상적인 마이크로소프트(Microsoft) 관련 프로그램과 유사하여 사용자에게 혼동을 유발하고 있으며, 차후 추가적인 다운로드를 통해 다양한 프로그램이 설치될 수 있으므로 주의하시기 바랍니다.