인터넷 검색시 광고창이 생성되는 검색 도우미 "Smart Connection tc services" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : ed489827c9974a919771927a6e25e63f)에 대하여 nProtect 보안 제품에서는 Trojan-Dropper/W32.Agent.581704 (VirusTotal : 31/41) 진단명으로 진단되고 있습니다.
▷ 검색 도우미 : Advenced Top C Manager (2012.3.15)
또한 해당 프로그램은 기존의 "Advenced Top C Manager" 또는 "탑클릭(TopClick)" 검색 도우미의 변형된 버전이며, 과거부터 워핑(WerPing) 시리즈로 유명한 광고 프로그램이므로 참고하시기 바랍니다.
C:\Program Files\AdvTopC
C:\Program Files\AdvTopC\AdvTCApp.exe :: 메모리 상주 프로세스(Internet Explorer 웹 브라우저 동작시 최초 실행)
C:\Program Files\AdvTopC\AdvTCApp.tlb
C:\Program Files\AdvTopC\TCCheckAgent.exe :: 서비스(TCCheckAgent) 등록 파일
C:\Program Files\AdvTopC\TCHelper.dll :: BHO 등록 파일
C:\Program Files\AdvTopC\tcse.dat
C:\Program Files\AdvTopC\TCUnins.exe :: 프로그램 삭제 파일
C:\Program Files\AdvTopC\AdvTCApp.exe
- MD5 : 3ff8510351b66cf54ce96d101a993753
- Hauri ViRobot : Adware.AdvTopC.392264 (VirusTotal : 20/42)
C:\Program Files\AdvTopC\TCCheckAgent.exe
- MD5 : dbe32ed5394da2ddff1a376392cd2408
- nProtect : Trojan/W32.Agent.73728.DBR (VirusTotal : 30/42)
C:\Program Files\AdvTopC\TCHelper.dll
- MD5 : c7c40ea78f43185cc5c10d897d40096b
- AhnLab V3 : Win-PUP/Helper.AdvTopC.237640 (VirusTotal : 14/42)
C:\Program Files\AdvTopC\TCUnins.exe
- MD5 : 8c426d7971adfc495f1c6cd6826ce7ec
- Hauri ViRobot : Trojan.Win32.A.BHO.215112 (VirusTotal : 19/42)
해당 프로그램은 "C:\Program Files\AdvTopC" 폴더에 파일을 생성하며, "TCCheckAgent" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\AdvTopC\TCCheckAgent.exe" 파일을 자동 실행하도록 구성되어 있습니다.
프로그램은 사용자가 Internet Explorer 웹 브라우저를 실행하여 인터넷을 이용하는 조건에서 추가적으로 "C:\Program Files\AdvTopC\AdvTCApp.exe" 프로세스를 생성하는 것을 확인할 수 있습니다.
확인된 광고 동작을 살펴보면 인터넷 검색시 특정 검색 키워드를 입력할 경우 바탕 화면 하단에 반투명 형태의 "스폰서 링크" 광고창을 생성하여 일정 시간 유지를 합니다.
또한 시스템 트레이 알림 아이콘 상단에 그림과 같은 팝업창을 생성하는 광고 동작을 확인할 수 있습니다.
그 외에 웹 브라우저 또는 탭(Tab)을 종료할 경우 추가적인 광고창을 생성하는 동작을 확인할 수 있습니다.
이름 : Smart TC
게시자 : (주)워핑
유형 : 브라우저 도우미 개체
CLSID : {3E5EF872-03E2-4CE0-94DF-CA8A5004ECFD}
파일 : C:\Program Files\AdvTopC\TCHelper.dll
해당 프로그램은 Internet Explorer 웹 브라우저 실행시 iexplore.exe 프로세스에 TCHelper.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 키워드 감시를 통한 다양한 광고 동작을 수행합니다.
그러므로 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "Smart TC" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
또한 Windows 작업 관리자를 실행하여 Internet Explorer 웹 브라우저 실행으로 메모리에 상주하는 AdvTCApp.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "Smart Connection tc services" 삭제 항목을 이용하여 삭제할 수 있습니다.
참고로 백신 프로그램에서 해당 프로그램의 삭제 파일(C:\Program Files\AdvTopC\TCUnins.exe)을 진단하여 제어판을 통한 삭제가 불가능한 경우에는 생성 폴더(파일), 레지스트리 정보를 참고하여 수동으로 삭제하시기 바랍니다.
HKEY_CURRENT_USER\Software\AdvTopC
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AdvTCApp.TCExtDisp
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AdvTCApp.TCExtDisp.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AdvTCApp.TCUIHandler
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AdvTCApp.TCUIHandler.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AdvTCApp.TopClickReceiver
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AdvTCApp.TopClickReceiver.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{7C3D497D-F1D3-4E2C-A3C1-613D598C7B65}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\TCHelper.DLL
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3E5EF872-03E2-4CE0-94DF-CA8A5004ECFD}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5AE9542B-4924-4A56-8AC8-7DC3427A2CDF}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{86D56D8B-9667-4C58-8BE5-37616F07A2AE}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{D7CC10CB-5560-41D1-AA01-90ACDD24FAD8}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{133F4BA0-B28D-438C-9AC0-2632BA756582}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{1CBECE76-7A9C-4118-9B1D-255EF4A28B0A}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{C8978781-0BA6-4D59-BC95-5FB099420444}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{D8BE945B-214C-4FF4-90D4-D27453803121}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TCHelper.AdvTCCtrl
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TCHelper.AdvTCCtrl.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{229EDC5F-3F55-4873-AA68-DF2EE6B37B1D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{393A6F9A-B9AF-4CC4-9205-7D9AD84E3599}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{9FFF5A03-2C66-462e-A2AE-19CA87E20DBE}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{C0748ADA-0334-4bcd-B2A9-F12E4C754AEC}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{3E5EF872-03E2-4CE0-94DF-CA8A5004ECFD}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Advenced TopCli
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_
TCCHECKAGENT
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TCCheckAgent
해당 프로그램으로 인해 생성된 다양한 광고 동작이 어떤 프로그램으로 인한 문제인지 확인하기 어려우며, 프로그램 이름 자체가 외부 기기(Device) 연결 소프트웨어처럼 등록되어 있어서 혼동을 유발하고 있으므로 주의하시기 바랍니다.