Internet Explorer 웹 브라우저에 툴바(Toolbar), 광고탭(smart:tab), 광고창을 생성하는 검색 도우미 TabChoice 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : c9f3df64dddeb8095756163a9e118524)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.WingGo (VirusTotal : 15/46) 진단명으로 진단되고 있습니다.
▷ <Right Security Blog> 검색 도우미 : 윙고 툴바(WingGo Toolbar) (2010.12.10)
▷ 검색 도우미 : 윙고 툴바(WingGo Toolbar) - winggom.exe (2012.7.5)
▷ 검색 도우미 : SmartTap (2012.7.17)
▷ 검색 도우미 : TabSync (2012.10.22)
생성된 파일을 살펴보면 기존의 윙고 툴바(WingGo Toolbar) 계열의 변형된 프로그램으로 확인되고 있으므로 참고하시기 바랍니다.
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\tabchoiceu.exe
C:\Program Files\TabChoice
C:\Program Files\TabChoice\tabchoice.exe :: 메모리 상주 프로세스
C:\Program Files\TabChoice\tabchoicehelper.dll :: BHO 등록 파일
C:\Program Files\TabChoice\tabchoiceu.exe :: 시작 프로그램 등록 파일
C:\Program Files\TabChoice\tc1000.dat
C:\Program Files\TabChoice\tclist.dat
해당 프로그램은 Windows 시작시 ["C:\Program Files\TabChoice\tabchoiceu.exe" UPDATE] 파일을 시작 프로그램으로 등록하여 자동 실행되며, 실행된 파일은 업데이트 체크를 통해 tabchoice.exe 파일을 메모리에 상주하도록 구성되어 있습니다.
1. TabChoice 툴바(Toolbar)
프로그램이 설치된 환경에서 Internet Explorer 웹 브라우저를 실행하면 상단에 TabChoice 툴바(Toolbar)가 추가되어 있으며, 툴바에서 제공하는 G마켓, 옥션, 11번가, 롯데닷컴 바로가기 아이콘을 클릭할 경우 광고 코드(click.clickstory.co.kr)가 추가된 형태로 연결이 이루어집니다.
해당 TabChoice 툴바를 종료하기 위해서는 웹 브라우저 도구 모음의 빈 영역에 마우스 우클릭을 통해 생성된 하위 메뉴 중 "TabChoice" 항목을 선택하여, 생성된 "추가 기능 사용 안 함" 창에서 "사용 안 함" 버튼을 선택하시면 됩니다.
2. TabChoice 브라우저 도우미 개체(BHO) : tabchoicehelper.dll 파일
TabChoice 프로그램은 tabchoicehelper.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 사용자가 인터넷 검색을 시도할 경우, 새 탭 방식으로 광고탭(smart:tab)을 생성하는 동작을 합니다.
생성된 광고탭(smart:tab)을 사용자가 클릭할 경우 광고 코드(click.clickstory.co.kr)를 추가하여 연결이 이루어지는 동작을 확인할 수 있습니다.
이름 : TabChoice
게시자 : The A MEDIA
유형 : 도구 모음
CLSID : {07C93B4E-4625-4C84-BA7E-BCA231037B0B}
파일 : C:\Program Files\TabChoice\tabchoicehelper.dll
이름 : TabChoice
게시자 : The A MEDIA
유형 : 브라우저 도우미 개체
CLSID : {492D6406-DC6F-4885-A8A2-C970E38B12CA}
파일 : C:\Program Files\TabChoice\tabchoicehelper.dll
해당 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 2개의 "TabChoice" 항목을 선택하여 "사용 안 함"으로 변경하시면 됩니다.(※ TabChoice 도구 모음은 툴바(Toolbar) 기능을 중지할 수 있습니다.)
3. tabchoice.exe 파일 : 광고탭(smart:tab) 및 광고창 생성
시스템 시작시 자동 실행되어 메모리에 상주하는 tabchoice.exe 파일은 사용자가 인터넷 검색을 이용하는 과정에서 새 탭 방식으로 광고탭(smart:tab)을 생성하며, 추가적으로 광고창도 생성하는 동작을 확인할 수 있습니다.
해당 광고 기능의 중지를 위해서는 Windows 작업 관리자를 실행하여 tabchoice.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
프로그램 삭제를 위해서는 Internet Explorer 웹 브라우저 및 tabchoice.exe 프로세스를 종료한 상태에서 제어판의 "tabchoice" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 "C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\tabchoiceu.exe" 파일을 찾아 수동으로 삭제하시기 바랍니다.
HKEY_CURRENT_USER\Environment
- OSVersion = (사용자 OS 이름)
HKEY_CURRENT_USER\Software
- WC = 1
HKEY_CURRENT_USER\Software\Microsoft
- WC = 1
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- tabchoice = "C:\Program Files\TabChoice\tabchoiceu.exe" UPDATE
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\tabchoice
HKEY_CURRENT_USER\Software\TabChoice
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{07C93B4E-4625-4C84-BA7E-BCA231037B0B}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{492D6406-DC6F-4885-A8A2-C970E38B12CA}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar
- {07C93B4E-4625-4C84-BA7E-BCA231037B0B}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{492D6406-DC6F-4885-A8A2-C970E38B12CA}
해당 프로그램으로 인해 탭(Tab) 및 광고창 생성으로 인터넷에 불편을 유발하고 있으며, 동일한 기능을 가진 프로그램이 다양한 이름으로 배포되고 있으므로 주의하시기 바랍니다.