시스템 트레이 알림 아이콘 상단에 "메타블로그 최신이슈" 팝업창 생성 및 인터넷 검색시 광고창을 노출시키는 검색 도우미 "Metablog New Issues" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 6af8b32c063339e412e292a6189dda19)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.AdMatching (VirusTotal : 4/45) 진단명으로 진단되고 있습니다.
C:\Documents and Settings\(사용자 계정)\Favorites\메타블로그 최신이슈.lnk
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\MetablogNewIssues
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\MetablogNewIssues\metablogagent.exe :: 시작 프로그램(metablogagent) 등록 파일 / 메모리 상주 프로세스
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\MetablogNewIssues\MetablogNewIssues.exe :: 시작 프로그램(MetablogNewIssues) 등록 파일 / 메모리 상주 프로세스
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\MetablogNewIssues\unins000.dat
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\MetablogNewIssues\unins000.exe :: 프로그램 삭제 파일
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\adm
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\adm\adinstall.exe :: 프로그램 설치 파일
해당 프로그램은 "C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\MetablogNewIssues" 폴더에 파일을 생성하며, Windows 시작시 metablogagent.exe, MetablogNewIssues.exe 2개의 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 metablogagent.exe 파일은 프로그램 버전 체크를 하며, MetablogNewIssues.exe 파일은 광고 구성값 체크를 하여 메모리에 상주합니다.
프로그램 설치를 통해 즐겨찾기 영역에 "메타블로그 최신이슈" 항목이 등록되며, 사용자가 해당 즐겨찾기를 클릭할 경우 "C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\MetablogNewIssues\MetablogNewIssues.exe" 파일을 실행하도록 되어 있습니다.
이를 통해 시스템 트레이 알림 아이콘 상단에 "메타블로그 최신이슈" 팝업창이 생성되어, 국내 특정 메타 블로그 정보를 받아오는 것을 확인할 수 있습니다.
해당 동작과 더불어 "Metablog New Issues" 프로그램이 설치된 환경에서는 인터넷 검색시 MetablogNewIssues.exe 파일을 통한 검색 키워드 및 방문 웹 사이트 정보를 체크하여 추가적인 광고창 및 후팝업을 노출하는 광고 동작을 확인할 수 있습니다.
해당 광고 동작은 메모리에 상주하는 metablogagent.exe, MetablogNewIssues.exe 2개의 프로세스를 통해 이루어지므로, 광고 동작의 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 metablogagent.exe, MetablogNewIssues.exe 2개의 프로세스를 찾아 수동으로 종료하시기 바랍니다.
프로그램 삭제는 제어판에 등록된 "Metablog New Issues" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 찾아 수동으로 삭제하시기 바랍니다.
- C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\adm
- C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\adm\adinstall.exe
HKEY_CURRENT_USER\Software\Microsoft\AdMatching
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- metablogagent = C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\MetablogNewIssues\metablogagent.exe
- MetablogNewIssues = C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\MetablogNewIssues\MetablogNewIssues.exe /byboot
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\{51632293-CBB6-47bc-9244-73C44C8516A6}_is1
프로그램은 메타 블로그 홍보 프로그램처럼 구성되어 있지만, 인터넷 이용시 원치 않는 광고창이 다양한 광고 코드를 추가하여 생성되어 불편을 유발하므로 주의하시기 바랍니다.