인터넷 검색시 추가적인 광고창을 생성하는 검색 도우미 "INIWebLink" 프로그램(MD5 : c40bf2d513cd8d6bbc1004e12b76f986)에 대해 살펴보도록 하겠습니다.
C:\Documents and Settings\All Users\Application Data\iniweblink
C:\Documents and Settings\All Users\Application Data\iniweblink\uninstall.exe :: 프로그램 삭제 파일
C:\Documents and Settings\All Users\Application Data\iniweblink\weblink.exe :: 메모리 상주 프로세스
C:\Documents and Settings\All Users\Application Data\iniweblink\weblinkup.exe :: 시작 프로그램 등록 파일
C:\Program Files\pims
C:\Program Files\pims\PIIMSService.exe :: 서비스(PIIMSService) 등록 파일
- C:\Documents and Settings\All Users\Application Data\iniweblink\weblink.exe (MD5 : 31be5d72ac060e78eb3a56009a07bcb8) - AhnLab V3 : PUP/Win32.Helper (VirusTotal : 1/46)
해당 프로그램은 "C:\Documents and Settings\All Users\Application Data\iniweblink" 폴더에 파일을 생성하며, Windows 시작시 weblinkup.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 weblinkup.exe 파일은 프로그램 버전 체크를 한 후, 광고 기능을 수행하는 weblink.exe 파일을 로딩하여 메모리에 상주시킵니다.
추가적으로 INIWebLink 프로그램과 함께 설치되는 "C:\Program Files\pims\PIIMSService.exe" 파일은 "PIIMSService(piims)" 서비스 항목을 등록하여 시스템 시작시 자동으로 실행되도록 구성되어 있습니다.
자동 실행된 서비스 파일(PIIMSService.exe)은 특정 서버와 통신하는 동작을 확인할 수 있으며, 서비스 설명(PC Information Management Service)을 봐서는 사용자 PC의 정보를 체크할 것으로 추정됩니다.
▷ 검색 도우미 : searchup (2012.8.6)
이렇게 설치된 INIWebLink 프로그램은 사용자가 인터넷 검색시 추가적인 광고창을 생성하는 동작이 이루어지며, 이 과정에서 기존의 서치업(SearchUp) 광고 솔루션과 연관된 부분이 존재합니다.
해당 광고 동작은 weblink.exe 프로세스를 통해 이루어지므로, 광고 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 weblink.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
프로그램 삭제는 제어판에 등록된 "INIWebLink[024] uninstall" 삭제 항목을 이용하여 삭제할 수 있습니다.(※ 등록된 프로그램 이름은 배포 파일에 따라 숫자가 달라질 수 있을 것으로 추정됩니다.)
제어판을 통한 프로그램 삭제 이후에도 서비스 항목에 등록된 "C:\Program Files\pims\PIIMSService.exe" 파일(MD5 : feb4c85ed86de94d154ccab8e58a6969)은 삭제되지 않고 시스템 시작시마다 통신하는 부분이 확인되고 있습니다.
그러므로 프로그램의 깨끗한 삭제를 위해서는 다음과 같은 추가적인 절차에 따라 프로그램을 삭제하시기 바랍니다.
(1) 실행창에 [sc delete "PIIMSService"] 명령어를 입력하여 서비스를 삭제하시기 바랍니다.
(2) Windows 탐색기를 실행하여 다음의 폴더(파일)를 수동으로 삭제하시기 바랍니다.
- C:\Program Files\pims
- C:\Program Files\pims\PIIMSService.exe
(3) 레지스트리 편집기(regedit)를 실행하여 제시된 레지스트리 값이 존재할 경우 삭제하시기 바랍니다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- iniweblink = "C:\Documents and Settings\All Users\Application Data\iniweblink\weblinkup.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\iniweblink
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_PIIMSSERVICE
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PIIMSService
특히 제어판에 등록된 "INIWebLink[024] uninstall" 프로그램 이름이 금융권에서 제공하는 보안 솔루션(INISAFE 등)과 유사하므로 혼동하지 않도록 주의하시기 바랍니다.