인터넷 검색시 광고창 생성 및 특정 시점에서 시스템 시작시 추가적인 수익성 프로그램의 설치를 유도할 것으로 추정되는 검색 도우미 "Windows SRankingPopView" 프로그램(MD5 : 8a5f1e570741f76350689f427ef626ab)에 대해 살펴보도록 하겠습니다.
▷ 검색 도우미 : Revealing Top Search (2013.1.29)
▷ 검색 도우미 : OpenSearchGT (2013.4.13)
▷ 검색 도우미 : Enumerate Top Search - GT (2013.4.24)
▷ 검색 도우미 : Revealing Top Search App (2013.5.25)
기존에 광고창 생성 및 수익성 프로그램 설치 기능을 가진 유사한 프로그램들이 있었으므로 참고하시기 바랍니다.
C:\Program Files\SRankingPopView
C:\Program Files\SRankingPopView\sranking.dll :: BHO 등록 파일
C:\Program Files\SRankingPopView\srankingdc.exe :: 시작 프로그램(SRankingPopViewupdate) 등록 파일
C:\Program Files\SRankingPopView\srankingp.exe :: 시작 프로그램(SRankingPopView) 등록 파일 / 메모리 상주 프로세스
C:\Program Files\SRankingPopView\uninstall.exe :: 프로그램 삭제 파일
해당 프로그램은 "C:\Program Files\SRankingPopView" 폴더에 파일을 생성하며, Windows 시작시 다음의 시작 프로그램 항목을 등록하여 자동 실행하도록 구성되어 있습니다.
- SRankingPopView = "C:\Program Files\SRankingPopView\srankingp.exe" Runcmd
- SRankingPopViewupdate = C:\Program Files\SRankingPopView\srankingdc.exe
1. ["C:\Program Files\SRankingPopView\srankingp.exe" Runcmd] 시작 프로그램
시스템 시작시 자동 실행된 srankingp.exe 파일은 메모리에 상주하며, 사용자가 Internet Explorer 웹 브라우저 실행 및 종료, 인터넷 검색시 ["C:\Program Files\SRankingPopView\srankingp.exe" /as] 프로세스가 추가로 임시 생성하여 다음과 같은 외부 통신을 시도합니다.
▷ 검색 도우미 : FindLock (2012.4.2)
▷ 검색 도우미 : 윙고 툴바(WingGo Toolbar) - winggom.exe (2012.7.5)
연결되는 광고 서버는 기존의 FindLock, 윙고 툴바(WingGo Toolbar)와 연관성이 있으며, 이를 통해 특정 웹 사이트 접속 또는 검색 키워드에 따라 광고창이 생성될 수 있습니다.
그러므로 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 srankingp.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
2. "C:\Program Files\SRankingPopView\sranking.dll" 브라우저 도우미 개체(BHO) 파일
이름 : Styleranking Popview Class
게시자 : TMG Corp.
유형 : 브라우저 도우미 개체
CLSID : {BA8A50DA-6832-49BC-B479-A8C7420F8E1C}
파일 : C:\Program Files\SRankingPopView\sranking.dll
해당 프로그램은 웹 브라우저 실행시 sranking.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 광고창 및 광고탭을 생성하는 동작을 수행합니다.
실제 광고 동작을 살펴보면 특정 검색 키워드로 인터넷 검색을 시도하면 자동으로 추가적인 광고창이 생성될 수 있으며, 웹 브라우저를 종료하는 시점에서 후팝업 광고창이 생성될 수 있습니다.
또한 인터넷 검색시 윙고 툴바(WingGo Toolbar) 검색 도우미 프로그램처럼 자동으로 광고탭이 추가되는 동작을 확인할 수 있습니다.
이러한 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "Styleranking Popview Class" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
3. "C:\Program Files\SRankingPopView\srankingdc.exe" 시작 프로그램
시스템 시작시 자동 실행되는 srankingdc.exe 파일은 특정 서버에 등록된 수익성 프로그램이 존재할 경우, 특정 시점에서 업데이트 창 생성을 통해 추가적인 다수의 수익성 프로그램의 설치를 유도할 수 있으므로 주의하시기 바랍니다.
4. 프로그램 삭제 정보
프로그램 삭제시에는 Windows 작업 관리자를 실행하여 srankingp.exe 프로세스 종료 및 Internet Explorer 웹 브라우저 종료 후 제어판에 등록된 "Windows SRankingPopView" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_CURRENT_USER\Software\gretepzilla
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- SRankingPopView = "C:\Program Files\SRankingPopView\srankingp.exe" Runcmd
- SRankingPopViewupdate = C:\Program Files\SRankingPopView\srankingdc.exe
HKEY_CURRENT_USER\Software\sranking
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{881477AA-5E37-440A-A7E5-76875A37F4FF}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\sranking.DLL
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BA8A50DA-6832-49BC-B479-A8C7420F8E1C}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{C8AAD496-6958-49B9-8831-F5F36D4CFB3D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\sranking.srankingSO
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\sranking.srankingSO.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{99847EFB-6949-45DF-B7B7-49F41D9276E2}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F973817F-8D70-4b6b-BB7E-AAB4DB45463C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{BA8A50DA-6832-49BC-B479-A8C7420F8E1C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
SRankingPopView uninstall
해당 프로그램은 웹 브라우저를 이용하여 인터넷을 이용하는 과정에서 원치 않는 다수의 광고창 생성으로 불편을 유발하며, 차후 업데이트 창 생성을 통해 사용자의 부주의한 동의 과정을 거쳐 다수의 수익성 프로그램을 추가적으로 설치할 수 있으므로 주의하시기 바랍니다.