웹 브라우저 표시줄에 검색 키워드를 입력할 경우 "열린 주소창 검색(dns3.ktguide.com)"으로 연결되며, 인터넷 검색시 백그라운드 방식으로 "열린 주소창 검색(dns3.ktguide.com)"을 시도하는 검색 도우미 Winsearch 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 7e2ffd3b9ab21bd5fa85a6c3b6b6f62f)에 대하여 AhnLab V3 보안 제품에서는 Win-PUP/Helper.WinSearch.925576.F (VT : 27/46) 진단명으로 진단되고 있습니다.
▶ <2011년 관련 정보> 검색 도우미 : isearchplus 1.00 (2011.12.30) 외 4종
▶ <2012년 관련 정보> 검색 도우미 : Winsearch (2012.12.27) 외 15종
▷ 검색 도우미 : Gmadsearch 1.00 (2013.3.18)
▷ 국내 악성코드 : Winsearch - Winsearchex (2013.3.21)
▷ 검색 도우미 : Winsearch - Winsearchone (2013.5.1)
▷ 국내 악성코드 : Winsearchchi (2013.6.1)
최근 지속적으로 발견되는 Winsearch 검색 도우미 시리즈의 변종 프로그램으로 확인되고 있으므로 참고하시기 바랍니다.
C:\Program Files\Winsearchkhs
C:\Program Files\Winsearchkhs\Uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\Winsearchkhs\Uninstall.ini
C:\Program Files\Winsearchkhs\winsearchkhs.dll :: BHO 등록 파일
C:\Program Files\Winsearchkhs\winsearchkhsdl.exe
C:\Program Files\Winsearchkhs\winsearchkhsp.exe
C:\WINDOWS\system32\INETKO.DLL
C:\WINDOWS\system32\MSINET.OCX
C:\WINDOWS\system32\VB6KO.DLL
프로그램 설치시 "C:\WINDOWS\system32\winsearchkhsinst.exe" 파일(MD5 : 72d6e594a92330eb315cd73ebeb5b917) 생성을 통해 설치 파일을 생성한 후, 사용자 Internet Explorer 웹 브라우저를 실행시 자가 삭제 처리되도록 구성되어 있습니다.
이 과정에서 웹 브라우저 최초 동작시 특정 IP 서버로부터 광고 구성값 체크 및 추가적인 파일이 등록되어 있을 경우 자동 설치가 이루어질 수 있습니다.
프로그램이 설치된 환경에서 Internet Explorer 웹 브라우저의 주소 표시줄에 검색어를 입력하면 "열린 주소창 검색(dns3.ktguide.com)" 결과로 연결되는 동작을 확인할 수 있습니다.
또한 인터넷 검색시 백그라운드 방식으로 사용자가 입력한 검색 키워드 값을 참조하여 "열린 주소창 검색(dns3.ktguide.com)"이 이루어지는 동작을 확인할 수 있으며, 이 과정에서 ["C:\Program Files\Winsearchkhs\winsearchkhsdl.exe" ccover] 파일 실행을 수행합니다.
참고로 실행된 winsearchkhsdl.exe 파일은 특정 IP 서버에서 실행 관련 정보를 체크하는 동작을 수행합니다.
이름 : winsearchkhsprg.winsearchkhs
게시자 : OCEAN INC Co.,Ltd.
유형 : 브라우저 도우미 개체
CLSID : {B999DF93-FB03-4785-BCAE-20150EBF5881}
파일 : C:\Program Files\Winsearchkhs\winsearchkhs.dll
위와 같은 광고 동작은 웹 브라우저 실행시 winsearchkhs.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 이루어지므로, 광고 동작 중지 및 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "winsearchkhsprg.winsearchkhs" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판에 등록된 "Winsearch" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 찾아 수동으로 삭제하시기 바랍니다.
- C:\Program Files\Winsearchkhs
- C:\Program Files\Winsearchkhs\winsearchkhs.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B999DF93-FB03-4785-BCAE-20150EBF5881}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{632E2493-B30E-4B29-86A8-511B29ECF5EE}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{885842AD-7D01-46CD-A7AE-4D6B7D7F05F1}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winsearchkhsprg.winsearchkhs
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
- winsearchkhs = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{B999DF93-FB03-4785-BCAE-20150EBF5881}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Winsearch
HKEY_LOCAL_MACHINE\SOFTWARE\winsearchkhs
HKEY_LOCAL_MACHINE\SOFTWARE\winsearchkhsp
Winsearch 검색 도우미 프로그램은 기존부터 다양한 폴더명으로 동일한 기능을 가진 변종 프로그램을 배포하고 있으며, 인터넷 이용시 원치 않는 검색 연결을 통해 인터넷 속도 저하 등의 불필요한 자원을 낭비할 수 있으므로 주의하시기 바랍니다.