시스템 시작시 "시스템 서비스(System-Service) 업데이트" 창을 생성하여 사용자의 부주의한 동의를 통해 다수의 수익성 프로그램을 설치하는 "Window System Service" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 51d1e4a2b3ec8c52f5a80eb60a4bac62)에 대하여 Hauri ViRobot 보안 제품에서는 Adware.Agent.126488.B (VT : 9/46) 진단명으로 진단되고 있습니다.
▶ <2011년~2012년 관련 정보> <Right Security Blog> 제휴(스폰서) 프로그램 : 인터넷 시스템(Internet System) (2012.2.12) 외 4종
▷ 제휴(스폰서) 프로그램 : 마이크로서비스(Microservice) (2013.3.7)
▷ 제휴(스폰서) 프로그램 : 업데이트 서비스(Update Service) (2013.3.27)
또한 과거부터 유사한 기능을 가진 다양한 프로그램들이 존재하였으므로 참고하시기 바랍니다.
C:\Program Files\system-service
C:\Program Files\system-service\system-service-se.exe :: 서비스(system-serviceservice) 등록 파일
C:\Program Files\system-service\system-service.exe :: 업데이트 창 생성 파일
C:\Program Files\system-service\system-serviceu.exe
C:\Program Files\system-service\uninst_system-service.exe :: 프로그램 삭제 파일
C:\Program Files\system-service\system-service-se.exe
- MD5 : 21db4b3cc43fc4fc5ba7a2d372eb7ad5
- AhnLab V3 : PUP/Win32.Security (VT : 7/47)
C:\Program Files\system-service\system-serviceu.exe
- MD5 : c1d5fac9359657d4fc31bbda90aaabab
- AhnLab V3 : PUP/Win32.Security (VT : 14/47)
C:\Program Files\system-service\uninst_system-service.exe
- MD5 : e9682e9920b24904bc7a5717e46ec192
- AhnLab V3 : PUP/Win32.Security (VT : 14/47)
해당 프로그램은 "C:\Program Files\system-service" 폴더에 파일을 생성하며, 시스템 시작시 다음과 같은 동작을 확인할 수 있습니다.
"system-serviceservice(system-service service)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\system-service\system-service-se.exe" 파일을 자동 실행하며, 실행된 서비스 파일은 "C:\Program Files\system-service\system-serviceu.exe" 파일을 로딩하여 프로그램 버전 체크를 하도록 구성되어 있습니다.
또한 "C:\Program Files\system-service\system-service.exe" 파일을 실행하여 특정 서버에 등록된 제휴(스폰서) 프로그램 정보를 체크하여 특정 시점에서 업데이트 창을 생성할 수 있습니다.
생성된 "시스템 서비스(System-Service) 업데이트" 창을 확인해보면 "필수 프로그램" 항목에는 체크 박스가 해제되어 있지만, 스크롤 바를 하단으로 내리면 숨어있는 "제휴 프로그램"이 다수 존재하며 이들 프로그램들은 모두 체크 박스가 체크된 상태입니다.
사용자가 업데이트 창의 우측 상단의 "닫기(X)" 버튼을 클릭할 경우 "업데이트 보안 경고" 창이 생성되며, 사용자가 실수로 "확인" 버튼을 클릭할 경우 원치 않는 프로그램들이 설치되므로 주의하시기 바랍니다.
프로그램 삭제는 제어판에 등록된 "window system service" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
system-service
HKEY_LOCAL_MACHINE\SOFTWARE\system-service
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SYSTEM-SERVICESERVICE
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\system-serviceservice
현재 "시스템 서비스(System-Service) 업데이트" 창을 통해 설치될 수 있는 수익성 프로그램에 대한 정보는 다음과 같습니다.
(1) 다운로드 도우미 : DownHelper (2013.6.5)
- h**p://update.**wn***per.co.kr/app/setupa/downhelpersetup_pop.exe (MD5 : 184f07e69cfbc686d078a4d7547f0b60) - Kaspersky : HEUR:Trojan-FakeAV.Win32.Onescan.gen (VT : 13/47)
(2) PC 최적화 프로그램 : 스피드라이트(SpeedLite) (2013.5.17)
- h**p://update.spe**li**.co.kr/set/speedlitesetup_pop.exe (MD5 : e077a8166ae425848391c19371a86898) - Kaspersky : Trojan-FakeAV.Win32.Onescan.pfd (VT : 24/47)
(3) 검색 도우미 : 윙고 툴바(WingGo Toolbar) - winggom.exe (2012.7.5)
- h**p://**wn***per.co.kr/etc/ucfucfSetup.exe (MD5 : e9b5b5a6b2319fb6c7334ff3bec7bccb) - AhnLab V3 : PUP/Win32.WingGo (VT : 23/47)
(4) 검색 도우미 : Microsoft AD WS (2013.5.26)
- h**p://down.****search.co.kr/dream/d4/WingDSetup.exe (MD5 : 3b12fa4c083248593477e53c548efb9f)
(5) 악성코드 제거 프로그램 : 케어피씨(CarePC) (2013.5.30)
- h**p://update.care**.co.kr/setupa/carepcsetup_pop.exe (MD5 : 1a9f7ecc4799aa2e6f13e6f84b4e70a9) - Kaspersky : Trojan-FakeAV.Win32.Ankore.a (VT : 25/47)
(6) [삭제] FlashLinker (2013.6.5)
- h**p://update.**ash***ker.co.kr/setup/flashlinkersetup_pop.exe (MD5 : a751c4108b89c79ebc99cca55e7c3537) - Hauri ViRobot : Adware.Agent.126992.B (VT : 9/47)
"Window System Service" 프로그램이 생성하는 업데이트 창은 1회 생성 후 재부팅 과정에서는 노출되지 않도록 제작되어 있으며, 차후 특정 시점에서 새로운 수익성 프로그램 배포 통로로 활용되므로 주의하시기 바랍니다.