백그라운드 방식으로 열린 주소창 검색(dns3.ktguide.com)을 시도하며, 시스템 부팅시 업데이트 창 생성을 통해 추가적인 수익성 프로그램 설치를 유도하는 "Windows OpenSearch" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : c8bdb39c57da441cfc52fd38984a28a5)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.Enumerate (VT : 20/46) 진단명으로 진단되고 있습니다.
▷ 검색 도우미 : OpenSearchGT (2013.4.13)
또한 Windows OpenSearch 프로그램은 기존에 소개한 유사한 기능을 가진 "OpenSearchGT" 프로그램의 변종이므로 참고하시기 바랍니다.
C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT
C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgt.dll :: BHO 등록 파일
C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgt.exe :: 시작 프로그램(Windowsopensearch) 등록 파일 / 메모리 상주 프로세스
C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgtu.exe :: 시작 프로그램(Windowsopensearchupdate) 등록 파일
C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\uninstall.exe :: 프로그램 삭제 파일
C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgt.dll
- MD5 : 4b2dea5db88f7fcd7e94f96b5e2291c4
- Hauri ViRobot : Adware.Agent.151552.G (VT : 18/46)
C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\uninstall.exe
- MD5 : d2e10e32a0dfa15faf9aae4214921490
- AhnLab V3 : PUP/Win32.Enumerate (VT : 3/47)
해당 프로그램은 "C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT" 폴더에 파일을 생성하며, Windows 시작시 다음과 같은 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
- Windowsopensearch = "C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgt.exe" Runcmd
- Windowsopensearchupdate = C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgtu.exe
1. Windowsopensearch 시작 프로그램
시스템 시작시 자동 실행되는 ["C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgt.exe" Runcmd] 파일은 특정 서버에서 광고 관련 업데이트 정보를 체크한 후 자동 종료 처리되어 광고 동작은 확인되지 않고 있습니다.
하지만 최초 Windows OpenSearch 프로그램이 설치된 상태에서 "opensearchgt.exe + opensearchgt.dll" 파일 조합을 통해 다음과 같은 광고 동작을 확인할 수 있습니다.
프로그램이 최초 설치된 환경에서 자동 실행된 ["C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgt.exe" Runcmd] 파일은 주기적으로 백그라운드 방식으로 Internet Explorer 웹 브라우저를 통해 "열린 주소창 검색(dns3.ktguide.com)"을 시도합니다.
특정 광고 서버를 경유하여 연결된 열린 주소창 검색에서는 다양한 검색 키워드를 통해 검색이 이루어지며, 해당 동작은 백그라운드 방식이므로 화면 상에는 표시되지 않습니다.
이름 : OpenSearchGT SubTap
게시자 : OpenSearch GT
유형 : 브라우저 도우미 개체
CLSID : {F48F659E-88A3-4EFA-804E-833609E15AD6}
파일 : C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgt.dll
프로그램 설치 완료 후 또는 Internet Explorer 웹 브라우저 실행시 "시작 프로그램(opensearchgt.exe) + BHO(opensearchgt.dll)" 파일 조합은 다양한 검색 키워드 값을 이용하여 백그라운드 방식으로 열린 주소창 검색(dns3.ktguide.com)을 주기적으로 시도합니다.
그러므로 해당 광고 동작 중지를 위해서는 Internet Explorer 웹 브라우저의 추가 기능 관리에 등록된 "OpenSearchGT SubTap" 항목을 선택하여 "사용 안 함"으로 변경하시기 바라며, Windows 작업 관리자를 실행하여 opensearchgt.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
2. Windowsopensearchupdate 시작 프로그램
시스템 시작시 자동 실행되는 "C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgtu.exe" 파일은 특정 서버로부터 업데이트 정보를 체크합니다.
이 과정에서 특정 시점에서는 업데이트 정보를 참조하여 위와 유사한 업데이트 창을 생성하여 다수의 수익성 프로그램의 설치를 유도하며, 사용자의 부주의 또는 실수를 통해 백그라운드 방식으로 자동 설치가 이루어질 수 있으므로 주의하시기 바랍니다.
3. 프로그램 삭제
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판에 등록된 "Windows OpenSearch" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_CURRENT_USER\Software\gaoesltd
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Windowsopensearch = "C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgt.exe" Runcmd
- Windowsopensearchupdate = C:\Documents and Settings\(사용자 계정)\Application Data\opensearchGT\opensearchgtu.exe
HKEY_CURRENT_USER\Software\opensearchgt
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{E9415B89-BE1E-4738-BC92-DD356C26B1A5}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\opensearchgt_dll.DLL
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F48F659E-88A3-4EFA-804E-833609E15AD6}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{F4722AC6-E431-4E2D-8764-2A5C6921BFE3}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\opensearchgt_dll.opensearchgt_Obj
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\opensearchgt_dll.opensearchgt_Obj.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{976A91C1-F4C0-4A74-BA58-5815EC0A53CE}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{F48F659E-88A3-4EFA-804E-833609E15AD6}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Windowsopensearch uninstall
해당 프로그램은 광고 기능보다는 차후 시스템 시작 과정에서 생성되는 업데이트 창을 통해 다수의 수익성 프로그램을 설치할 목적이 강한 것으로 보이며, 이런 프로그램으로 인해 원치 않는 다수의 광고 프로그램이 설치되는 일이 없도록 주의하시기 바랍니다.
☞ 검색 도우미 : Revealing Top Search (2013.1.29)
☞ 검색 도우미 : Enumerate Top Search - GT (2013.4.24)
☞ 검색 도우미 : Revealing Top Search App (2013.5.25)