Internet Explorer 웹 브라우저에 툴바(Toolbar)를 생성하며, 인터넷 검색시 광고탭(searchbar:tab) 및 추가적인 광고창을 생성하는 검색 도우미 SearchBar 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 694cd339fbcf93b84a098308a511f635)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.WingGo (VT : 8/47) 진단명으로 진단되고 있습니다.
▷ <Right Security Blog> 검색 도우미 : 윙고 툴바(WingGo Toolbar) (2010.12.10)
▷ 검색 도우미 : 윙고 툴바(WingGo Toolbar) - winggom.exe (2012.7.5)
▷ 검색 도우미 : SmartTap (2012.7.17)
▷ 검색 도우미 : TabSync (2012.10.22)
▷ 검색 도우미 : TabChoice (2012.12.10)
SearchBar 프로그램은 기존의 윙고 툴바(WingGo Toolbar) 시리즈의 변종 프로그램이므로 참고하시기 바랍니다.
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\LastTimeCK.dat
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\searchbar.cnc :: 메모리 상주 프로세스
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\searchbaru.exe
C:\Program Files\SearchBar
C:\Program Files\SearchBar\sb1007.dat
C:\Program Files\SearchBar\sblist.dat
C:\Program Files\SearchBar\searchbar.exe
C:\Program Files\SearchBar\searchbarhelper.dll :: BHO 등록 파일
C:\Program Files\SearchBar\searchbaru.exe :: 시작 프로그램 등록 파일 / 프로그램 삭제 파일
C:\Program Files\SearchBar\ts.dll
해당 프로그램은 Windows 시작시 ["C:\Program Files\SearchBar\searchbaru.exe" UPDATE] 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 파일(searchbaru.exe)은 특정 서버로부터 업데이트 정보를 체크하며, "C:\Program Files\SearchBar\searchbar.exe" 파일을 로딩하여 "C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\searchbar.cnc" 파일로 복제 및 광고 구성값을 체크합니다.
이를 통해 searchbar.exe 프로세스가 아닌 searchbar.cnc (= searchbar.exe) 프로세스가 메모리에 상주하여 광고 기능을 수행하도록 제작되어 있습니다.
1. SearchBar 툴바(Toolbar)
프로그램이 설치된 환경에서 Internet Explorer 웹 브라우저의 도구 모음에 SearchBar 툴바(Toolbar)를 생성하여 등록된 인터넷 쇼핑몰 접속을 유도하여 수익을 창출합니다.
해당 툴바(Toolbar) 기능의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "SearchBar" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
2. SearchBar 브라우저 도우미 개체(BHO) + searchbar.cnc 프로세스
SearchBar 프로그램은 인터넷 검색시 사용자 검색 키워드 값을 참조하여 추가적인 광고창을 자동으로 생성하며, 각 웹 브라우저 창에서는 광고탭(searchbar:tab)을 추가로 생성합니다.
참고로 생성된 광고탭(searchbar:tab)은 사용자가 탭을 오픈할 경우 윙고(WingGo) 광고 서버를 경유하여 웹 사이트에 접속이 이루어지도록 되어 있습니다.
그 외에 웹 브라우저를 종료하는 과정에서 후팝업 방식으로 또 다시 광고창이 생성될 수 있습니다.
이름 : SearchBar
게시자 : The A MEDIA
유형 : 도구 모음
CLSID : {33AA987A-C47F-4C84-AA3B-3DDB9D22C6A5}
파일 : C:\Program Files\SearchBar\searchbarhelper.dll
이름 : SearchBar
게시자 : The A MEDIA
유형 : 브라우저 도우미 개체
CLSID : {1568A0B0-9ACF-4F20-98DF-0F1525075BA1}
파일 : C:\Program Files\SearchBar\searchbarhelper.dll
해당 광고 동작은 웹 브라우저 실행시 searchbarhelper.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 키워드 값을 참조하여 제휴 코드가 추가된 광고창 및 광고탭(searchbar:tab)을 생성합니다.
그러므로 광고 동작 중지 및 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "SearchBar" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
또한 Windows 작업 관리자를 실행하여 메모리에 상주하는 searchbar.cnc 프로세스를 찾아 수동으로 종료하시기 바랍니다.
3. 프로그램 삭제
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판에 등록된 "SearchBar" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 다음의 파일을 찾아 수동으로 삭제하시기 바랍니다.
- C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\LastTimeCK.dat
- C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\searchbar.cnc
- C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\searchbaru.exe
HKEY_CURRENT_USER\Environment
- OSVersion = (사용자 OS 정보)
HKEY_CURRENT_USER\Software
- WC = 1
HKEY_CURRENT_USER\Software\Microsoft
- WC = 1
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- SearchBar = "C:\Program Files\SearchBar\searchbaru.exe" UPDATE
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\SearchBar
HKEY_CURRENT_USER\Software\Search-Bar
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1568A0B0-9ACF-4F20-98DF-0F1525075BA1}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{33AA987A-C47F-4C84-AA3B-3DDB9D22C6A5}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar
- {33AA987A-C47F-4C84-AA3B-3DDB9D22C6A5}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1568A0B0-9ACF-4F20-98DF-0F1525075BA1}
SearchBar 프로그램은 인터넷 검색시 자동으로 생성되는 광고탭(searchbar:tab)으로 인하여 웹 브라우저가 정상적으로 종료되지 않는 문제가 발생할 수 있으며, 원치 않는 툴바(Toolbar) 및 광고창 생성으로 불편을 유발하므로 주의하시기 바랍니다.