인터넷 검색시 광고창을 자동으로 생성하며, 프로그램 삭제 방해를 목적으로 제어판에 등록하지 않는 검색 도우미 SubWing 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램은 2013년 7월 19일경 사용자 몰래 유포가 시작된 것으로 추정되며, 설치 파일(MD5 : 06b72c8f5bbba7949ab2f3abcaf04b02)에 대하여 AhnLab V3 보안 제품에서는 Trojan/Win32.Agent (VT : 17/46) 진단명으로 진단되고 있습니다.
▶ <2010년~2012년 관련 정보> 검색 도우미 : TabChoice (2012.12.10) 외 4건
▷ 검색 도우미 : SearchBar (2013.6.26)
▷ 검색 도우미 : Micro Web Manager (2013.7.11)
또한 기존의 윙고 툴바(WingGo Toolbar) 계열 시리즈의 변종 프로그램이므로 참고하시기 바랍니다.
C:\Users\(사용자 계정)\AppData\Roaming\SubWing
C:\Users\(사용자 계정)\AppData\Roaming\SubWing\msvcp100.dll
C:\Users\(사용자 계정)\AppData\Roaming\SubWing\msvcr100.dll
C:\Users\(사용자 계정)\AppData\Roaming\SubWing\portal.exe :: 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Roaming\SubWing\SubWing.exe :: 시작 프로그램 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\SubWing\uninstall.exe :: 프로그램 삭제 파일
C:\Users\(사용자 계정)\AppData\Roaming\SubWing\portal.exe
- MD5 : b801b2e2a348803f54c0c452175438a3
- AhnLab V3 : PUP/Win32.MWManager (VT : 6/46)
C:\Users\(사용자 계정)\AppData\Roaming\SubWing\SubWing.exe
- MD5 : 89d2079d00b3fa5f074fdffdda6da111
- AhnLab V3 : Win-PUP/Helper.SubWing.1754112 (VT : 2/46)
해당 프로그램은 "C:\Users\(사용자 계정)\AppData\Roaming\SubWing" 폴더에 파일을 생성하며, Windows 시작시 "C:\Users\(사용자 계정)\AppData\Roaming\SubWing\SubWing.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 파일(SubWing.exe)은 특정 서버에 SSL 암호화 통신을 통해 업데이트 정보를 체크한 후 "C:\Users\(사용자 계정)\AppData\Roaming\SubWing\portal.exe" 파일을 로딩하여 메모리에 상주시킵니다.
프로그램이 설치된 환경에서 인터넷 검색을 시도할 경우 자동으로 추가적인 광고창이 생성되는 동작을 확인할 수 있습니다.
해당 광고창은 메모리에 상주하는 portal.exe 프로세스를 통해 생성되므로, 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 portal.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
하지만 Windows 작업 관리자를 실행하여 portal.exe 프로세스를 선택한 후 "프로세스 끝내기" 버튼을 클릭할 경우 "프로세스를 종료할 수 없습니다." 메시지를 통해 종료되지 않습니다.
그러므로 반드시 Windows 작업 관리자를 실행한 후 "모든 사용자의 프로세스 표시" 버튼을 클릭하여 관리자 권한으로 Windows 작업 관리자를 실행하시기 바랍니다.
그 후 portal.exe 프로세스를 선택하여 "프로세스 끝내기" 버튼을 클릭하면 정상적으로 프로세스를 종료할 수 있습니다.
SubWing 프로그램은 사용자가 제어판을 통해 프로그램를 시도하지 못하도록 삭제 항목을 등록하지 않고 있으므로 "C:\Users\(사용자 계정)\AppData\Roaming\SubWing\uninstall.exe" 파일을 찾아 직접 실행하시기 바랍니다.
그러면 "SubWing Installer 제거" 창이 생성되어 정상적으로 프로그램 삭제가 진행됩니다.
HKEY_CURRENT_USER\Software\MWManager
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- SubWing = C:\Users\(사용자 계정)\AppData\Roaming\SubWing\SubWing.exe
일부 광고 프로그램들은 사용자가 삭제하지 못하도록 제어판의 삭제 항목에 등록하지 않는 방식으로 프로그램을 설치하는 경우가 있으며, 대신 프로그램 설치 폴더 내에는 삭제 기능을 제공하는 파일을 넣는 방식으로 법적인 문제를 우회하는 경향이 강합니다.
그러므로 이러한 프로그램이 사용자의 부주의한 동의 과정을 거쳐서 설치되거나 또는 기존에 설치된 프로그램이 사용자 몰래 추가로 설치하는 경우가 있으므로 주의하시기 바랍니다.
☞ [삭제] DreamNet Service (2013.3.23)
☞ 국내 악성코드 : GloryShop (2013.4.7)
☞ 검색 도우미 : Microsoft AD WS (2013.5.26)