인터넷 검색시 웹 브라우저 좌측 영역에 "Addendum-nm" 사이드바 광고를 노출하며, 삭제를 지원하지 않는 "옥션 바로가기" 아이콘을 등록하는 검색 도우미 "Addendum-nm" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램은 2013년 5월 10일경 유포가 시작된 것으로 보이며, 설치 파일(MD5 : 57d6629d4897b02b1358af30625c3e5c)에 대하여 Kaspersky 보안 제품에서는 Trojan.Win32.Badur.jkv (VT : 15/46) 진단명으로 진단되고 있습니다.
▷ 검색 도우미 : Addendum-nm - addendum_sb (2012.10.30)
▷ 검색 도우미 : Addendum-nm - addendum_sb (nmnew) (2013.4.3)
▷ 검색 도우미 : Addendum-nm - addendum_sb (barsi) (2013.7.15)
또한 프로그램 이름(Addendum-nm)은 동일하지만 파일명을 변경한 변종 프로그램이 다수 발견되고 있으므로 참고하시기 바랍니다.
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\uninst.exe :: 프로그램 삭제 파일
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmib.dll
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmim.dll :: BHO 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmmgr.exe :: 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmup.exe :: 시작 프로그램 등록 파일
C:\Windows\auction.ico
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\uninst.exe
- MD5 : f80424ae1b49f4601e9ce26c8160d6f4
- AhnLab V3 : PUP/Win32.Enumerate (VT : 3/46)
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmib.dll
- MD5 : 11489aa135f03692d80d308f12ff0786
- AhnLab V3 : PUP/Win32.Addendum (VT : 8/46)
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmim.dll
- MD5 : 793250859f369ebba450007fa71d857a
- nProtect : Adware/W32.KrAdword.303104.F (VT : 28/46)
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmmgr.exe
- MD5 : 68e72c74739f9325d87ad119a2120c33
- AhnLab V3 : PUP/Win32.Addendum (VT : 25/46)
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmup.exe
- MD5 : 83ac908150070748cdd0e7a742f4c587
- AhnLab V3 : PUP/Win32.Addendum (VT : 37/46)
해당 프로그램은 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb" 폴더에 파일을 생성하며, Windows 시작시 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmup.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 시작 프로그램 파일(wennmup.exe)은 업데이트 정보를 체크한 후 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmmgr.exe" 파일을 로딩하여 메모리에 상주시킵니다.
프로그램이 설치된 환경에서 인터넷 검색을 통해 웹 사이트에 접속할 경우, 웹 브라우저 좌측 영역에 검색 키워드 값을 참조한 "Addendum-nm" 사이드바 광고가 생성됩니다.
해당 사이드바 광고에 노출된 검색 결과를 클릭할 경우, 특정 광고 서버를 경유하여 Daum 클릭스(ma.biz.daum.net) 제휴 코드가 추가된 형태로 연결이 이루어집니다.
또한 웹 브라우저의 명령 모음에 "옥션 바로가기" 아이콘을 등록하며, 해당 바로가기 아이콘을 클릭시 제휴 코드가 추가되어 옥션(Auction) 인터넷 쇼핑몰로 연결이 이루어지고 있습니다.
이름 : IESMon.Mon5
게시자 : NemoNamuMedia
유형 : 브라우저 도우미 개체
CLSID : {F6ABEFBF-E355-4083-A069-B24FFF026595}
파일 : C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmim.dll
이름 : Addendum-nm
게시자 : NemoNamuMedia
유형 : 탐색창
CLSID : {435052EC-5D24-44C0-95E2-3DD1AA50733A}
파일 : C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmib.dll
이름 : 옥션 바로가기
유형 : 브라우저 확장
CLSID : {FF5CBC30-F3C4-4F82-B398-F01FC9A4830C}
해당 광고 동작은 웹 브라우저 실행시 wennmim.dll, wennmib.dll 2개의 파일을 브라우저 도우미 개체(BHO)와 탐색창으로 등록하여 사이드바 광고를 생성하며, "옥션 바로가기" 항목을 브라우저 확장 영역에 등록하여 바로가기 아이콘을 생성하고 있습니다.
그러므로 광고 동작 중지 및 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "IESMon.Mon5", "Addendum-nm", "옥션 바로가기" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
또한 Windows 작업 관리자를 실행하여 메모리에 상주하는 wennmmgr.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판에 등록된 "Addendum-nm" 삭제 항목을 이용하여 삭제할 수 있습니다.
하지만 프로그램 삭제 이후에도 웹 브라우저의 명령 모음에 등록된 "옥션 바로가기" 항목이 삭제되지 않고 지속적인 수익 활동을 하는 부분이 확인되고 있으므로, 웹 브라우저의 추가 기능 관리에 등록된 "옥션 바로가기" 항목을 "사용 안 함"으로 변경한 후 다음의 파일 및 레지스트리 값을 삭제하시기 바랍니다.
- C:\Windows\auction.ico
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FF5CBC30-F3C4-4f82-B398-F01FC9A4830C}
HKEY_CURRENT_USER\Software\AppDataLow\Software\chknm
HKEY_CURRENT_USER\Software\AppDataLow\Software\wennm
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{435052EC-5D24-44C0-95E2-3DD1AA50733A}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F6ABEFBF-E355-4083-A069-B24FFF026595}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IESB.Band5
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IESMon.Mon5
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{288101A2-09C1-4FB6-80EF-8484CBC0BA4D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{725A73DC-4B15-4946-82DC-0218FE3033FA}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{0C495FC5-4C39-4609-A3FC-10680DF923E5}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{625C8FA2-2365-4F89-B3E1-9D8B11A6AF46}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FF5CBC30-F3C4-4f82-B398-F01FC9A4830C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{F6ABEFBF-E355-4083-A069-B24FFF026595}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- wennm = C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\wennmup.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
wennm
"Addendum-nm" 검색 도우미 시리즈는 다양한 파일명으로 유포가 이루어지고 있으며, 이를 통해 인터넷 검색시 생성되는 사이드바 광고 또는 바로가기 아이콘을 통해 수익을 창출하고 있으므로 주의하시기 바랍니다.
☞ <2010년~2011년 관련 정보> 검색 도우미 : Addendum - addenbar (2011.11.22) 외 8건
☞ <2012년 관련 정보> 검색 도우미 : Addendum-nm - addendum_sb (2012.10.30) 외 2건
☞ [삭제] Addendum - addentool (2013.2.7)
☞ 검색 도우미 : addendum (ts) - 2.0.0.1 (2013.3.30)
☞ 검색 도우미 : Addendum-nm - addendum_sb (nmnew) (2013.4.3)
☞ 검색 도우미 : AddendumLin (2013.6.21)