웹 브라우저 좌측 영역에 "Addendum-nm" 사이드바 광고를 생성하며, 웹 브라우저의 명령 모음에 삭제를 지원하지 않는 "옥션 바로가기" 아이콘을 등록하는 검색 도우미 "Addendum-nm" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 1906c232386256d5cf0a524e2d033b87)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.Enumerate (VT : 12/47) 진단명으로 진단되고 있습니다.
C:\Users\(사용자 계정)\AppData\Local\Temp\LastTimeCK.dat
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmib.dll
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmim.dll :: BHO 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmmgr.exe :: 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmup.exe :: 시작 프로그램 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\uninst.exe :: 프로그램 삭제 파일
C:\Windows\auction.ico
C:\Windows\System32\alrimad.dll
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmib.dll
- MD5 : a83dc9b367fb21a2b0649ecfcea12629
- AhnLab V3 : PUP/Win32.Addendum (VT : 5/47)
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmim.dll
- MD5 : 5f5dbedfa6ae3bab249f08470cca2e14
- AhnLab V3 : PUP/Win32.Addendum (VT : 10/46)
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmmgr.exe
- MD5 : 5a3c4352cfff1b38bce907ce7bf01e7a
- MSE : Adware:Win32/Addendum (VT : 17/47)
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmup.exe
- MD5 : d41f88e46cf37b6a101be7e76c8c3c73
- Kaspersky : not-a-virus:AdWare.Win32.Addendum.fl (VT : 27/47)
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\uninst.exe
- MD5 : 9be006080162801745773e53ea1688c5
- AhnLab V3 : PUP/Win32.Enumerate (VT : 1/47)
C:\Windows\System32\alrimad.dll
- MD5 : 794044f1ca541063580b5c2cdf92f98a
- AhnLab V3 : Win-PUP/Helper.HipPop.672256 (VT : 1/47)
해당 프로그램은 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb" 폴더에 주요 파일을 생성하며, Windows 시작시 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmup.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 시작 프로그램 파일(csbnmup.exe)은 버전 체크 후 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmmgr.exe" 파일을 메모리에 상주시켜 구성값을 체크합니다.
프로그램이 설치된 환경에서 특정 검색 키워드 값을 이용한 인터넷 검색을 통해 웹 사이트에 접속할 경우, 웹 브라우저 좌측 영역에 "Addendum-nm" 스폰서 검색 결과를 노출시키는 사이드바 광고가 생성됩니다.
해당 사이드바 광고를 통해 웹 사이트 접속시 Daum 클릭스(ma.biz.daum.net) 제휴 코드가 추가되는 것을 확인할 수 있습니다.
또한 웹 브라우저의 명령 모음에 "옥션 바로가기" 아이콘을 등록하여 특정 제휴 코드가 추가된 형태로 옥션(Auction) 인터넷 쇼핑몰에 접속하도록 추가되어 있습니다.
이름 : IESMon.Mon16
게시자 : NemoNamuMedia
유형 : 브라우저 도우미 개체
CLSID : {9CA5610A-0DFC-4716-94EF-5450EF43A1F7}
파일 : C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmim.dll
이름 : Addendum-nm
게시자 : NemoNamuMedia
유형 : 탐색창
CLSID : {1E9F9173-FDF8-4258-9051-7D29967A3FB2}
파일 : C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmib.dll
이름 : 옥션 바로가기
유형 : 브라우저 확장
CLSID : {FF5CBC30-F3C4-4F82-B398-F01FC9A4830C}
해당 광고는 Internet Explorer 웹 브라우저 실행시 csbnmim.dll, csbnmib.dll 2개의 파일을 브라우저 도우미 개체(BHO) 및 탐색창으로 등록하여 검색 키워드 값을 참조하여 사이드바 광고를 생성하며, 웹 브라우저의 명령 모음에 "옥션 바로가기" 아이콘을 등록하도록 구성되어 있습니다.
그러므로 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "IESMon.Mon16", "Addendum-nm", "옥션 바로가기" 3개의 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
또한 메모리에 상주하는 csbnmmgr.exe 프로세스에 "C:\Windows\System32\alrimad.dll" 파일이 추가되어 G마켓, 11번가, 옥션 검색 서비스를 통해 특정 검색 키워드 값을 통한 검색을 수행할 경우 Internet Explorer, Mozilla Firefox 웹 브라우저에서 광고창이 생성될 수 있을 것으로 보입니다.
프로그램 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 csbnmmgr.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판에 등록된 "Addendum-nm" 삭제 항목을 이용하여 삭제할 수 있습니다.
하지만 프로그램 삭제 이후에도 Internet Explorer 웹 브라우저의 명령 모음에 등록된 "옥션 바로가기" 아이콘이 남아있어 지속적인 수익 활동을 할 수 있으므로, 다음의 파일과 레지스트리 값을 수동으로 삭제하시기 바랍니다.
- C:\Windows\auction.ico
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FF5CBC30-F3C4-4f82-B398-F01FC9A4830C} :: 레지스트리 편집기(regedit) 실행
HKEY_CURRENT_USER\Software\AppDataLow\Software\chknm
HKEY_CURRENT_USER\Software\AppDataLow\Software\csbnm
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1E9F9173-FDF8-4258-9051-7D29967A3FB2}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9CA5610A-0DFC-4716-94EF-5450EF43A1F7}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IESB.Band16
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IESMon.Mon16
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{23F2D1AC-958E-4A9B-9FF3-C9712C7CC192}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{85706650-5CCE-4060-8CFC-CDA1CD1E3919}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{052A4070-64BE-4521-A420-930DBD12441C}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{0B916EBA-1130-4459-9106-E933127A1EBF}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FF5CBC30-F3C4-4f82-B398-F01FC9A4830C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{9CA5610A-0DFC-4716-94EF-5450EF43A1F7}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- csbnm = C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\csbnmup.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
csbnm
"Addendum-nm" 검색 도우미 시리즈는 주기적으로 다양한 변종 프로그램을 유포하고 있으며, 프로그램 삭제 이후에도 일부 바로가기 아이콘을 통해 지속적인 수익 창출을 노리고 있으므로 주의하시기 바랍니다.
☞ <2010년~2011년 관련 정보> 검색 도우미 : Addendum - addenbar (2011.11.22) 외 8건
☞ <2012년 관련 정보> 검색 도우미 : Addendum-nm - addendum_sb (2012.10.30) 외 2건
☞ <2013년 1월~6월 관련 정보> 검색 도우미 : AddendumLin (2013.6.21) 외 3건
☞ 검색 도우미 : Addendum-nm - addendum_sb (barsi) (2013.7.15)
☞ 검색 도우미 : Addendum-nm - addendum_sb (wennm) (2013.8.19)
☞ 검색 도우미 : Addendum-nm - addendum_sb (sbnew) (2013.8.21)
☞ 검색 도우미 : Addendum-nm - addendum_sb (asbnm) (2013.8.28)