국내에서 제작된 광고 기능을 가진 프로그램 중 마우스(Mouse) 관련 프로그램처럼 사용자를 기만하며 몰래 설치되는 것으로 추정되는 "Windows mouse protection release" 프로그램에 대해 정보 일부가 수집되어 공개해 드리도록 하겠습니다.
해당 프로그램은 2013년 상반기부터 활발하게 유포가 이루어졌으며 Mouse Right Button Abler, Release mouse r-button protection 등과 같은 다양한 이름으로 설치가 된 것으로 추정됩니다.
■ "Windows mouse protection release" 변종 프로그램 정보
"Windows mouse protection release" 프로그램은 "C:\Program Files (x86)\nospell" 폴더에 파일을 생성하여 사용자가 프로그램 이름과 폴더명의 연관성을 찾기 매우 어렵습니다.
|
파일 경로 |
C:\Program Files (x86)\nospell\nospell_sch.exe |
|
MD5 |
55745B3D9BE5AE258DF6DBDD53243EA3 |
|
진단명 |
Trojan/Win32.Downloader (AhnLab V3) |
|
디지털 서명 |
JDK |
|
파일 설명 |
nospell_sch.exe |
|
비고 |
예약 작업(C:\Windows\Tasks\spschxxysvsp.job) 등록 파일 |
JDK 디지털 서명이 포함된 "C:\Program Files (x86)\nospell\nospell_sch.exe" 파일은 예약 작업에 "spschxxysvsp" 작업 스케줄러를 등록하여 시스템 시작시 자동 실행되도록 구성되어 있습니다.
해당 파일은 특정 드랍퍼(Dropper) 파일을 통해 ZIP 압축 파일 형태로 다운로드되어 압축 해제가 이루어지는 것으로 보이며, 관련 압축 파일은 2종이 확인되고 있습니다.
- nospell_sch.exe 파일이 압축된 ZIP 파일(MD5 : 5bb98cb37db14a7d10db4fce807a05e9) - avast! : Win32:Adware-AZP [Adw]
- nospell_sch.exe 파일이 압축된 ZIP 파일(MD5 : 1ce1bec1b14467d222becb52df990ee0) - AhnLab V3 : Trojan/Win32.Downloader
또한 추가적으로 nospell.exe 파일이 압축된 ZIP 압축 파일(MD5 : 6132d37675de300480f5e6604a2d44b1 - AhnLab V3 : Trojan/Win32.Downloader)을 통해 다운로드할 수 있는 것으로 추정됩니다.
|
파일 경로 |
C:\Program Files (x86)\nospell\nospell_uc.exe |
|
MD5 |
F00EDEDCDE517E4B4AD14FF7F3B33862 |
|
진단명 |
Trojan/Win32.Downloader (AhnLab V3) |
|
디지털 서명 |
JDK |
|
파일 설명 |
nospell_uc.exe |
|
레지스트리 등록값 |
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run - NOSPELL_UC |
|
비고 |
시작 프로그램(NOSPELL_UC) 등록 파일 |
JDK 디지털 서명이 포함된 "C:\Program Files (x86)\nospell\nospell_uc.exe" 파일은 Windows 시작시 "NOSPELL_UC" 시작 프로그램 등록값을 통해 자동 실행되며, 다음과 같은 2종의 파일과 연관되어 있습니다.
해당 파일은 특정 드랍퍼(Dropper) 파일을 통해 ZIP 압축 파일 형태로 다운로드되어 압축 해제가 이루어지며 확인된 파일은 다음과 같습니다.
- nospell_uc.exe 파일이 압축된 ZIP 파일(MD5 : 20e476ebb24cbb52b2b96f5bdc3f65fe) - AhnLab V3 : Trojan/Win32.Downloader
또한 추가적으로 nospell.exe 파일이 압축된 ZIP 파일(MD5 : 6132d37675de300480f5e6604a2d44b1 - AhnLab V3 : Trojan/Win32.Downloader)을 통해 다운로드된 것으로 추정됩니다.
|
파일 경로 |
C:\Windows\spmonxxysvsp.exe |
|
MD5 |
FBC19C50E5AD67262EEBEAE17F4C3F69 |
|
진단명 |
Trojan/Win32.Downloader (AhnLab V3) |
|
디지털 서명 |
JDK |
|
파일 설명 |
spmonxxysvsp.exe |
|
레지스트리 등록값 |
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\spmonxxysvsp |
|
비고 |
서비스(spmonxxysvsp) 등록 파일 |
JDK 디지털 서명이 포함된 "C:\Windows\spmonxxysvsp.exe" 파일은 "spmonxxysvsp" 서비스 항목을 등록하여 시스템 시작시 자동 실행되며, 해당 파일 및 서비스 이름은 변종 프로그램에 따라 다양한 이름으로 등록될 수 있습니다.
해당 프로그램은 특정 서버로부터 다음과 같은 2종의 ZIP 압축 파일을 다운로드하여 프로그램 업데이트 및 설치가 이루어지도록 하는 기능이 있는 것으로 추정됩니다.
- nospell.exe 파일이 압축된 ZIP 파일(MD5 : 6132d37675de300480f5e6604a2d44b1) - AhnLab V3 : Trojan/Win32.Downloader
- nospell_mon.exe 파일이 압축된 ZIP 파일(MD5 : af7575cd300f7ead51251866adf6d08c) - AhnLab V3 : Trojan/Win32.Downloader
현재 수집된 정보에서는 프로그램이 정상적으로 동작할 경우 메모리에 상주하는 프로세스 정보가 확인되지 않고 있지만, 이들 파일 모두는 시스템 시작시 자동 실행되어 업데이트 및 광고 구성값 정보를 체크하여 다양한 수익 활동을 할 것으로 판단됩니다.
프로그램 삭제는 기본적으로 제어판에 등록된 "Windows mouse protection release" 삭제 항목(C:\Program Files (x86)\nospell\nospell_unins.exe)을 통해 삭제가 이루어지도록 제작되어 있으며, 사용자가 다음과 같은 절차에 따라 직접 삭제할 수도 있습니다.
(a) "보조 프로그램 → 명령 프롬프트" 메뉴를 "관리자 권한으로 실행"하여 생성된 명령 프롬프트 창에 [sc stop "spmonxxysvsp"]와 [sc delete "spmonxxysvsp"] 명령어를 차례대로 입력 및 실행하여 메모리에 상주할 수 있는 spmonxxysvsp.exe 프로세스 종료 및 서비스 등록값을 삭제할 수 있습니다.
(b) Windows 작업 관리자를 실행하여 nospell_sch.exe, nospell_uc.exe 프로세스가 존재할 경우 종료하시기 바랍니다.
(c) Windows 탐색기를 실행하여 "C:\Program Files (x86)\nospell" 폴더를 찾아 삭제하시기 바랍니다.
(d) 레지스트리 편집기(regedit)를 실행하여 다음의 레지스트리 값을 찾아 삭제하시기 바랍니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- NOSPELL_UC
최근까지도 제어판에 등록된 프로그램 목록 중에서 "Windows mouse protection release" 프로그램이 확인되고 있으므로 인터넷 상에서 프로그램을 다운로드할 때에는 반드시 공식 사이트 또는 포털 자료실을 이용하시기 바랍니다.
마지막으로 사용자 PC에 "Windows mouse protection release" 프로그램 및 유사 프로그램이 설치되어 있는 경우 "[공지] 광고 프로그램 삭제 관련 문의 방법" 게시글을 참고하여 Runscanner 프로그램을 통해 정보를 제공해 주시면 고맙겠습니다.