앞서 소개한 WinZIP 압축 프로그램 설치시 제휴 프로그램으로 설치될 수 있는 "sweet-page uninstall" 광고 프로그램 설치 과정에서 사용자 몰래 설치되는 XTab 악성 광고 프로그램에 대해 살펴보도록 하겠습니다.
XTab 악성 광고 프로그램은 기존의 SupTab 광고 프로그램의 변종으로 판단되므로 참고하시기 바랍니다.
XTab 광고 프로그램의 설치 과정을 자세하게 살펴보면 "sweet-page uninstall" 광고 프로그램 설치시 특정 서버에서 다운로드된 2.zip 압축 파일 내부에 존재하는 "Taiming Li" 디지털 서명이 포함된 STab_Down.exe 파일(SHA-1 : 963b51973b9e6aa39a4fd8a78aacdfe5964b20ed)이 임시 폴더에 압축 해제되어 실행됩니다.
이를 통해 특정 서버에서 XTab 설치 파일을 다운로드하여 "C:\Users\(사용자 계정)\AppData\Local\Temp\158AF40F-387C-4D75-B9F1-9186769876B9mp\tmp\STab_v4.0.exe" 파일<SHA-1 : a81bf1138586872bb638bea70d013379a2501b66 - avast! : Win32:SupTab-D [Adw] (VT : 28/56)>로 생성된 후 설치가 진행됩니다.
C:\Program Files\XTab
C:\Program Files\XTab\install.data
C:\Program Files\XTab\msvcp110.dll
C:\Program Files\XTab\msvcr110.dll
C:\Program Files\XTab\ProtectService.exe :: 서비스(IHProtect Service) 등록 파일, 메모리 상주 프로세스
C:\Program Files\XTab\skin
C:\Program Files\XTab\SupTab.dll :: BHO 등록 파일
C:\Program Files\XTab\uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\XTab\web
C:\Program Files\XTab\web\_locales
C:\Program Files\XTab\web\data.html
C:\Program Files\XTab\web\img
C:\Program Files\XTab\web\indexIE.html
C:\Program Files\XTab\web\indexIE8.html
C:\Program Files\XTab\web\js
C:\Program Files\XTab\web\main.css
C:\Program Files\XTab\web\ver.txt
C:\ProgramData\IHProtectUpDate
C:\ProgramData\IHProtectUpDate\update
C:\ProgramData\IHProtectUpDate\update\conf
C:\Program Files\XTab\ProtectService.exe
- SHA-1 : 599e2748522276cbf3f990eb4f46016868deb898
- AhnLab V3 365 Clinic : PUP/Win32.SearchProtect (VT : 5/56)
C:\Program Files\XTab\SupTab.dll
- SHA-1 : eeaf6ecd24de592cf93a2cae458696092e95e0fe
- ALYac : Adware.Agent.OFO (VT : 30/56)
"Thinknice Co., Limited" 디지털 서명이 포함된 XTab 광고 프로그램은 "C:\Program Files\XTab", "C:\ProgramData\IHProtectUpDate" 2개의 폴더에 파일을 생성합니다.
"IHProtect Service (표시 이름 : IHProtect Service)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\XTab\ProtectService.exe" 파일을 자동 실행하여 메모리에 상주하도록 구성되어 있습니다.
이 과정에서 특정 서버에 추가적인 업데이트 정보가 존재할 경우 "C:\ProgramData\IHProtectUpDate\update\UpDateProcess_exe" 파일 생성을 통한 업데이트가 이루어질 수 있습니다.
XTab 광고 프로그램이 설치된 환경에서는 Internet Explorer 웹 브라우저의 새 탭을 오픈할 경우 "tab.lightningnewtab.com" 광고 서버를 경유한 "Quick Start" 광고탭이 오픈되는 동작을 확인할 수 있습니다.
|
이름 |
IETabPage Class |
|
게시자 |
Thinknice Co., Limited |
|
유형 |
브라우저 도우미 개체 |
|
CLSID |
{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} |
|
파일 |
C:\Program Files\XTab\SupTab.dll |
특히 "Quick Start" 광고탭을 오픈하도록 광고 기능을 수행하는 "C:\Program Files\XTab\SupTab.dll" 광고 모듈은 사용자가 기능을 중지하지 못하도록 레지스트리 값을 조작하여 Internet Explorer 웹 브라우저의 확장 프로그램 버튼을 비활성화하고 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Ext\CLSID
- {3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} = 1
참고로 비활성화된 확장 프로그램 버튼을 활성화하기 위해서는 "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\
Ext\CLSID\{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}" 레지스트리 값을 찾아 삭제하시기 바랍니다.
■ XTab 광고 프로그램 삭제 방법
(a) "보조 프로그램 → 명령 프롬프트" 메뉴를 "관리자 권한으로 실행"하여 생성된 명령 프롬프트 창에 [sc stop "IHProtect Service"] 명령어를 입력 및 실행하여 메모리에 상주하는 ProtectService.exe 서비스 프로세스를 자동 종료하시기 바랍니다.
(b) Internet Explorer 웹 브라우저를 종료한 상태에서 제어판 또는 체크잇(CheckIt : www.checkitinfo.com) 프로그램에 등록된 XTab 삭제 항목을 이용하여 프로그램 삭제를 진행할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{917CAAE9-DD47-4025-936E-1414F07DF5B8}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{968EDCE0-C10A-47BB-B3B6-FDF09F2A417D}
HKEY_LOCAL_MACHINE\SOFTWARE\IHProtect
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Ext\CLSID
- {3593C8B9-8E18-4B4B-B7D3-CB8BEB1AA42C} = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\XTab
HKEY_LOCAL_MACHINE\SOFTWARE\SupDp
HKEY_LOCAL_MACHINE\SOFTWARE\supTab
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\IHProtect Service
(c) 프로그램 삭제 후 다음의 폴더(파일)를 찾아 삭제하시기 바랍니다.
- C:\Program Files\XTab
- C:\Program Files\XTab\SupTab.dll
- C:\ProgramData\IHProtectUpDate
이상으로 WinZIP 압축 프로그램에 포함된 "sweet-page uninstall" 제휴 프로그램이 설치되는 과정에서 사용자 몰래 WindowsMangerProtect, XTab 2종의 악성 광고 프로그램이 자동 설치될 수 있으므로 프로그램 설치시 부가적으로 설치되는 구성 요소를 꼼꼼하게 확인하는 습관을 가지시기 바랍니다.