최근 다수의 제휴 프로그램과 함께 설치되는 국내 광고 프로그램 중 아프리카TV 아이콘으로 위장한 파일을 통해 삭제되지 않는 myPopup 광고 프로그램<SHA-1 : e28ee9715c78d3547005c978ad3709f824c2e13e - Kaspersky : UDS:DangerousObject.Multi.Generic (VT : 4/54)>에 대해 살펴보도록 하겠습니다.
C:\Program Files\myPopup
C:\Program Files\myPopup\Uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\myPopup\WindowsUpdate.exe :: 시작 프로그램(WindowsUpdate) 등록 파일, 메모리 상주 프로세스
C:\Program Files\myPopup\WindowsUpdate.ico
C:\Program Files\myPopup\WindowsUpdate.exe
- SHA-1 : 540e757bd8248e1951ae468040eada971dfdd5a0
- Kaspersky : UDS:DangerousObject.Multi.Generic (VT : 3/55)
해당 광고 프로그램은 RARSFX 실행 압축 파일을 통해 배포가 이루어지고 있으며 설치시 "C:\Program Files\myPopup" 폴더에 아프리카TV 아이콘으로 표시되는 파일을 생성합니다.
해당 광고 프로그램은 사용자 계정 컨트롤(UAC) 알림 기능을 사용하지 않는 PC 환경에서만 Windows 시작시 "C:\Program Files\myPopup\WindowsUpdate.exe" 파일을 시작 프로그램(WindowsUpdate)으로 등록하여 자동 실행되어 메모리에 상주합니다.
자동 실행된 WindowsUpdate.exe 파일은 특정 IP 서버에서 암호화된 광고 구성값 정보를 받아 시스템 트레이 알림 아이콘 상단에 "핫뉴스" 광고바를 주기적으로 생성할 수 있습니다.
노출된 광고바를 클릭할 경우 네이버(Naver) 블로그 검색 영역에 특정 검색 키워드 값을 이용한 인터넷 검색을 수행합니다.
■ myPopup 광고 프로그램 삭제 방법
해당 광고 프로그램은 기본적으로 제어판에 "myPopup" 삭제 항목을 통해 삭제할 수 있도록 지원하고 있으며, 삭제 진행시 WindowsUpdate 삭제창을 통해 삭제를 할 수 있는 것처럼 표시합니다.
하지만 프로그램에서 제공하는 삭제 기능을 통해 제거를 진행한 후에는 제어판에서만 삭제 항목이 삭제될 뿐 지속적으로 프로그램이 광고 동작을 수행하므로 다음과 같은 절차에 따라 수동으로 제거하시기 바랍니다.
(a) Windows 작업 관리자를 실행하여 메모리에 상주하는 WindowsUpdate.exe 프로세스를 찾아 종료하시기 바랍니다.
(b) "C:\Program Files\myPopup" 폴더를 직접 삭제하시기 바랍니다.
(c) 레지스트리 편집기(regedit)를 실행하여 다음의 레지스트리 값을 찾아 삭제하시기 바랍니다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- WindowsUpdate = C:\Program Files\myPopup\WindowsUpdate.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\myPopup
myPopup 광고 프로그램은 아프리카TV 아이콘과 Windows Update 관련 파일처럼 구성하여 사용자의 눈을 속이고 있으며, 프로그램에서 제공하는 삭제 기능을 통해 제거되지 않고 지속적으로 광고 행위를 수행하므로 주의하시기 바랍니다.
또한 일부 광고 또는 악성 프로그램은 사용자 계정 컨트롤(UAC) 알림 기능을 사용하지 않는 PC에서만 동작하는 경우가 있으므로 항상 알림 기능을 사용하시길 권장합니다.