검색 도우미 : PageSearch

국내에서 제작된 검색 도우미 PageSearch 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램은 설치된 환경에서 국내 검색 사이트를 통한 검색을 이용할 경우 Internet Explorer에 사이드바 방식으로 추천 사이트 등을 제시하는 것으로 소개되어 있습니다.

하지만, 테스트 과정에서 프로그램을 설치하는 과정에서 설치 파일을 스스로 삭제하는 행위와 삭제를 교묘하게 방해하는 행위를 확인할 수 있었습니다.

생성 폴더, 파일 정보

해당 프로그램은 설치시 그림과 같이 프로그램 설치 폴더에 uninstall.exe 파일을 통하여 프로그램 삭제 파일을 포함하고 있는 정상적인 프로그램으로 구성되어 있습니다.

프로그램 삭제를 위해서 제어판의 [pagesearch 삭제] 항목이 존재하며, 해당 기능을 통해 정상적으로 프로그램을 삭제할 수 있는 것으로 보입니다.

하지만 삭제를 시도할 경우, 좌측 그림과 같이 일반적인 프로그램의 삭제 확인 화면에서 제공하는 [예 / 아니오]의 버튼의 좌우를 반대로 구성하여 기본값을 [아니오]로 맞추어 두고 있습니다.

해당 메시지에서 [예]를 클릭할 경우에는 프로그램이 정상적으로 삭제되는 것을 확인할 수 있지만, 만약 습관적으로 프로그램 삭제시 나오는 화면을 제대로 확인하지 않고 진행할 경우 즉, [아니오]를 선택하고 삭제를 진행할 경우 다음과 같은 현상을 확인할 수 있습니다.

[아니오]를 선택하고 삭제하였을 경우

[아니오]를 선택한 경우 초기에는 프로그램 삭제가 진행된 것 같지만, 제어판의 삭제 항목은 그대로 존재한 상태로 표시가 됩니다. 만약 사용자가 다시 한 번 삭제 항목을 통해 삭제를 시도하려고 할 경우, 그림과 같이 오류 메시지를 출력하며 삭제 항목만 제거되는 현상이 발생합니다.

[아니오]를 선택한 경우 파일 변경 정보

[아니오]를 선택하여 프로그램 삭제를 시도한 경우의 그림과 같이 프로그램 삭제 파일인 uninstall.exe 파일만 삭제가 되고, 프로그램이 동작하는 핵심 파일인 pagesearch.dll 파일이 여전히 존재한 것을 확인할 수 있습니다.

이런 경우 더 이상 제어판의 삭제 항목은 존재하지 않고 프로그램 삭제를 위해서는 수동 삭제만 할 수 있도록 변하게 되는 것입니다. 특히 사용자가 프로그램 설치를 초기할 때 사용된 설치 파일도 프로그램 설치 과정에서 자동으로 삭제되는 것을 통해 재설치를 통한 삭제 시도도 방해하고 있다고 볼 수 있습니다.

또한, 이렇게 삭제 파일만 제거된 경우 사용자가 Internet Explorer를 사용할 경우 pagesearch.dll 파일은 정상적으로 BHO 방식으로 iexplore.exe 프로세스에 인젝션(Injection)되어 계속적으로 동작을 하는 것을 확인할 수 있습니다.

이번 경우와 같이 인터넷 사용자의 프로그램 삭제 습관 중에서 아주 사소한 버튼의 좌우 위치 변경만으로도 실제로는 프로그램 삭제가 이루어지지 않도록 하거나, 눈속임을 하여 계속적으로 사용자 컴퓨터에 파일이 동작하도록 하는 것을 확인할 수 있었으며, 이런 경우 수동 삭제가 불편하다는 점과 윈도우 시작시 자동 실행 방식이 아닌 Internet Explorer 동작시에만 동작하는 방식을 통한 확인하기 어려운 점을 이용하기에 주의가 요구됩니다.

프로그램의 수동 삭제를 위해서는 반드시 모든 프로그램을 종료한 상태에서 해당 폴더 삭제 및 다음의 레지스트리 항목을 삭제하시기 바랍니다.

[레지스트리 등록 정보]

HKEY_CLASSES_ROOT\CLSID\{C03F44B0-B2F3-45CA-9517-E05BE5CD6FC5}
HKEY_CLASSES_ROOT\Interface\{C62C8D83-2FB2-45CE-893E-A66F467194B7}
HKEY_CLASSES_ROOT\ProNc.ProNcband
HKEY_CLASSES_ROOT\ProNc.ProNcband.1
HKEY_CLASSES_ROOT\TypeLib\{B023009A-02B5-4B70-8726-FC1E59B76C21}
HKEY_CURRENT_USER\Software\pagesearch
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C03F44B0-B2F3-45CA-9517-E05BE5CD6FC5}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\pagesearch