본문 바로가기

벌새::Analysis

악성코드 치료 프로그램 : 닥터V(DoctorV)

국내 블루솔루션 업체에서 서비스하는 유료 악성코드 치료 프로그램 닥터V(DoctorV) 제품에 대해 살펴보도록 하겠습니다.

해당 프로그램은 설치 과정에서 설치 파일 내부에 포함된 west45.exe(MD5 : 4bc7c20a59fee0f60402cde3ea453457) 파일에 대하여 안철수연구소(AhnLab) V3 보안 제품에서 Trojan/Win32.LdPinch 진단명으로 진단을 하고 있는 것을 확인할 수 있습니다.

west45.exe

보안 제품에서 진단하는 west45.exe 파일은 국내 특정 서버와 연결하여 kocsung.exe 파일을 사용자 몰래 다운로드하는 기능을 포함하고 있지만, 테스트에서는 해당 파일이 다운로드되지 않는 것으로 보입니다.

하지만 kocsung.exe(MD5 : 9e1a5d4f905fdc35e44a79fbc58d86f1) 파일은 안철수연구소(AhnLab) V3 보안 제품에서 Trojan/Win32.LdPinch 진단명으로 진단되는 악성 파일로 알려져 있으므로 참고하시기 바랍니다.

해당 문제는 이 프로그램 서비스 업체에서 운영하는 백신체크(VaccineCheck) 프로그램에서도 확인된 부분으로 해당 내용을 참고하시기 바랍니다.

참고로 타 업체에서 서비스하는 유료 악성코드 치료 프로그램 브이닥터(VDoctor) 제품과 유사한 이름이므로 혼동하지 않도록 하시기 바랍니다.

[테스트 환경]

● OS : Windows XP SP3
● 설치 프로그램 : Setup 설치 파일 (MD5 : 7ddee88b7bccf5e754c363b807219a18)

※ 해당 프로그램은 배포 방식에 따라 파일 구성 및 정보가 다를 수 있습니다.
※ 해당 내용은 게시글 작성 일자 기준이므로 실제와 다를 수 있습니다.
※ 해당 내용은 컴퓨터 환경에 따라 결과가 다를 수 있습니다.

1. 프로그램 설치 / 삭제 정보


1-1. 생성 폴더 / 파일 정보

해당 프로그램은 Windows 시작시 DoctorVLaunch.exe 파일을 시작 프로그램으로 등록하여 자동 실행되며, 실행된 프로그램은 악성코드 검사를 하도록 구성되어 있습니다.

악성코드 검사 중에는 사용자에 의한 검사 중지가 불가능하지만, 시스템 트레이 상에 존재하는 프로그램 아이콘에서 제공하는 종료 기능을 통해 프로그램을 완전히 종료할 수 있으므로 참고하시기 바랍니다.

1-2. 레지스트리 생성 정보

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\DoctorV
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - DoctorV = C:\Program Files\DoctorV\DoctorVLaunch.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\DoctorVUp.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
DoctorV


1-3. 프로세스 정보


해당 프로그램이 실행되면 DoctorV.exe 프로세스가 생성되는 것을 확인할 수 있으며, 악성코드 검사 중에 중지가 불가능하므로 작업 관리자에서 해당 프로세스를 수동으로 종료하여 문제를 해결하실 수 있습니다.


1-4. 관련 URL 정보

h**p://******v.co.kr/count/inst.php?ucode=(사용자 Mac Address)&pcode=partner1
h**p://******v.co.kr/app/update/list.html
h**p://******v.co.kr/app/update/update_app.html
h**p://******v.co.kr/app/files/data/dt.cab
h**p://******v.co.kr/count/boot.php?ucode=(사용자 Mac Address)&pcode=partner1
h**p://******v.co.kr/_admin/notify.php
h**p://******v.co.kr/count/unst.php?ucode=(사용자 Mac Address)&pcode=partner1

1-5. 삭제 정보

프로그램 삭제는 제어판의 [닥터V] 삭제 항목을 이용하여 삭제하실 수 있습니다.

2. 제품 해지 신청 정보

해당 프로그램의 이용약관에서는 월정액(자동 연장 결제) 유료 사용자는 별도의 해지 신청이 없을 경우 매월 자동으로 이용요금을 청구하는 방식이므로 주의하시기 바랍니다.

1. 전화 : 1544-3842
2. 자동 연장 결제 해지 신청

위와 같은 방법으로 해지 신청이 되지 않을 시에는 휴대폰/ARS 결제중재센터 또는 신문고(휴대폰 소액결제 민원해결센터)를 통하여 문제를 해결하시기 바라며, 금전적 피해와 관련해서는 한국소비자원에 신고하여 구제를 받으시기 바랍니다. 기타 프로그램 삭제와 관련된 상담은 보호나라 e콜센터(전화 118번)안철수연구소 가짜 백신 신고센터(로그인 필요) 또는 국내 신뢰할 수 있는 보안 업체를 이용하시기 바랍니다.
  • west45.exe 분석하실 떄 사용하신 프로그램명이 뭐에요???;;

  • P.A. 2010.06.26 17:34 댓글주소 수정/삭제 댓글쓰기

    제가 어제 게임 켜놓고 컴퓨터 예약종료 해놨는데요.
    오늘 집에 돌아와서 컴퓨터 켜보니 닥터브이가 깔려있네요;
    이거 정상적인 건가요?
    제가 컴퓨터 쓸때 깐 기억은 없거든요;
    게임은 그라나도 에스파다 썼었구요.
    지금 컴퓨터 키니까 자동으로 바이러스 검사하고 있는데..
    이거 때문인지 스파이더 게임도 오류가 생긴것 같고;;
    설마 해킹 당한 건가요??

    • 안녕하세요.

      해킹은 아닙니다. 단지 사용자 컴퓨터에 사용자 몰래 이런 프로그램을 설치하게 만드는 악성 파일이 존재할 것으로 보입니다.

      아마 윈도우 시작시 자동으로 실행되는 파일(시작 프로그램 등록 파일) 중의 하나일 것으로 생각되므로 설치한 프로그램을 잘 살펴보시기 바랍니다.

  • 손동연 2011.12.13 22:37 댓글주소 수정/삭제 댓글쓰기

    브이닥터 삭제방법좀요^^