검색 도우미 : 옥션 오픈 쇼핑 가이드(Auction Open Shopping Guide) - OpenGuide2

국내에서 제작된 검색 도우미 옥션 오픈 쇼핑 가이드(Auction Open Shopping Guide) - OpenGuide2 프로그램에 대해 살펴보도록 하겠습니다.

• 검색 도우미 : 옥션 오픈 쇼핑 가이드(Auction Open Shopping Guide) - OpenGuide

해당 프로그램은 기존에 소개한 옥션 오픈 쇼핑 가이드(Auction Open Shopping Guide) 프로그램의 업데이트(변형)된 형태로 추정됩니다.

[생성 파일 진단 정보]

C:\Program Files\openguide2\aosg2.exe (AhnLab V3 : Malware/Win32.Generic)

해당 프로그램(MD5 : 9d043a956d76e17f56e7fb8076abab42)은 [openguide2] 폴더에 파일을 생성하고 있으며, Windows 시작시 aosg2.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

[aosg2.exe 네트워크 연결 정보]

GET /app/info2.htm HTTP/1.1
Content-Type: application/x-www-form-urlencoded
Accept: text/html, */*
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0;)
If-Modified-Since: Thu, 01 Jul 2010 07:52:14 GMT
If-None-Match: "cb438-586-48a4ebfa22780"
Host: www.zz****.co.kr
Connection: Keep-Alive

aosg2.exe 파일에 대하여 안철수연구소(AhnLab) V3 보안 제품에서는 Malware/Win32.Generic 진단명으로 사전 진단을 통해 차단을 하고 있으며, 해당 파일은 특정 서버에 접속을 한 후 스스로 종료하며 최종적으로 aosg2ov.exe 파일을 실행시켜 메모리에 상주하도록 구성되어 있습니다.

프로그램이 설치된 환경에서 사용자가 Internet Explorer를 이용하여 특정 검색을 할 경우, 좌측 사이드바에 특정 광고 코드를 포함한 상품 광고창이 생성되는 것을 확인할 수 있습니다.

특히 해당 사이드바는 어떠한 프로그램 정보를 제공하지 않으므로 일반적인 인터넷 사용자들의 경우 어떤 프로그램으로 인한 동작인지 확인이 불가능할 것으로 추정됩니다.

추가 기능 관리에 등록된 정보를 살펴보면 게시자를 알 수 없는 Auction Open Shopping Guide 컨트롤 항목이 [C:\Program Files\openguide2\aosg2sb.dll] 파일로 연결되어 동작하는 것을 확인할 수 있습니다.

프로세스 정보를 살펴보면 aosg2ov.exe 프로세는 메모리에 상주하며, Internet Explorer 동작시 aosg2sb.dll 파일과 연동되어 동작하는 것을 확인할 수 있습니다.

[관련 URL 정보]

h**p://www.zz****.co.kr/count/count.php?tp=2&partner=zzgame&mac=(사용자 Mac Address)&ver=2010070101

프로그램 삭제시에는 작업 관리자에서 aosg2ov.exe 프로세스를 수동으로 종료한 후, Internet Explorer를 비롯한 모든 프로그램을 종료한 상태에서 제어판의 [Auction Open Shopping Guide] 삭제 항목을 이용하여 삭제하실 수 있습니다.

[생성 레지스트리 등록 정보]

HKEY_CLASSES_ROOT\CLSID\{22BD0849-9EC0-4d94-A2E4-CAE2B2B584EC}
HKEY_CLASSES_ROOT\Interface\{E99A738F-43AB-4CE7-9777-E4BA96FF5938}
HKEY_CLASSES_ROOT\openguide2.Ovr
HKEY_CLASSES_ROOT\openguide2.Ovr.1
HKEY_CLASSES_ROOT\TypeLib\{D80D3281-C4B5-42B0-8B35-B9026D76BC52}
HKEY_CURRENT_USER\software\Microsoft\Windows\CurrentVersion\Run
 - openguide2 = "C:\Program Files\openguide2\aosg2.exe"
HKEY_CURRENT_USER\software\openguide2
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Uninstall\
openguide2

해당 프로그램과 같이 웹 브라우저 상에서 동작하는 광고 프로그램의 경우 사용자가 어떤 프로그램으로 인한 동작인지 확인이 매우 어려울 수 있으므로 실행된 프로세스 정보와 추가 기능 관리에 등록된 컨트롤 항목을 통해 확인하실 수 있습니다.