본문 바로가기

벌새::Analysis

제휴(스폰서) 프로그램 : 로또큐브(LottoCube)

국내에서 제작된 온라인 복권 관련 제휴(스폰서) 프로그램 로또큐브(LottoCube) 제품에 대해 살펴보도록 하겠습니다.


해당 프로그램은 Windows 시작시 lottoupdater.exe 파일을 시작 프로그램으로 등록하여 자동 실행되며, 업데이트 체크 및 추가적인 제휴(스폰서) 프로그램 체크 등을 하는 것을 확인할 수 있습니다.

[lottoupdater.exe 네트워크 연결 정보]

GET /LottoCube/main/webmain/newagree.dat HTTP/1.1
User-Agent: HiSantaSession
Host: update1.lottomeca.com
Cookie: key=home


특히 업데이트 확인 과정에서 newagree.dat 파일에 포함된 추가적인 제휴(스폰서) 프로그램이 설치될 수 있는 여지가 있었던 것으로 보이며, 실제 [C:\Program Files\LottoCube\html] 폴더 내부에는 다양한 바로가기, 쇼핑 도우미, 악성코드 치료 프로그램, 개인정보 보안 솔루션 등이 확인되고 있습니다.(테스트에서는 해당 프로그램들의 설치 동작은 확인되지 않았습니다.)


실행된 로또큐브 프로그램은 바탕화면에 [1등당첨 로또큐브] 바로가기 아이콘을 생성하며, 사용자가 프로그램 종료를 하기 전까지는 일정 시간 주기로 시스템 트레이 상단에 다음과 같은 광고 팝업창을 생성하는 동작을 확인할 수 있습니다.


해당 팝업창은 사용자가 닫기 버튼을 클릭할 때까지 노출이 이루어지며 반복적으로 생성된다는 점에서 정상적인 컴퓨터 사용에 방해가 될 수 있습니다.


프로그램 삭제는 제어판의 [LottoCube] 삭제 항목을 이용해서 삭제하실 수 있습니다.

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\CubeUpdate
HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\LottoCube
HKEY_CURRENT_USER\Software\LottoCube
HKEY_CURRENT_USER\Software\LottoMain
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run
 - LottoCube = C:\Program Files\LottoCube\lottoupdater.exe
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Uninstall\LottoCube
[수정 레지스트리 등록 정보]

<수정 전>

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths
 - (기본값) =

<수정 후>

HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\App Paths
 - (기본값) = C:\Program Files\LottoCube\lottoux.exe
 - Path = C:\Program Files\LottoCube