본문 바로가기

벌새::Analysis

[삭제] 라이브키(LiveKey) - 온오프웹(Live Keys)

국내에서 제작되어 제휴(스폰서) 프로그램으로 배포가 이루어지고 있는 것으로 추정되는 온오프웹(Live Keys) 프로그램이 설치된 환경에서 프로그램 동작 및 삭제가 정상적으로 이루어지지 않는 것으로 보이므로 해당 프로그램의 삭제에 대해 살펴보도록 하겠습니다.

참고로 해당 프로그램은 이전에 살펴본 라이브키(LiveKey) 시리즈로 추정되므로 참고하시기 바랍니다.

해당 프로그램은 설치시 [온오프웹]으로 표기가 되는 것으로 보이며, [C:\Program Files\livekey\livekeys] 폴더에 파일을 생성하고 있습니다.


[관련 URL 정보]

h**p://shop.plus-****.co.kr/playegg/elog.php?pg=livekey&no=7041649685900FH0GUCF3JD&aid=704&ver=2009.11.10.01&ip=(사용자 IP)&mac=(사용자 Mac Address)&host=(사용자 컴퓨터 이름)&tp=13&val=registry%2D(사용자 OS 정보)%29

참고로 프로그램 설치시 사용자 정보를 과도하게 수집하는 부분을 확인할 수 있습니다.

프로그램이 설치된 환경에서 Windows 시작시 webgrade.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있으나, 테스트에서는 webgrade.exe 프로세스가 반복적으로 생성 및 종료 불가능 동작으로 인하여 정상적인 컴퓨터 사용을 방해하고 있습니다.

Livekeys

 

 - 게시자 : BOOM COMMUNICATION

 - CLSID : {33B8F885-8352-4275-86B3-1E85068CCB3D}
 - C:\Program Files\livekey\livekeys\playegg.dll

프로그램의 동작은 Internet Explorer 동작시 사이드바 등의 광고가 생성될 것으로 추정되나 정상적인 동작을 확인할 수 없으며, iexplore.exe 프로세스에 playegg.dll 파일을 BHO 방식으로 추가하여 동작하는 것을 확인할 수 있습니다.

프로그램 삭제는 제어판의 [Live Keys] 삭제 항목이 존재하지만, 프로그램 삭제가 전혀 이루어지지 않고 있으므로 수동으로 삭제를 하시기 바랍니다.

프로그램 수동 삭제 방식은 반드시 Internet Explorer를 종료한 상태에서, 위에 제시된 폴더, 파일 이외에 추가적으로 다음의 폴더, 파일을 수동으로 제거하시기 바랍니다.

C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\livekey
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\livekeys
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\livekeys_uninstall
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\livekeys_update
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\playegg.zip

[생성 레지스트리 등록 정보]

HKEY_CLASSES_ROOT\AppID\playmusic.DLL
HKEY_CLASSES_ROOT\AppID\{B411F180-9B4C-4570-B6B0-33FDBFE98F7C}
HKEY_CLASSES_ROOT\CLSID\{33B8F885-8352-4275-86B3-1E85068CCB3D}
HKEY_CLASSES_ROOT\CLSID\{7D608D28-2321-48BF-8809-2FB20459C2B6}
HKEY_CLASSES_ROOT\CLSID\{DDE49F0A-02D1-474a-8346-372D5F384C49}
HKEY_CLASSES_ROOT\CLSID\{E7675F1D-3BDD-4CFF-B2EB-CCEC055A8054}
HKEY_CLASSES_ROOT\CLSID\{F60EE1F6-6254-4e63-B783-FA958B5B57FB}
HKEY_CLASSES_ROOT\Interface\{18B006C2-62D8-4B4C-A217-B632A14F08B6}
HKEY_CLASSES_ROOT\Interface\{3129A683-34CA-478B-BBA0-142910066090}
HKEY_CLASSES_ROOT\Interface\{45E86F04-BCE0-4960-9181-BC9B7931C017}
HKEY_CLASSES_ROOT\Interface\{4D6A4E51-E174-49F4-A15A-6957642F589A}
HKEY_CLASSES_ROOT\Interface\{82601B84-E2BD-44E9-80F9-1ADC8DCF6A69}
HKEY_CLASSES_ROOT\PLAYEGGI.playeggiCtrl.1
HKEY_CLASSES_ROOT\playmusic.playmusicBHO
HKEY_CLASSES_ROOT\playmusic.playmusicBHO.1
HKEY_CLASSES_ROOT\playmusic.playmusicOBJ
HKEY_CLASSES_ROOT\playmusic.playmusicOBJ.1
HKEY_CLASSES_ROOT\playmusic.playmusicVBAR
HKEY_CLASSES_ROOT\playmusic.playmusicVBAR.1
HKEY_CLASSES_ROOT\TypeLib\{06CE1911-1EA9-4E01-8399-38026D722028}
HKEY_CLASSES_ROOT\TypeLib\{29178010-A6C0-42B9-8669-D30DB838F887}
HKEY_CURRENT_USER\Software\livekeys
HKEY_CURRENT_USER\Software\livekeys\livekeys
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow
 - shop.plus-zone.co.kr
HKEY_LOCAL_MACHINE\software\livekeys
HKEY_LOCAL_MACHINE\software\livekeys\livekeys
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{33B8F885-8352-4275-86B3-1E85068CCB3D}

HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run
 - livekey = C:\Program Files\livekey\livekeys\webgrade.exe
 - livekeys = C:\Program Files\livekey\livekeys\webgrade.exe

HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Uninstall\livekeys

해당 프로그램의 경우 프로그램 설치시 제시되는 이름과 실제 설치 후 프로그램 이름이 상이하여 사용자에게 혼동을 주는 것으로 보이므로, 인터넷 상에 공개된 프로그램 설치시 추가적으로 설치되는 프로그램의 여부를 꼼꼼하게 확인하는 습관을 가지시기 바랍니다.

  • 2010.08.08 08:04 댓글주소 수정/삭제 댓글쓰기

    그냥 제어판에서 삭제를했는데 완벽하게 삭제가 된건가요?

    • 안녕하세요.

      테스트에서는 제어판을 통한 삭제가 이루어지지 않았습니다.

      제어판을 통해 삭제가 가능하였더라도 게시글에서 제시한 파일 정보와 레지스트리 정보를 참고하여 삭제되지 않은 부분이 있는지 확인해 보시기 바랍니다.

  • ㅎㅎ 2010.09.29 01:12 댓글주소 수정/삭제 댓글쓰기

    레지스트리는 어떻게 제거하나요??

    • 윈도우 시작 - 실행창 - regedit 명령어를 통해 레지스트리 편집창을 엽니다.

      그 후에 http://hummingbird.tistory.com/673 내용을 참고하세요. 만약 지워지지 않는 항목이 있다면..