울지않는벌새 : Security, Movie & Society

검색 도우미 : Multibox2 Service

벌새::Analysis
국내에서 제작되어 네이버(Naver) 검색시 프로그램에서 제공하는 스마트 링크를 상단에 배치하는 방식으로 광고를 하는 것으로 추정되는 검색 도우미 Multibox2 Service 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램은 예전에 살펴본 특정 웹하드 제휴(스폰서) 프로그램에 추가된 고급 검색 추가 정보 서비스(Multibox Service)를 통해 동작 방식을 확인한 적이 있으므로 참고하시기 바라며, 이번 버전은 업데이트판으로 추정됩니다.

[생성 파일 등록 정보]

C:\WINDOWS\Multibox-v8001\multibox_m8.130.exe :: 서비스 등록 파일, 메모리 상주 프로세스
C:\WINDOWS\Multibox-v8001\multibox_v8.130.dll :: BHO 등록 파일
C:\WINDOWS\Multibox-v8001\multinad_v8.130.dll
C:\WINDOWS\Multibox-v8001\uninst.exe :: 프로그램 삭제 파일
C:\WINDOWS\TEMP\patch.exe
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\Multibox2\patch.exe
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\~119file\multinad_v8.130.dll

해당 프로그램은 [C:\WINDOWS\Multibox-v8001] 폴더에 파일을 생성하며, Windows 시작시 서비스 항목에 등록된 multibox_m8.130.exe 파일이 자동 실행되어 메모리에 상주하도록 구성되어 있습니다.

서비스 항목에 등록된 이름은 [Windows Multibox2 Update Class]로 등록되어 있으므로 참고하시기 바랍니다.

프로그램의 실제 동작 과정을 네이버(Naver) 검색을 통해 확인하던 과정에서 현재 네이버측에서 해당 프로그램의 광고를 차단한 것으로 추정되므로 파일 분석을 통해 소개해 드리겠습니다.

예를 들어, 네이버의 특정 검색을 시도할 경우 검색 과정에서 해당 프로그램은 특정 서버와 연결을 시도하는 것을 확인할 수 있습니다.

외부의 서버에서 불러오는 광고 부분을 확인해보면 [스마트 링크]로 지정된 광고는 특정 인터넷 쇼핑몰 링크를 포함하고 있으며, 해당 링크는 특정 광고 코드로 구성되어 있는 것을 확인할 수 있습니다.

특히 해당 광고 하단에는 [위 검색결과는 멀티박스2에서 제공되는 고급 추가 검색정보이며 네이버와 전혀 관계가 없음을 알려드립니다.]라는 표기를 확인할 수 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

MultiBoxHelper Class
 - 게시자 : Smile Worknet Corp.
 - CLSID : {AAE0C5BC-C8A1-4492-9C28-D95EF9C29050}
 - 파일 : C:\WINDOWS\Multibox-v8001\multibox_v8.130.dll

프로세스 정보를 살펴보면 multibox_m8.130.exe 프로세스가 메모리에 상주하며, 사용자가 Internet Explorer를 실행할 경우 iexplore.exe 프로세스에 multibox_v8.130.dll 파일을 BHO 방식으로 추가하여 동작하는 것을 확인할 수 있습니다.

프로그램 삭제 전에 실행창에 [sc stop "Windows Multibox2 Update Class"] 명령어를 통하여 서비스 항목에 등록된 multibox_m8.130.exe 프로세스를 종료한 후, 모든 Internet Explorer를 종료한 상태에서 프로그램을 삭제하시기 바랍니다.

프로그램 삭제는 제어판의 [Multibox2 Service] 삭제 항목을 이용하여 삭제하실 수 있습니다.

프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)을 수동으로 삭제하시기 바랍니다.

C:\WINDOWS\TEMP\patch.exe
C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\Multibox2
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\~119file\multinad_v8.130.dll
[생성 레지스트리 등록 정보]

HKEY_CLASSES_ROOT\.application-nv
HKEY_CLASSES_ROOT\CLSID\{AAE0C5BC-C8A1-4492-9C28-D95EF9C29050}
HKEY_CLASSES_ROOT\Interface\{10E3FDE1-0F50-4872-A17E-2D50A2225C5C}
HKEY_CLASSES_ROOT\MultiBoxBHO.MultiBoxHelper
HKEY_CLASSES_ROOT\MultiBoxBHO.MultiBoxHelper.1
HKEY_CLASSES_ROOT\TypeLib\{C1D381FB-22DF-464E-A82E-36EB8B954568}
HKEY_CURRENT_USER\Software\Link
HKEY_LOCAL_MACHINE\software\Link
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\Multibox2
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AAE0C5BC-C8A1-4492-9C28-D95EF9C29050}
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Uninstall\Multibox2
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Windows Multibox2 Update Class
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Windows Multibox2 Update Class
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Windows Multibox2 Update Class

해당 프로그램의 경우 네이버(Naver) 상에서 정상적으로 구현되지 않지만 이런 류의 프로그램은 인터넷 속도 저하 및 오류, 정상적인 검색 결과 방해 등을 유발할 수 있으므로 삭제를 권장합니다.

'벌새::Analysis' 카테고리의 다른 글

악성코드 치료 프로그램 : 서치가드(SearchGuard)  (6) 2010.11.06
검색 도우미 : 조이쇼핑(JoyShopping)  (0) 2010.11.06
검색 도우미 : Multibox2 Service  (1) 2010.11.05
검색 도우미 : PinGuide  (2) 2010.11.04
개인정보 보안 솔루션 : 세이프티보안(SafetyBoan)  (2) 2010.11.04
검색 도우미 : AD79 팝업 프로그램 - Retrieval Engine  (8) 2010.11.04
, , , , , , , , , , , , , , , , , , , , , , , , ,
트랙백 0개, 댓글 1개가 달렸습니다

댓글을 달아 주세요

  • BlogIcon Nooriro™

    Multibox라길래 무슨 웹하드 서비스에서 제공하는 줄 알았네요

비밀글

티스토리툴바