검색 도우미 : 옥션 쇼핑 서비스 관리자 - BuyNavi Auction

인터넷 검색시 웹 브라우저 좌측 사이드바 형태로 검색어 관련 추천 상품을 노출시키는 광고 프로그램 옥션 쇼핑 서비스 관리자 - BuyNavi Auction에 대하여 살펴보도록 하겠습니다.

해당 프로그램의 설치 파일(SHA1 : 8c52e5d3d216af7077cf98e9648a9a813626a561)에 대하여 안철수연구소(AhnLab) V3 보안 제품에서는 Downloader/Win32.FraudLoad (VirusTotal : 30/43) 진단명으로 진단되고 있으므로 참고하시기 바랍니다.

• h**p://end***.com/linechk/overlap/overlap_auc_side.chk
• h**p://www.***navi.co.kr/count/insert.php?pid=update&kind=2
• h**p://***navi.co.kr/auction/shopgateauction/update.php
• h**p://www.***navi.co.kr/count/insert.php?pid=shopgateauction&kind=4
• h**p://app.zio***.co.kr/total_packs.exe
• h**p://222.***.2.***/~up_tpack/totalpack/total.php
• h**p://222.***.2.***/~up_tpack/totalpack/files/01.txt
• h**p://222.***.2.***/~up_tpack/totalpack/files/PlusTab.txt

해당 프로그램은 프로그램 설치 과정에서 total_packs.exe 파일(SHA1 : e98a021e0adf1ecc0d00a7892768d131a798c3e1)을 추가로 다운로드하여 [검색엔진 업데이트 안내]창을 생성하며, 추가적인 제휴(스폰서) 프로그램의 설치를 유도하고 있습니다.

다운로드된 total_packs.exe 파일에 대하여 하우리 바이로봇(Hauri ViRobot) 보안 제품에서는 Trojan.Win32.Downloader.228126 (VirusTotal : 22/43) 진단명으로 진단되고 있으므로 참고하시기 바랍니다.

• 검색 도우미 : 탑가이드(TopGuide)

• 검색 도우미 : 플러스탭(PlusTab)

• 적립금 프로그램 : 위드모아(WithMoa) - WithMoa Totalpack 32bit

관련 제휴(스폰서) 프로그램 및 total_packs.exe 파일과 관련된 연관 정보를 참고하시기 바랍니다.

[생성 파일 등록 정보]

C:\Program Files\ShopGateAuction\Microsoft.VC80.CRT.manifest
C:\Program Files\ShopGateAuction\msvcr80.dll
C:\Program Files\ShopGateAuction\ShopGateAuction.dll :: BHO 등록 파일
C:\Program Files\ShopGateAuction\ShopGateControl.exe :: 시작 프로그램 등록 파일
C:\Program Files\ShopGateAuction\uninstall.exe :: 프로그램 삭제 파일
C:\Documents and Settings\(사용자 계정)\Application Data\ShopGateAuction
C:\Documents and Settings\(사용자 계정)\Application Data\total_pack\01.txt
C:\Documents and Settings\(사용자 계정)\Application Data\total_pack\PlusTab.txt

[생성 파일 진단 정보]

C:\Program Files\ShopGateAuction\ShopGateAuction.dll (SHA1 : 9837b3d8a33bd1f4b0f9f9221c8c71f382ca8624)
 - AhnLab V3 : Downloader/Win32.Agent (VirusTotal : 30/42)

C:\Program Files\ShopGateAuction\ShopGateControl.exe (SHA1 : 0a98b35fe3850edf9aa889a1771dd654b66a3564)
 - AhnLab V3 : Downloader/Win32.FraudLoad (VirusTotal : 36/43)

해당 프로그램은 [C:\Program Files\ShopGateAuction] 폴더에 파일을 생성하며, Windows 시작시 ShopGateControl.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

프로그램이 설치된 환경에서 사용자가 인터넷 검색시 웹 브라우저 좌측 사이드바 형태로 [BuyNavi 옥션(Auction)] 이라는 이름의 광고가 생성되는 것을 확인할 수 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

ShopGateAuctionObj Class
 - 게시자 : 알 수 없음
 - CLSID : {EB02DA7B-CCF0-404D-840B-EBAA4182BEB3}
 - 파일 : C:\Program Files\ShopGateAuction\ShopGateAuction.dll

GuideObj Class
 - 게시자 : 알 수 없음
 - CLSID : {79C7D6B9-ACF7-4F8A-91EC-839F7A4C70A4}
 - 파일 : C:\Program Files\ShopGateAuction\ShopGateAuction.dll

해당 프로그램은 Internet Explorer 실행시 iexplore.exe 프로세스에 ShopGateAuction.dll 파일을 BHO 방식으로 등록하여 동작하도록 구성되어 있습니다.

프로그램 삭제시에는 반드시 모든 Internet Explorer를 종료한 상태에서 제어판의 [옥션 쇼핑 서비스관리자] 삭제 항목을 이용하여 삭제하실 수 있습니다.

프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)을 수동으로 삭제하시기 바랍니다.

C:\Documents and Settings\(사용자 계정)\Application Data\ShopGateAuction
C:\Documents and Settings\(사용자 계정)\Application Data\total_pack
C:\Documents and Settings\(사용자 계정)\Application Data\total_pack\01.txt
C:\Documents and Settings\(사용자 계정)\Application Data\total_pack\PlusTab.txt

[생성 레지스트리 등록 정보]

HKEY_CLASSES_ROOT\AppID\ShopGateAuction.DLL
HKEY_CLASSES_ROOT\AppID\{CCC94B8C-1C18-49E6-8B18-A3D60BCF611F}
HKEY_CLASSES_ROOT\CLSID\{79C7D6B9-ACF7-4F8A-91EC-839F7A4C70A4}
HKEY_CLASSES_ROOT\CLSID\{EB02DA7B-CCF0-404D-840B-EBAA4182BEB3}
HKEY_CLASSES_ROOT\Interface\{7DFD7811-D022-4485-A4B8-89FF59A2154F}
HKEY_CLASSES_ROOT\Interface\{8FA3E336-77FD-4B16-BFFF-0F47ADB14162}
HKEY_CLASSES_ROOT\ShopGateAuction.GuideObj
HKEY_CLASSES_ROOT\ShopGateAuction.GuideObj.1
HKEY_CLASSES_ROOT\ShopGateAuction.ShopGateAuctionObj
HKEY_CLASSES_ROOT\ShopGateAuction.ShopGateAuctionObj.1
HKEY_CLASSES_ROOT\TypeLib\{1922E133-3471-4D8D-84CC-46C167DB2579}
HKEY_CURRENT_USER\Software\AppDataLow\Software\ShopGateAuction
HKEY_CURRENT_USER\Software\ShopGateAuction
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EB02DA7B-CCF0-404D-840B-EBAA4182BEB3}
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Run
 - ShopGateAuction = C:\Program Files\ShopGateAuction\ShopGateControl.exe
HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Uninstall\ShopGateAuction
HKEY_LOCAL_MACHINE\software\ShopGateAuction
HKEY_LOCAL_MACHINE\software\total_pack

해당 프로그램 설치로 인하여 인터넷 검색시 사이드바 생성으로 고생하시는 분들은 참고하시기 바랍니다.

[관련글 보기]

2010/06/08 - [벌새::Analysis] - 검색 도우미 : NewBack Auction Mall