검색 도우미 : werpingt

국내에서 제작되어 사용자가 특정 인터넷 사이트에 접속을 시도할 경우 상업적 목적으로 제작된 네이버(Naver) 블로그를 팝업창 방식으로 생성하는 검색 도우미 werpingt 프로그램에 대해 살펴보도록 하겠습니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\werpingt\asycfilt.dll
C:\Program Files\werpingt\COMCAT.DLL
C:\Program Files\werpingt\INETKO.DLL
C:\Program Files\werpingt\MSINET.OCX
C:\Program Files\werpingt\msvbvm60.dll
C:\Program Files\werpingt\oleaut32.dll
C:\Program Files\werpingt\olepro32.dll
C:\Program Files\werpingt\Project1.DDF
C:\Program Files\werpingt\stdole2.tlb
C:\Program Files\werpingt\VB6KO.DLL
C:\Program Files\werpingt\VB6STKIT.DLL
C:\Program Files\werpingt\werpingt.BAT
C:\Program Files\werpingt\werpingt.dll :: BHO 등록 파일
C:\Program Files\werpingt\werpingt.exe
C:\Program Files\werpingt\uninst.exe :: 프로그램 삭제 파일

해당 프로그램은 [C:\Program Files\werpingt] 폴더에 파일을 생성하며, 사용자가 Internet Explorer를 실행할 경우 동작하도록 구성되어 있습니다.

프로그램의 기본적인 동작 방식은 특정 인터넷 사이트에 접속을 시도할 경우 그림과 같이 네이버 블로그에 등록된 특정 상업적 목적의 광고 블로그를 팝업창 방식으로 생성하는 동작을 확인할 수 있습니다.

접속 로그를 확인해보면 사용자가 11번가 사이트에 접속할 경우 werpingt 프로그램 관련 광고 서버를 거쳐 네이버 블로그로 연결을 시도하는 것을 확인할 수 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

ExplorerManager Class
 - 게시자 : 알 수 없음
 - CLSID : {AA4E73CB-0853-41F1-98FF-8425F1FAF463}
 - 파일 : C:\Program Files\werpingt\werpingt.dll

프로세스 정보를 살펴보면 Internet Explorer 실행시 iexplore.exe 프로세스에 werpingt.dll 파일을 BHO 방식으로 추가하여 동작하는 것을 확인할 수 있습니다.

프로그램 삭제시에는 모든 Internet Explorer를 종료한 상태에서 제어판의 [werpingt] 삭제 항목을 이용하여 삭제하실 수 있습니다.

[생성 레지스트리 등록 정보]

HKEY_CLASSES_ROOT\CLSID\{48E59293-9880-11CF-9754-00AA00C00908}
HKEY_CLASSES_ROOT\CLSID\{48E59294-9880-11CF-9754-00AA00C00908}
HKEY_CLASSES_ROOT\CLSID\{48E59295-9880-11CF-9754-00AA00C00908}
HKEY_CLASSES_ROOT\CLSID\{AA4E73CB-0853-41F1-98FF-8425F1FAF463}
HKEY_CLASSES_ROOT\InetCtls.Inet
HKEY_CLASSES_ROOT\InetCtls.Inet.1
HKEY_CLASSES_ROOT\Interface\{48E59291-9880-11CF-9754-00AA00C00908}
HKEY_CLASSES_ROOT\Interface\{48E59292-9880-11CF-9754-00AA00C00908}
HKEY_CLASSES_ROOT\Interface\{BA757198-9CBC-49E1-A504-EBBD2BA03978}
HKEY_CLASSES_ROOT\TypeLib\{48E59290-9880-11CF-9754-00AA00C00908}
HKEY_CLASSES_ROOT\TypeLib\{F9EC55CA-A59A-4707-9549-D7888F33EFD2}
HKEY_CLASSES_ROOT\WebManager.ExplorerManager
HKEY_CLASSES_ROOT\WebManager.ExplorerManager.1
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\New Windows\Allow
 - ad.werping.com
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\werpingt.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AA4E73CB-0853-41F1-98FF-8425F1FAF463}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\werpingt

해당 프로그램은 삭제 후에도 추가 기능 관리에 등록된 BHO 관련 레지스트리가 존재하므로 수동으로 삭제를 하시기 바랍니다.