검색 도우미 : Core PremiumAd Management Components 1.00

국내에서 제작되어 [프리미엄AD(PremiumAd)]라는 이름으로 배포가 이루어지고 있는 검색 도우미 Core PremiumAd Management Components 1.00 프로그램에 대해 살펴보도록 하겠습니다.

• 검색 도우미 : Core BSTL Management Components 1.0.0.1

참고로 해당 프로그램은 Core BSTL Management Components 1.0.0.1 프로그램과 연관성이 있는 것으로 추정되므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

C:\WINDOWS\system32\iadnet-4(확정).ico
C:\WINDOWS\system32\PreadAgent.exe :: 시작 프로그램 등록 파일
C:\WINDOWS\system32\PremiumAd.dll :: BHO 등록 파일
C:\WINDOWS\system32\Uninstall.exe :: 프로그램 삭제 파일
C:\WINDOWS\system32\Uninstall.ini
C:\WINDOWS\system32\Updater.exe

[생성 파일 진단 정보]

C:\WINDOWS\system32\PreadAgent.exe (MD5 : d2b8a8a551aed9abaf512c8893ad9049)
 - Hauri ViRobot : Adware.BHO.1661440 (VirusTotal : 2/43)

해당 프로그램은 Windows 시스템 폴더 내에 파일을 생성하여 프로그램 설치 여부를 확인하기 매우 어렵게 되어 있으며, Windows 시작시 PreadAgent.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

프로그램이 설치된 환경에서 사용자가 포털 사이트에서 특정 검색어를 이용하여 검색을 시도할 경우 그림과 같이 팝업창이 생성이 이루어지는 것을 확인할 수 있습니다.

참고로 해당 팝업창 생성시 접속 로그를 확인해보면 네이버(Naver) 검색시 해당 프로그램 제작사로 추정되는 특정 서버를 경유 및 네이버 키워드를 참조하여 광고가 노출되는 것을 확인할 수 있습니다.

추가적으로 웹 브라우저 좌측 사이드바 형태로 [프리미엄 AD]라는 이름의 추천 사이트 광고가 노출되는 것을 확인할 수 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

PremiumAd
 - 게시자 : Microsoft Corporation
 - CLSID : {BB9D2A75-7658-4913-96A2-5700EFFC488A}
 - 파일 : C:\WINDOWS\system32\shdocvw.dll

PremiumAdBHO Class
 - 게시자 : 알 수 없음
 - CLSID : {CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
 - 파일 : C:\WINDOWS\system32\PremiumAd.dll

프로세스 정보를 살펴보면 사용자가 Internet Explorer를 실행할 경우 iexplore.exe 프로세스에 PremiumAd.dll 파일을 BHO 방식으로 추가하여 동작하는 것을 확인할 수 있습니다.

프로그램 삭제시에는 모든 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 [Core PremiumAd Management Components 1.00] 삭제 항목을 이용하여 삭제하실 수 있습니다.

[생성 레지스트리 등록 정보]

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{940049E1-F9E4-4C7C-8F6B-D303BD500B5E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BB9D2A75-7658-4913-96A2-5700EFFC488A}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{940049E1-F9E4-4C7C-8F6B-D303BD500B5E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{D832E2BC-BF9D-4946-A208-069601C90C04}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE76}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - BestSite Agent = C:\Program Files\BSTL\Agent.exe BestSite.dll
 - PremiumAd = C:\WINDOWS\system32\PreadAgent.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Core PremiumAd Management Components 1.00

해당 프로그램은 설치시 안내되는 프로그램 이름과 제어판에서 표시되는 이름이 상이하여 삭제에 불편함이 존재하며, 프로그램 설치 위치도 시스템 폴더 내부에 설치되어 설치 여부 확인이 매우 어려우므로 주의가 요구됩니다.