본문 바로가기

벌새::Analysis

검색 도우미 : Core PremiumAd Management Components 1.00

국내에서 제작되어 [프리미엄AD(PremiumAd)]라는 이름으로 배포가 이루어지고 있는 검색 도우미 Core PremiumAd Management Components 1.00 프로그램에 대해 살펴보도록 하겠습니다.

참고로 해당 프로그램은 Core BSTL Management Components 1.0.0.1 프로그램과 연관성이 있는 것으로 추정되므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

C:\WINDOWS\system32\iadnet-4(확정).ico
C:\WINDOWS\system32\PreadAgent.exe :: 시작 프로그램 등록 파일
C:\WINDOWS\system32\PremiumAd.dll :: BHO 등록 파일
C:\WINDOWS\system32\Uninstall.exe :: 프로그램 삭제 파일
C:\WINDOWS\system32\Uninstall.ini
C:\WINDOWS\system32\Updater.exe

[생성 파일 진단 정보]

C:\WINDOWS\system32\PreadAgent.exe (MD5 : d2b8a8a551aed9abaf512c8893ad9049)
 - Hauri ViRobot : Adware.BHO.1661440 (VirusTotal : 2/43)

해당 프로그램은 Windows 시스템 폴더 내에 파일을 생성하여 프로그램 설치 여부를 확인하기 매우 어렵게 되어 있으며, Windows 시작시 PreadAgent.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

프로그램이 설치된 환경에서 사용자가 포털 사이트에서 특정 검색어를 이용하여 검색을 시도할 경우 그림과 같이 팝업창이 생성이 이루어지는 것을 확인할 수 있습니다.

참고로 해당 팝업창 생성시 접속 로그를 확인해보면 네이버(Naver) 검색시 해당 프로그램 제작사로 추정되는 특정 서버를 경유 및 네이버 키워드를 참조하여 광고가 노출되는 것을 확인할 수 있습니다.

추가적으로 웹 브라우저 좌측 사이드바 형태로 [프리미엄 AD]라는 이름의 추천 사이트 광고가 노출되는 것을 확인할 수 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

PremiumAd

 - 게시자 : Microsoft Corporation
 - CLSID : {BB9D2A75-7658-4913-96A2-5700EFFC488A}
 - 파일 : C:\WINDOWS\system32\shdocvw.dll

PremiumAdBHO Class
 - 게시자 : 알 수 없음
 - CLSID : {CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
 - 파일 : C:\WINDOWS\system32\PremiumAd.dll

프로세스 정보를 살펴보면 사용자가 Internet Explorer를 실행할 경우 iexplore.exe 프로세스에 PremiumAd.dll 파일을 BHO 방식으로 추가하여 동작하는 것을 확인할 수 있습니다.

프로그램 삭제시에는 모든 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 [Core PremiumAd Management Components 1.00] 삭제 항목을 이용하여 삭제하실 수 있습니다.

[생성 레지스트리 등록 정보]

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{940049E1-F9E4-4C7C-8F6B-D303BD500B5E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BB9D2A75-7658-4913-96A2-5700EFFC488A}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{940049E1-F9E4-4C7C-8F6B-D303BD500B5E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{D832E2BC-BF9D-4946-A208-069601C90C04}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE76}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - BestSite Agent = C:\Program Files\BSTL\Agent.exe BestSite.dll
 - PremiumAd = C:\WINDOWS\system32\PreadAgent.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Core PremiumAd Management Components 1.00


해당 프로그램은 설치시 안내되는 프로그램 이름과 제어판에서 표시되는 이름이 상이하여 삭제에 불편함이 존재하며, 프로그램 설치 위치도 시스템 폴더 내부에 설치되어 설치 여부 확인이 매우 어려우므로 주의가 요구됩니다.


  • adbho 2012.01.19 21:42 댓글주소 수정/삭제 댓글쓰기

    저런 이름이 제어판에 없으면 어떻게 하나요?

    • 어떤 경우에는 프로그램은 설치되어 있는데 제어판에 표시되어 있지 않을 수 있습니다.

      그러므로 프로그램 설치 여부는 폴더를 찾아보시기 바랍니다.

  • 폴더에 들어가서 삭제하는데 프로그램이 사용중이거나 금지거라서 삭제할수 없다고 나와요ㅜㅜ;

    • 폴더를 수동으로 삭제하실 때에는 반드시 IE 웹 브라우저를 모두 종료한 상태에서 삭제를 진행해 보시기 바라며, 그래도 안될 경우에는 안전모드에서 삭제해 보시기 바랍니다.

  • helpme 2012.11.20 10:52 댓글주소 수정/삭제 댓글쓰기

    안녕하세요 저도 이걸 삭제 하려고 하는데 제어판에도 이름이없고 위에 쓰신 폴더들도 찾아봤는데 못찾겠어요ㅠㅠ 폴더를 찾으려면 어떻게 해야되나요?
    포스트 올린지 시간이 좀 많이 흘렀는데 답변 해주실수 있으면 감사하겠읍니다.

    • 해당 게시글이 작년에 작성한 내용이라서 최근 또는 그 후에 배포된 파일이 변경된게 아닌가 싶습니다. 제가 확인을 해봐야 알 것 같습니다.

      혹시 정보가 확인되면 차후 블로그에 추가로 정보를 공개하겠습니다. 죄송합니다.ㅠㅠ

  • helpme 2012.11.20 15:17 댓글주소 수정/삭제 댓글쓰기

    아.. 그렇군요 ㅠㅠ 감사합니다