국내에서 제작되어 인터넷 검색시 웹 브라우저 좌측 사이드바 형태로 광고바가 노출되는 검색 도우미 PostTip 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 0a54f1565bea7bae86119bf8f4e85a52)에 대하여 하우리 바이로봇(Hauri ViRobot) 보안 제품에서는 Trojan.Win32.Downloader.17504 (VirusTotal : 9/42) 진단명으로 진단되고 있으므로 참고하시기 바랍니다.
참고로 해당 프로그램은 기존의 사이드탭(SideTab) 프로그램과 유사성이 강하므로 참고하시기 바랍니다.
C:\Program Files\PostTip
C:\Program Files\PostTip\PostTip.dll :: BHO 등록 파일
C:\Program Files\PostTip\PostTip.exe :: 시작 프로그램 등록 파일 / 메모리 상주 프로세스
C:\Program Files\PostTip\uninstall.exe :: 프로그램 삭제 파일
해당 프로그램은 Windows 시작시 PostTip.exe 파일을 시작 프로그램으로 등록하여 자동 실행되며, 실행된 프로세스는 메모리에 상주하도록 구성되어 있습니다.
프로그램이 설치된 환경에서 사용자가 인터넷 검색을 통해 제시된 사이트에 접속을 할 경우, 그림과 같이 웹 브라우저 좌측 사이드바에 광고바가 노출되는 것을 확인할 수 있습니다.
PostTip
- 게시자 : nbiz Ltd.
- CLSID : {C4BF6897-41A2-454B-AC3B-437F30BEA671}
- 파일 : C:\Program Files\PostTip\PostTip.dll
프로세스 정보를 살펴보면 PostTip.exe 프로세스는 메모리에 상주하며, 사용자가 Internet Explorer 웹 브라우저를 실행할 경우 iexplore.exe 프로세스에 PostTip.dll 파일을 BHO 방식으로 추가하여 동작하는 것을 확인할 수 있습니다.
프로그램 삭제시에는 작업 관리자에서 PostTip.exe 프로세스를 수동으로 종료한 후, 모든 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 [PostTip] 삭제 항목을 이용하여 삭제하실 수 있습니다.
프로그램 삭제 과정에서는 그림과 같이 4자리 숫자를 입력하는 단계가 있으므로 제시되는 숫자를 입력하여 삭제를 진행하시기 바랍니다.
HKEY_CURRENT_USER\Software\PostTip
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{C4BF6897-41A2-454b-AC3B-437F30BEA671}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E2B006B6-159A-4384-B05C-4B5511C16354}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\SideTab.SideTabCtl
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\SideTab.SideTabCtl.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{A12EF54F-2691-4C32-AC1B-F65D144A3988}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C4BF6897-41A2-454b-AC3B-437F30BEA671}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- PostTip = C:\Program Files\PostTip\PostTip.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\PostTip
해당 프로그램은 프로그램 목록에 제시되지 않는 점과 웹 브라우저 상에서 노출되는 광고가 어떤 프로그램인지 확인하기 어렵다는 점에서 주의하시기 바랍니다.