검색 도우미 : 투데이탭(TodayTab) - NewSink

국내에서 제작되어 인터넷 검색시 광고창을 생성하거나 추가적인 광고 프로그램을 설치할 가능성이 존재하는 검색 도우미 투데이탭(TodayTab) - NewSink 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램의 설치 파일(MD5 : 6b7b67f25dc05fa5032f4dc3a28e75d6)에 대하여 하우리 바이로봇(Hauri ViRobot) 보안 제품에서는 Trojan.Win32.BHO.339968.I (VirusTotal : 6/43) 진단명으로 진단되고 있으므로 참고하시기 바랍니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\NewSink
C:\Program Files\NewSink\NewSink.exe :: 시작 프로그램 등록 파일 / 메모리 상주 프로세스
C:\Program Files\NewSink\sinkup.exe :: 시작 프로그램 등록 파일
C:\Program Files\NewSink\UnInstall.exe :: 프로그램 삭제 파일

해당 프로그램은 [C:\Program Files\NewSink] 폴더에 파일을 생성하며, Windows 시작시 NewSink.exe / sinkup.exe 2개의 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

[NewSink.exe 파일 네트워크 연결 정보]

GET /adm/data/001.php HTTP/1.1
User-Agent: NewSink
Host: www.today***.co.kr

NewSink.exe 파일은 메모리 상주 방식으로 특정 서버에 접속하여 사용자가 인터넷 검색시 광고창 생성 또는 광고 배너 노출 등의 동작을 하도록 구성되어 있습니다.

생성되는 광고창을 살펴보면 특정 광고 코드가 포함되어 있으며, 사용자가 해당 사이트에서 특정 조건을 만족시킬 경우 프로그램 배포자에게 금전적 수익이 발생할 것으로 추정됩니다.

[sinkup.exe 파일 네트워크 연결 정보]

GET /ctl/controlinfo HTTP/1.1
User-Agent: sinkup
Host: www.today***.co.kr

GET /jaehu/postip.txt HTTP/1.1
User-Agent: sinkup
Host: util****.com

추가적으로 시작 프로그램에 등록되어 자동 실행되는 sinkup.exe 파일은 특정 서버에 접속하여 파일 버전 체크 및 다양한 제휴(스폰서) 프로그램을 차후 설치할 가능성이 존재한 것으로 추정됩니다.

프로그램 삭제시에는 작업 관리자에서 NewSink.exe 프로세스를 수동으로 종료한 후, 제어판의 [remove NewSink] 삭제 항목을 이용하여 삭제하실 수 있습니다.

프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)을 수동으로 삭제하시기 바랍니다.

• C:\Program Files\NewSink
• C:\Program Files\NewSink\Delete.bat
• C:\Program Files\NewSink\UnInstall.exe

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\newsink
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - NewSink = C:\Program Files\NewSink\NewSink.exe
 - SinkUp = C:\Program Files\NewSink\sinkup.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\NewSink

해당 프로그램은 설치시 제시되는 프로그램 이름과 전혀 다른 이름으로 설치가 이루어지고 있으며, 추가적인 프로그램이 설치될 가능성이 있기에 주의하시기 바랍니다.