국내 악성코드 : ADPrime Components 1.00

국내에서 제작되어 인터넷 검색시 좌측 사이드바 형태로 광고가 노출되는 검색 도우미 ADPrime Components 1.00 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램의 설치 파일(MD5 : d7a67a2ec307a233c5822fe7490ec62d)에 대하여 안철수연구소(AhnLab) V3 보안 제품에서는 Downloader/Win32.Totoran (VirusTotal : 10/43) 진단명으로 진단되고 있습니다.

• 검색 도우미 : Core PremiumAd Management Components 1.00

해당 프로그램은 기존의 Core PremiumAd Management Components 1.00 프로그램과 동일한 프로그램으로 이름만 변경된 것으로 추정되므로 참고하시기 바랍니다.

[생성 폴더 / 파일 등록 및 진단 정보]

C:\WINDOWS\system32\PreadAgent.exe :: 시작 프로그램 등록 파일
C:\WINDOWS\system32\iadnet-4(확정).ico
C:\WINDOWS\system32\PremiumAd.dll :: BHO 등록 파일
C:\WINDOWS\system32\Uninstall.exe :: 프로그램 삭제 파일
C:\WINDOWS\system32\Uninstall.ini
C:\WINDOWS\system32\Updater.exe
C:\WINDOWS\system32\PreadAgent.exe
 - MD5 : d2b8a8a551aed9abaf512c8893ad9049
 - Hauri ViRobot : Adware.BHO.1661440 (VirusTotal : 5/43)

해당 프로그램은 시스템 폴더에 폴더에 파일을 생성하여 사용자가 설치 여부를 확인하기 매우 어려우며, Windows 시작시 PreadAgent.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

프로그램이 설치된 환경에서 인터넷 검색시 특정 검색어에 따라 좌측 사이드바에 광고가 노출되는 동작을 확인할 수 있습니다.

참고로 웹 브라우저 실행 및 인터넷 검색시 특정 광고 서버(녹색)에 접속하는 동작을 확인할 수 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

PremiumAdBHO Class
 - 게시자 : 알 수 없음
 - CLSID : {CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
 - 파일 : C:\WINDOWS\system32\PremiumAd.dll

해당 사이드바 광고 동작을 원치 않는 분들은 1차적으로 추가 기능 관리에 등록된 PremiumAdBHO Class 항목을 선택하여 [사용 안 함]으로 변경을 하시기 바랍니다.

해당 프로그램은 사용자가 Internet Explorer 웹 브라우저를 실행할 경우 iexplore.exe 프로세스에 PremiumAd.dll 파일을 BHO 방식으로 추가하여 동작하는 것을 확인할 수 있습니다.

프로그램 삭제시에는 모든 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 [ADPrime Components 1.00] 삭제 항목을 이용하여 삭제하실 수 있습니다.

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\PremiumAd
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{940049E1-F9E4-4C7C-8F6B-D303BD500B5E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BB9D2A75-7658-4913-96A2-5700EFFC488A}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{940049E1-F9E4-4C7C-8F6B-D303BD500B5E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{D832E2BC-BF9D-4946-A208-069601C90C04}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE76}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{77D54ACE-09A9-11D4-8ACE-00C04F542830}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{CA431E35-A5FA-4F7B-BB28-0F62DE3DE761}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - BestSite Agent = C:\Program Files\BSTL\Agent.exe BestSite.dll
 - PremiumAd = C:\WINDOWS\system32\PreadAgent.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
ADPrime Components 1.00

해당 프로그램은 프로그램 목록에 제시되지 않는 점, 사이드바 광고로 프로그램 이름을 확인하기 어렵다는 점, 삭제 항목에 등록된 프로그램 이름으로 파일을 찾기 어렵다는 점에서 문제가 있으므로 주의하시기 바랍니다.