본문 바로가기

벌새::Analysis

검색 도우미 : KeyPack 1.0

네이버(Naver) 검색시 사용자 검색 키워드 값을 감시하여 광고창(팝업창)을 생성하는 기능을 가진 것으로 추정되는 검색 도우미 KeyPack 1.0 프로그램에 대해 살펴보도록 하겠습니다.

[생성 폴더 / 파일 등록 정보]

C:\Documents and Settings\(사용자 계정)\시작 메뉴\프로그램\keypack
C:\Documents and Settings\(사용자 계정)\시작 메뉴\프로그램\keypack\Uninstall.lnk
C:\Program Files\keypack
C:\Program Files\keypack\keypack_cl.exe
C:\Program Files\keypack\keypack.dll
C:\Program Files\keypack\keypack.exe :: 프로그램 실행 파일 / 메모리 상주 프로세스
C:\Program Files\keypack\keypack.ldb
C:\Program Files\keypack\keypackstarter.exe :: Key Pack 서비스 등록 파일
C:\Program Files\keypack\kp.swf
C:\Program Files\keypack\uninst.exe :: 프로그램 삭제 파일

해당 프로그램은 Windows 시작시 "key pack"이라는 이름으로 등록된 서비스 등록 파일 keypackstarter.exe를 자동 실행하여, 설치된 PC Mac Address 및 업데이트 체크를 하도록 구성되어 있습니다.(※ 해당 서비스는 동작 후 서비스 중지 상태를 유지합니다.)

이를 통하여 실행된 keypack.exe 파일은 외부의 특정 서버에 접속하여 스폰서 관련 정보를 체크하는 기능을 포함하고 있으며, 현재 테스트 과정에서는 추가적인 다운로드 등의 동작은 발생하지 않고 있습니다.

해당 프로그램은 최종적으로 바탕 화면의 시스템 트레이 알림 아이콘 영역에 "Visualpack"이라는 화살표 모양의 아이콘을 생성하는 것을 확인할 수 있으며, 참고로 해당 아이콘은 메모리에 상주하는 keypack.exe 파일에 의한 동작입니다.

keypack.exe 파일이 메모리에 상주한 상태에서 사용자가 네이버(Naver) 검색 서비스를 이용하는 과정에서 검색 키워드 값을 감시하여 해당 프로그램 서버로 전송하는 부분을 확인할 수 있습니다.

이는 차후 해당 광고 서버에 등록된 동일한 키워드가 존재할 경우 바탕 화면에 광고창 생성 또는 시스템 트레이 알림 아이콘 상단에 팝업창을 생성할 것으로 추정됩니다.

프로그램 삭제시에는 우선적으로 Windows 작업 관리자에서 keypack.exe 프로세스를 수동으로 종료하시기 바랍니다.

그 후 제어판의 [keypack 1.0] 삭제 항목을 이용하여 프로그램을 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 수동으로 삭제하시기 바랍니다.
  • C:\Program Files\keypack
  • C:\Program Files\keypack\keypack.ldb
[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\visual_ad
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ESENT\Process\keypackstarter
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\keypack.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
keypack

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_KEY_PACK
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\key pack

해당 프로그램은 현재 시점에서는 특별히 외형적인 광고 동작이 발견되지 않지만, 차후 인터넷 검색 과정에서 원치 않는 광고 생성 또는 추가적인 프로그램 다운로드가 발생할 수 있으므로 원치 않는 사용자들은 삭제를 하시기 바랍니다.