본문 바로가기

벌새::Analysis

검색 도우미 : EzHelper + ezlive

반응형
인터넷 검색시 웹 브라우저 상단에 멀티탭 브라우징 광고바가 생성되는 검색 도우미 "EzHelper + ezlive" 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램의 설치 파일(MD5 : 4b97f35222ebacf95f5ccb44bef2e310)에 대하여 안철수연구소(AhnLab) V3 보안 제품에서는 Trojan/Win32.ADH (VirusTotal : 12/43) 진단명으로 진단되고 있으므로 참고하시기 바랍니다.

프로그램의 설치 과정을 우선 살펴보면, ① 설치 파일을 통해 "C:\Program Files\ezlive" 폴더 내에 ezlive 프로그램을 생성하며, 추가적으로 특정 서버에서 EzHelperSetup_zfile.exe 파일을 다운로드합니다.
  • h**p://up****.**helper.co.kr/EzHelperSetup_zfile.exe (MD5 : cc60dda61ce30a15ae8f2ababd7986b3)

② 다운로드된 "C:\Documents and Settings\(사용자 계정)\Application Data\EzHelperSetup_zfile.exe" 파일은 "C:\Program Files\EzHelper" 폴더 내에 EzHelper 프로그램을 생성한 후 자가 삭제됩니다.

 

[생성 폴더 / 파일 등록 정보]

C:\Documents and Settings\All Users\시작 메뉴\프로그램\EzHelper
C:\Documents and Settings\All Users\시작 메뉴\프로그램\EzHelper\EzHelper Site.lnk
C:\Documents and Settings\All Users\시작 메뉴\프로그램\EzHelper\EzHelper 제거.lnk
C:\Documents and Settings\All Users\시작 메뉴\프로그램\ezlive.lnk
C:\Program Files\EzHelper
C:\Program Files\EzHelper\category.dat
C:\Program Files\EzHelper\domainmatch.dat
C:\Program Files\EzHelper\except.dat
C:\Program Files\EzHelper\ezhelper.dll :: BHO 등록 파일
C:\Program Files\EzHelper\EzHelper.url
C:\Program Files\EzHelper\EzHelperDel.exe :: EzHelper 프로그램 삭제 파일
C:\Program Files\EzHelper\ezhelpersvc.exe :: ezhelper Services 서비스 등록 파일(메모리 상주 프로세스)
C:\Program Files\EzHelper\ezhelperup.exe
C:\Program Files\EzHelper\ezhelperupdate.dat
C:\Program Files\EzHelper\ezhelperupdate.exe
C:\Program Files\EzHelper\ezhelperupdate.hash
C:\Program Files\EzHelper\ezhelperupdate.info
C:\Program Files\EzHelper\mainsite.dat
C:\Program Files\EzHelper\up
C:\Program Files\ezlive
C:\Program Files\ezlive\ezlive_se.exe :: ezlive Support Service 서비스 등록 파일
C:\Program Files\ezlive\ezlive_updater.exe
C:\Program Files\ezlive\ezlive.dat
C:\Program Files\ezlive\ezlive.exe
C:\WINDOWS\ezlive_uninstaller.exe :: ezlive 프로그램 삭제 파일

Windows 시작시 서비스에 등록된 "ezhelper Services" 항목을 통해 "C:\Program Files\EzHelper\EzHelpersvc.exe" 파일을 자동으로 실행하여 메모리에 상주합니다.

그 후 ezhelperup.exe 파일을 실행하여 특정 서버에 접속하여 ezhelperupdate.hash, ezhelperupdate.dat, ezhelperupdate.exe 파일을 다운로드하여 EzHelper 업데이트 체크를 하도록 구성되어 있습니다.

또 다른 서비스에 등록된 "ezlive Update Service(ezlive Support Service)" 항목은 Windows 시작시 "C:\Program Files\ezlive\ezlive_se.exe" 파일을 자동으로 실행하여 다음(Daum) 서버에 접속하여 인터넷 연결 체크 및 ezlive 버전 체크를 하도록 구성되어 있으며, 동작 후에는 서비스 중지 상태를 유지합니다.

프로그램이 설치된 환경에서 인터넷 검색을 통한 특정 웹 사이트를 오픈할 경우 웹 브라우저 상단에 멀티탭 브라우징 방식의 광고바가 생성되는 것을 확인할 수 있습니다.

참고로 해당 광고바는 "adcr.dledle.com" 광고 서버를 경유하여 오버추어(Overture) 광고 코드를 추가하고 있는 것으로 확인됩니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

이름 : 이지헬퍼
게시자 : NKsolution Corp.
유형 : 브라우저 도우미 개체
CLSID : {B663060F-F1C9-4B9C-A9A4-34A3728DB3F0}
파일 : C:\Program Files\EzHelper\ezhelper.dll

 

해당 프로그램은 Internet Explorer 웹 브라우저 실행시 iexplore.exe 프로세스에 ezhelper.dll 파일을 브라우저 도우미 개체(BHO)로 추가하여 키워드 감시를 통한 광고 생성을 하는 동작을 확인할 수 있습니다.

그러므로 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "이지헬퍼" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.

프로그램 삭제시에는 우선적으로 서비스로 동작하여 메모리에 상주하는 ezhelpersvc.exe 서비스를 다음과 같은 방식으로 종료하시기 바랍니다.

1. Windows XP 운영 체제

Windows XP 운영 체제에서는 "시작 → 실행 → sc stop "ezhelper Services"" 명령어를 입력하여 서비스를 종료하실 수 있습니다.

2. Windows 7 운영 체제

Windows 7 운영 체제에서는 "보조 프로그램 → 명령 프롬프트" 메뉴에 마우스 우클릭을 하여 "관리자 권한으로 실행"을 통해 명령 프롬프트를 실행하시기 바랍니다.

생성된 명령 프롬프트 창에서 "sc stop "ezhelper Services"" 명령어를 입력하시면 자동으로 ezhelper Services 서비스가 종료되는 것을 확인할 수 있습니다.

그 후 제어판의 "EzHelper", "ezlive" 2개의 삭제 항목을 이용하여 프로그램을 삭제할 수 있으며, Windows 7 운영 체제 환경에서는 프로그램 삭제 후 추가적으로 "C:\Windows\ezlive_uninstaller.exe" 파일을 수동으로 삭제하시기 바랍니다.

 

[생성 레지스트리 등록 정보]

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{B663060F-F1C9-4b9c-A9A4-34A3728DB3F0}
HKEY_LOCAL_MACHINE\SOFTWARE\EzHelper
HKEY_LOCAL_MACHINE\SOFTWARE\ezlive
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ESENT\Process\ezlive_updater
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility
 - ezlper = (6자리 숫자)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{B663060F-F1C9-4b9c-A9A4-34A3728DB3F0}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
EzHelper
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ezlive
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_EZHELPER_SERVICES
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\
LEGACY_EZLIVE_UPDATE_SERVICE
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ezhelper Services
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ezlive Update Service

 

일부 광고 프로그램의 경우 설치 과정에서 위와 같이 2종류의 프로그램으로 설치되는 경우가 종종 발견되므로 프로그램 삭제시 참고하시기 바랍니다.

728x90
반응형