울지않는벌새 : Security, Movie & Society

검색 도우미 : WinPro

벌새::Analysis
인터넷 검색시 웹 브라우저 좌측에 사이드바 광고를 생성하는 검색 도우미 WinPro 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램의 설치 파일(MD5 : 355f169e92aa599c98f5de323f92e5ea)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.NBiz (VirusTotal : 4/42) 진단명으로 진단되고 있으므로 참고하시기 바랍니다.
GET /dst/WinPro_WP25.exe HTTP/1.0
Host: file.side**.co.kr
User-Agent: NSISDL/1.2 (Mozilla)
Accept: */*

프로그램이 설치되는 과정에서 추가적으로 WinPro 설치 파일을 다운로드하여 설치가 진행되며, 해당 파일(MD5 : cf99f09d2cbd5d31d238da8b16f9ac7d)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.NBiz (VirusTotal : 10/43) 진단명으로 진단되고 있습니다.

[생성 폴더 / 파일 등록 정보]

C:\Program Files\WinPro
C:\Program Files\WinPro\ex.dat
C:\Program Files\WinPro\Uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\WinPro\WinPro.dll :: BHO 등록 파일
C:\Program Files\WinPro\WinPro.exe :: 시작 프로그램 등록 파일 / 메모리 상주 프로세스

[생성 파일 진단 정보]

C:\Program Files\WinPro\Uninstall.exe
 - MD5 : 2bb361bbe8b504aac9a5c4690d0bddc0
 - AhnLab V3 : PUP/Win32.NBiz (VirusTotal : 3/43)

해당 프로그램은 Windows 시작시 WinPro.exe 파일을 시작 프로그램에 등록하여 자동 실행되도록 구성되어 있습니다.

  ▷ 검색 도우미 : Speed Link (2012.3.13)

이는 기존의 유사한 검색 도우미 프로그램과 마찬가지로 광고 프로그램으로 설치로 인하여 KT 공유기 체크를 하는 부분이 추가되어 발생하는 것으로 추정되며, 프로그램을 삭제하여도 일정 기간 포털 사이트 접속시 해당 현상이 발생할 수 있으리라 추정됩니다.

해당 프로그램은 인터넷 이용 과정에서 옥션, 11번지와 같은 특정 인터넷 쇼핑몰에서 검색을 시도할 경우, 웹 브라우저 좌측에 "WINPRO" 사이드바 광고창이 생성되는 것을 확인할 수 있습니다.

해당 광고를 클릭할 경우 특정 광고 서버를 경유하여 오버추어(Overture) 광고 코드를 추가한 형태로 웹 사이트 접속이 이루어지도록 구성되어 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

이름 : WinPro
게시자 : nbiz Ltd.
유형 : 브라우저 도우미 개체
CLSID : {339E5541-DA75-412A-9F9B-3C014BE1050B}
파일 : C:\Program Files\WinPro\WinPro.dll

이름 : WinPro
게시자 : nbiz Ltd.
유형 : 탐색창
CLSID : {F543A3E8-AC7D-4A6E-86A8-5916DC31256D}
파일 : C:\Program Files\WinPro\WinPro.dll

해당 프로그램은 Internet Explorer 웹 브라우저 실행시 iexplore.exe 프로세스에 WinPro.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 키워드 감시를 통한 사이드바 광고를 생성하는 동작을 합니다.

그러므로 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "WinPro" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.

또한 시작 프로그램으로 실행된 WinPro.exe 파일은 메모리에 상주하므로, 프로그램 삭제시에는 Windows 작업 관리자에서 해당 프로세스를 찾아 수동으로 종료하시고 삭제를 진행하시기 바랍니다.

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "WinPro" 삭제 항목을 이용하여 삭제할 수 있습니다.

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\WinPro
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{339E5541-DA75-412A-9F9B-3C014BE1050B}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{F543A3E8-AC7D-4A6E-86A8-5916DC31256D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{83F09346-4F99-488B-8CAD-BD7E7A68E5DF}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{DBC13F1E-3AD1-494B-A272-DCE6E39B856B}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{C1F67743-C496-46C5-8476-489EF23E3665}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WinPro.BandHelper
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WinPro.BandHelper.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WinPro.SideBand
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WinPro.SideBand.1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{339E5541-DA75-412A-9F9B-3C014BE1050B}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - WinPro = C:\Program Files\WinPro\WinPro.exe
 - WinPro" = "C:\Program Files\WinPro\WinPro.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\WinPro

해당 프로그램은 프로그램 목록에 제시되지 않는 문제로 설치 여부를 확인하기 어려우며, 인터넷 검색시 원치 않는 사이드바 광고로 불편을 유발할 수 있으므로 주의하시기 바랍니다.