본문 바로가기

벌새::Analysis

검색 도우미 : mrsph

인터넷 검색시 특정 인터넷 쇼핑몰 접속 과정에서 사용자 몰래 광고 코드가 추가되는 검색 도우미 mrsph 프로그램에 대해 살펴보도록 하겠습니다.

 

해당 프로그램의 설치 파일(MD5 : e1fe6ab55f0ff56ea001666f422cbfc6)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.TotalLink (VirusTotal : 5/42) 진단명으로 진단되고 있습니다.

 

  검색 도우미 : qpscd (2012.3.21)

 

  검색 도우미 : tpnbbs (2012.3.23)

 

또한 해당 프로그램은 기존의 무의미한 이름을 가진 qpscd, tpnbbs 검색 도우미 프로그램과 유사성이 강하므로 참고하시기 바랍니다.

GET /mrs**/mrsph.zip HTTP/1.1
Content-Type: text/html
Host: totallink.co.kr
Accept: text/html, */*
User-Agent: Mozilla/3.0 (compatible; Indy Library)

프로그램 설치 과정을 살펴보면 특정 서버로부터 프로그램 관련 파일을 포함한 mrsph.zip 압축 파일을 다운로드하여 설치가 진행됩니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\mrsph
C:\Program Files\mrsph\mrsph.dll :: BHO 등록 파일
C:\Program Files\mrsph\mrsph.zip
C:\Program Files\mrsph\mrsphremove.exe :: 프로그램 삭제 파일

 

[생성 파일 진단 정보]

 

C:\Program Files\mrsph\mrsph.dll
 - MD5 : 39838b761dce27e99aa6718f9b3e42ce
 - Kaspersky : not-a-virus:AdWare.Win32.BHO.aqmt (VirusTotal : 10/42) 

 

해당 프로그램은 "C:\Program Files\mrsph" 폴더에 파일을 생성하며, Internet Explorer 웹 브라우저 실행시 동작하도록 제작되어 있습니다. 

프로그램이 설치된 환경에서 11번가, G마켓, 옥션 등 프로그램이 지정한 특정 인터넷 쇼핑몰에 접속하는 과정에서 특정 광고 코드(click.clickstory.co.kr)가 추가되는 동작을 확인할 수 있습니다. 

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : mrsph

유형 : 브라우저 도우미 개체

CLSID : {049FFC54-2CBA-4DD6-8A2D-BEBC2DB7CFC3}

파일 : C:\Program Files\mrsph\mrsph.dll 

 

해당 프로그램은 Internet Explorer 웹 브라우저 실행시 iexplore.exe 프로세스에 mrsph.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 특정 인터넷 쇼핑몰 접속시 광고 코드를 추가하는 동작을 하도록 되어 있습니다.

 

그러므로 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "mrsph" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다. 

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "mrsph" 삭제 항목을 이용하여 삭제할 수 있습니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\mrsph
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{049FFC54-2CBA-4DD6-8A2D-BEBC2DB7CFC3}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\

Browser Helper Objects\{049FFC54-2CBA-4DD6-8A2D-BEBC2DB7CFC3}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\

mrsph 

 

해당 프로그램은 등록된 이름으로는 어떤 동작을 하는지 확인하기 어려우며, 사용자 몰래 시스템 시작 과정에서 몰래 설치되는 것으로 추정되므로 주의하시기 바랍니다.