본문 바로가기

벌새::Analysis

검색 도우미 : KTH 열린 주소창 서비스 VER 2.0 - KTH_OpenSearch

728x90
반응형

인터넷 검색 과정에서 추가적인 광고창 생성 및 시스템 트레이 알림 아이콘 상단에 팝업창을 생성하는 검색 도우미 "KTH 열린 주소창 서비스 VER 2.0 - KTH_OpenSearch" 프로그램에 대해 살펴보도록 하겠습니다.

 

해당 프로그램의 설치 파일(MD5 : 22c76a26ad9add4442ab02f7056881f9)에 대하여 AhnLab V3 보안 제품에서는 Win-PUP/Helper.OpenSearch.856992 (VirusTotal : 4/41) 진단명으로 진단되고 있습니다.

 

  검색 도우미 : KTH 열린 주소창 검색 서비스 - KTHOpenSearch (2011.6.23)

 

또한 기존의 KTH 열린 주소창 검색 서비스의 변형된 버전으로 추정되므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\KTH_OpenSearch
C:\Program Files\KTH_OpenSearch\catedomain.dt
C:\Program Files\KTH_OpenSearch\category.dt
C:\Program Files\KTH_OpenSearch\hka.dll
C:\Program Files\KTH_OpenSearch\kos_earchch.exe
C:\Program Files\KTH_OpenSearch\kos_earchup.exe :: 시작 프로그램 등록 파일
C:\Program Files\KTH_OpenSearch\kos_guide.dll :: BHO 등록 파일
C:\Program Files\KTH_OpenSearch\Kos_open.exe :: 메모리 상주 프로세스
C:\Program Files\KTH_OpenSearch\kos.dat
C:\Program Files\KTH_OpenSearch\kosuninst.exe :: 프로그램 삭제 파일
C:\Program Files\KTH_OpenSearch\up

 

[생성 파일 진단 정보]

 

C:\Program Files\KTH_OpenSearch\kos_earchch.exe
 - MD5 : bb0808d286ea9cc06b374f91cda6647b
 - AhnLab V3 : Win-PUP/Helper.KOSearch.15984 (VirusTotal : 5/42)

 

해당 프로그램은 "C:\Program Files\KTH_OpenSearch" 폴더에 파일을 생성하며, Windows 시작시 kos_earchup.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다. 

프로그램이 설치된 환경에서 Internet Explorer 웹 브라우저의 주소 표시줄에 검색어를 입력하여 검색을 시도할 경우, KT 열린 주소창(dns.olleh.com) 검색 결과로 연결되는 동작을 확인할 수 있습니다. 

포털 사이트 인터넷 검색을 통해 특정 사이트를 오픈할 경우, 해당 검색 도우미 프로그램을 통해 특정 광고 서버(cl.ncclick.co.kr)를 경유하여 추가적인 광고창이 생성되는 동작을 확인할 수 있습니다. 

또한 이 과정에서 메모리에 상주하는 Kos_open.exe 프로세스는 시스템 트레이 알림 아이콘 상단에 그림과 같은 "AD" 팝업창을 생성하는 동작이 발생합니다. 

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : CKOS_Guide Class

게시자 : HOW SOFT

유형 : 브라우저 도우미 개체

CLSID : {E9176D00-F8EB-4E40-B09C-04FD140CA277}

파일 : C:\Program Files\KTH_OpenSearch\kos_guide.dll

 

해당 프로그램은 Internet Explorer 웹 브라우저 실행시 iexplore.exe 프로세스에 kos_guide.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여, 인터넷 검색 과정에서 추가적인 광고창 생성 및 KT 열린 주소창(dns.olleh.com) 검색으로 연결하는 동작을 합니다.

 

그러므로 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "CKOS_Guide Class" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다. 

또한 시스템 트레이 알림 아이콘 상단에 팝업창을 생성하는 광고 동작은 메모리에 상주하는 Kos_open.exe 프로세스가 담당하므로, 프로그램 삭제시에는 Windows 작업 관리자에서 해당 프로세스를 찾아 수동으로 종료하시기 바랍니다. 

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "KTH 열린 주소창 서비스 VER 2.0" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 수동으로 삭제하시기 바랍니다.

 

  • C:\Program Files\KTH_OpenSearch
  • C:\Program Files\KTH_OpenSearch\catedomain.dt
  • C:\Program Files\KTH_OpenSearch\category.dt
  • C:\Program Files\KTH_OpenSearch\hka.dll
  • C:\Program Files\KTH_OpenSearch\Kos_open.exe
  • C:\Program Files\KTH_OpenSearch\up
[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\KTH_OpenSearch
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - kos_earchup = C:\Program Files\KTH_OpenSearch\kos_earchup.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{0BE94E1F-8D53-411B-A44E-A94834FE6216}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\kos_guide.DLL
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E9176D00-F8EB-4E40-B09C-04FD140CA277}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{F5996622-2FF0-4FEA-9F4D-716B5904B58C}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\kos_guide.CKOS_Guide
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\kos_guide.CKOS_Guide.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{F8833494-E57B-499F-99E8-0BEBEDC9C680}
HKEY_LOCAL_MACHINE\SOFTWARE\KTH_OpenSearch
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{E9176D00-F8EB-4E40-B09C-04FD140CA277}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\
PreApproved\{E9176D00-F8EB-4E40-B09C-04FD140CA277}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDlls
 - C:\Program Files\KTH_OpenSearch\kos_guide.dll = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\KTH 열린 주소창 서비스 VER 2.0

 

해당 프로그램은 프로그램 목록에 제시되지 않는 문제로 설치 여부를 확인하기 어려우며, 인터넷 검색 과정에서 원치 않는 광고(팝업)창이 반복적으로 생성되므로 주의하시기 바랍니다.

728x90
반응형