본문 바로가기

벌새::Analysis

국내 악성코드 : Visual Search

인터넷 이용 과정에서 프로그램에서 지정한 인터넷 쇼핑몰에 접속할 경우 사용자 몰래 광고 코드를 추가하는 검색 도우미 "Visual Search" 프로그램에 대해 살펴보도록 하겠습니다.

 

해당 프로그램의 설치 파일(MD5 : 2b1a6083a04416f95fe23148a652f2ed)에 대하여 AhnLab V3 보안 제품에서는 Dropper/Win32.BHO (VirusTotal : 27/42) 진단명으로 진단되고 있습니다. 

   [삭제] MediSearch 1.00 (2012.3.8)

 

또한 해당 프로그램은 기존의 삭제 기능이 존재하지 않던 MediSearch 1.00 검색 도우미 프로그램의 이름이 변경된 버전으로, 이번에는 삭제 기능이 포함되어 있는 것을 확인할 수 있습니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\VisualSearch
C:\Program Files\VisualSearch\medisearch.dll :: BHO 등록 파일
C:\Program Files\VisualSearch\medisearchdel.exe
C:\Program Files\VisualSearch\Uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\VisualSearch\Uninstall.ini
C:\WINDOWS\system32\medisearchinst.exe :: 자가 삭제

 

해당 프로그램은 "C:\Program Files\VisualSearch" 폴더에 파일을 생성하며, Internet Explorer 웹 브라우저 실행시 동작하도록 제작되어 있습니다.

GET /****search/medisearch2.html HTTP/1.1
Accept: image/gif,image/x-xbitmap,image/jpeg,image/pjpeg,*/*
User-Agent: Microsoft URL Control - 6.01.9782
Host: 121.78.93.10
Connection: Keep-Alive
Cache-Control: no-cache

프로그램이 설치된 환경에서 최초 Internet Explorer 웹 브라우저 실행시 브라우저 도우미 개체(BHO)로 등록된 medisearch.dll 파일을 통해 특정 서버에 연결을 시도하여 추가적인 다운로드 기능이 존재합니다. 

광고 기능을 살펴보면 사용자가 옥션, G마켓 등 인터넷 쇼핑몰 검색을 시도할 경우, 특정 광고 코드(cl.ilikeclick.com)를 추가한 광고창을 자동으로 생성하는 동작을 확인할 수 있습니다. 

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : medisearchprg.medisearch

게시자 : XP PLUS

유형 : 브라우저 도우미 개체

CLSID : {894B3EDB-B53D-40CF-8B17-106B8547A84A}

파일 : C:\Program Files\VisualSearch\medisearch.dll

 

해당 프로그램은 Internet Explorer 웹 브라우저 실행시 iexplore.exe 프로세스에 medisearch.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 프로그램에서 지정한 인터넷 쇼핑몰 접속시 광고 코드를 추가하여 수익을 창출하고 있습니다.

 

그러므로 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "medisearchprg.medisearch" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다. 

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "Visual Search" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 수동으로 삭제하시기 바랍니다.

  • C:\Program Files\VisualSearch
  • C:\Program Files\VisualSearch\medisearch.dll
[생성 레지스트리 등록 정보]

 

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{894B3EDB-B53D-40CF-8B17-106B8547A84A}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{96E1B7B9-7E9F-4678-A873-5B1F94C69A18}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\medisearchprg.medisearch
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{8CEAC91F-D980-4CFB-9E2D-552E3264E6EF}
HKEY_LOCAL_MACHINE\SOFTWARE\medisearch
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{894B3EDB-B53D-40CF-8B17-106B8547A84A}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Visual Search

 

해당 프로그램은 프로그램 목록에 제시되지 않는 관계로 설치 여부를 확인하기 어려우며, 인터넷 검색 과정에서 원치 않는 광고창 생성 동작이 있을 수 있으므로 주의하시기 바랍니다.