제휴(스폰서) 프로그램 : Micros client service x86

마이크로소프트(Microsoft) 관련 프로그램처럼 위장한 문자열 세기 프로그램(글자수 세기 프로그램)을 이용하여 추가적인 수익성 프로그램의 설치를 유도할 것으로 추정되는 "Micros client service x86" 프로그램에 대해 살펴보도록 하겠습니다.

 

  ▷ 제휴(스폰서) 프로그램 : MicroClient x86 (2012.5.26)

 

  ▷ 제휴(스폰서) 프로그램 : Microclient update service x86 (2012.5.27)

 

  ▷ 국내 악성코드 : alexa drv & Miclient service allupdate x86 (2012.6.27)

 

  ▷ 국내 악성코드 : Microupdate ninetip x86 (2012.7.23)

 

마이크로소프트(Microsoft) 관련 업데이트 또는 패치 프로그램 형태의 이름을 가진 유사한 기능을 가진 프로그램이 확인되고 있으므로 참고하시기 바랍니다. 

해당 설치 화면은 실제 프로그램 배포 과정에서는 사용자에게 제시되지 않을 것으로 보입니다.

해당 프로그램의 설치 파일(MD5 : c0532e8aeefbd9a3ab845ed36bf2a50a)을 이용하여 수동 설치를 할 경우에는 그림과 같은 이용약관 창을 통해 "문자열 세기 프로그램"을 설치한다고 안내하고 있습니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\norbaweum
C:\Program Files\norbaweum\cns.dat
C:\Program Files\norbaweum\cntnorbawe.exe
C:\Program Files\norbaweum\norbawemds.exe
C:\Program Files\norbaweum\norbawesvc.exe :: norbaweum SERVICE 서비스 등록 파일
C:\Program Files\norbaweum\norbaweum.exe :: 글자수 세기 프로그램 실행 파일
C:\Program Files\norbaweum\uninst.exe :: 프로그램 삭제 파일

 

해당 프로그램은 "C:\Program Files\norbaweum" 폴더에 파일을 생성하며, 프로그램 설치(삭제) 과정에서 "C:\Program Files\norbaweum\cntnorbawe.exe" 파일을 실행하여 카운터(Counter) 체크를 하도록 구성되어 있습니다.

GET /log/?modeAct=install&iMAC=(사용자 Mac Address)&iPID=weba HTTP/1.1
Host: d120604.adntop.com

설치된 프로그램은 "norbaweum SVC(norbaweum SERVICE)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\norbaweum\norbawesvc.exe" 파일을 자동으로 실행하도록 제작되어 있습니다. 

이런 일련의 과정을 통해 자동으로 실행된 norbawesvc.exe 파일은 "C:\Program Files\norbaweum\norbawemds.exe" 파일을 실행하여 프로그램 실행 체크 및 특정 서버에 등록된 추가적인 업데이트를 체크하도록 구성되어 있습니다.

 

테스트 시점에서는 추가적인 프로그램이 존재하지 않지만, 만약 수익성 프로그램이 존재할 경우 업데이트 창 등과 같은 알림창을 통해 프로그램 설치를 유도할 것으로 추정됩니다. 

생성된 파일을 확인해보면 사용자가 "C:\Program Files\norbaweum\norbaweum.exe" 파일을 직접 찾아서 실행한 경우에만 "글자수 세기 프로그램"이 동작하도록 되어 있으므로, Micros client service x86 프로그램의 배포 목적은 시스템 시작시 업데이트 기능을 통한 수익성 프로그램 설치로 볼 수 있습니다. 

프로그램 삭제는 제어판의 "Micros client service x86 (remove only)  ." 삭제 항목을 이용하여 삭제할 수 있습니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\norbaweum.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Micros client service x86 (remove only)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_NORBAWEUM
_SVC
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\norbaweum SVC

 

해당 프로그램의 이름은 정상적인 마이크로소프트(Microsoft) 관련 프로그램과 유사하여 사용자에게 혼동을 유발하고 있으며, 차후 추가적인 다운로드를 통해 다양한 프로그램이 설치될 수 있으므로 주의하시기 바랍니다.