글자수 세기 프로그램을 이용하여 시스템 시작시 사용자 동의없이 다수의 수익성 프로그램을 설치하는 "Windows nupjinsys x86" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 43d53a55a81f470517f024eb9e1da9ed)에 대하여 Hauri ViRobot 보안 제품에서는 Adware.Agent.120035 (VirusTotal : 22/42) 진단명으로 진단되고 있습니다.
▷ 국내 악성코드 : Windows pdsallsys x86 (2012.9.6)
또한 해당 프로그램은 동일한 기능을 하는 "Windows pdsallsys x86" 프로그램을 통해 몰래 설치되는 것으로 확인되고 있으므로 참고하시기 바랍니다.
해당 프로그램의 설치 파일을 이용하여 수동 설치를 진행하면 이용약관을 통해 "문자열 세기 프로그램"을 설치한다고 안내하고 있습니다.
C:\Program Files\nupjin
C:\Program Files\nupjin\cns.dat
C:\Program Files\nupjin\nupjin.exe :: 글자수 세기 프로그램 실행 파일
C:\Program Files\nupjin\nupjinmds.exe :: 시작 프로그램 등록 파일
C:\Program Files\nupjin\uninst.exe :: 프로그램 삭제 파일
C:\Program Files\nupjin\nupjinmds.exe
- MD5 : 76b238ff578bca1e1777917a02d6704b
- Kaspersky : Trojan-Downloader.Win32.Agent.wrxp (VirusTotal : 14/42)
해당 프로그램은 "C:\Program Files\nupjin" 폴더에 파일을 생성하며, Windows 시작시 nupjinmds.exe 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 nupjinmds.exe 파일을 확인해보면 2개의 특정 업데이트 서버와 연결하여 추가적인 파일이 등록되어 있을 경우 다운로드하도록 구성되어 있습니다.
우선 "Windows nupjinsys x86" 프로그램의 파일을 확인해보면 사용자가 "C:\Program Files\nupjin\nupjin.exe" 파일을 찾아 직접 실행한 경우에만 "글자수 세기 프로그램"이 동작하는 것을 확인할 수 있습니다.
이는 프로그램의 본래 목적인 글자수 세기 프로그램 배포가 아닌 업데이트를 통한 수익성 프로그램 설치라고 볼 수 있습니다.
프로그램 삭제는 제어판의 "windows nupjinsys x86 (remove only) ." 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\nupjin.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- nupjinmds = C:\Program Files\nupjin\nupjinmds.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\windows nupjinsys x86 (remove only)
이제 "Windows nupjinsys x86" 프로그램을 통해 사용자 몰래 2개의 업데이트 서버로부터 다운로드 및 설치된 4종의 수익성 프로그램에 대해 살펴보도록 하겠습니다.
1. windows newupserv sys x86 (remove only) .
- h**p://update.greenkeep.kr/******/jach/Setup-newupse.exe (MD5 : dc8a981eba62c92ee46ca9938062df14) - Hauri ViRobot : Trojan.Win32.A.Downloader.125295 (VirusTotal : 23/39)
해당 프로그램은 "C:\Program Files\newupse" 폴더에 파일을 생성하며, "Windows nupjinsys x86" 프로그램과 마찬가지로 글자수 세기 프로그램을 이용하여 시스템 시작시 업데이트를 통한 추가적인 프로그램을 설치할 목적으로 제작되어 있습니다.
2. 개인정보 보안 솔루션 : 마스터보안(MasterBoan) (2012.7.6)
- h**p://down.masterboan.com/masterboan_*****.exe (MD5 : 1db9e576dba0fa48a609c9e2e989210c) - AVG : Generic5.GCC (VirusTotal : 9/42)
해당 프로그램은 PC 사용 흔적 검사를 통해 유료 결제를 유도하는 프로그램입니다.
3. 악성코드 제거 프로그램 : 백신포스(VaccineForce) (2012.7.5)
- h**p://update.greenkeep.kr/******/jach/VaccineForce_white.exe (MD5 : a46f64b7082af7cb706d5bec81f902f7) - AhnLab V3 : ASD.Prevention (VirusTotal : 26/42)
해당 프로그램은 악성코드 검사를 통해 유료 결제를 유도하는 프로그램입니다.
4. EBcds Uninstall (remove only) .
- h**p://www.**link.co.kr/********/EBCsetup.exe (MD5 : 07a3273b9918b7ecbd2a22b3a8e61bc1) - Avira AntiVir : TR/Dropper.Gen (VirusTotal : 2/42)
해당 프로그램은 "C:\Program Files\EBcds" 폴더에 파일을 생성하며, "사용자 프로그램 업데이트"라는 서비스를 등록하여 시스템 시작시 자동으로 실행되어 추가적인 프로그램을 설치할 목적으로 제작된 것으로 파악되고 있습니다.
▷ CPU-Z 한글판을 이용한 "사용자 업데이트 컨트롤(User dnControler manager)" 유포 주의 (2012.8.26)
이는 기존에 소개한 "사용자 업데이트 컨트롤(User dnControler manager)" 프로그램과 유사성이 있는 것으로 보이므로 참고하시기 바랍니다.
이들 프로그램의 삭제를 위해서는 제어판의 "EBcds Uninstall (remove only) .", "masterboan", "VaccineForce", "windows newupserv sys x86 (remove only) ." 삭제 항목을 이용하여 삭제할 수 있습니다.
이처럼 하나의 프로그램을 설치한 경우 연쇄적 설치 및 추가적인 다운로드 기능을 가진 프로그램을 통한 유지가 이루어지므로 이런 프로그램이 설치되지 않도록 각별히 주의하시기 바랍니다.