본문 바로가기

벌새::Analysis

검색 도우미 : ShoppingAD

인터넷 검색시 광고창을 생성하는 검색 도우미 "ShoppingAD" 프로그램에 대해 살펴보도록 하겠습니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad
C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\config.bin
C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\ODNB.DLL :: BHO 등록 파일
C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\ODNE.exe :: 시작 프로그램 등록 파일 / 메모리 상주 프로세스
C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\ODTB.exe :: 메모리 상주 프로세스
C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\SETUP.dll
C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\tbcfg.bin
C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\uninst.exe :: 프로그램 삭제 파일

 

해당 프로그램은 숨김(H) 속성값을 가진 폴더 내의 "C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad" 폴더에 파일을 생성하며, Windows 시작시 2개의 시작 프로그램 등록값(odne_(숫자), ODNBSTART)을 이용하여 "C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\ODNE.exe" 파일을 자동 실행하도록 구성되어 있습니다.

 

자동 실행된 ODNE.exe 파일은 업데이트 및 광고 구성값을 체크하며, 추가적으로 "C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\ODTB.exe" 파일을 실행시켜 메모리에 상주합니다. 

프로그램이 설치된 환경에서 네이버(Naver) 검색을 이용하여 특정 검색 키워드를 입력할 경우 네이버(Naver) 메인창이 추가로 생성되는 동작을 확인할 수 있습니다. 

또한 유효한 검색 키워드의 경우 추가적인 광고창이 생성되는 동작도 확인할 수 있습니다. 

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : ODNBO Class

게시자 : ShoppingAD

유형 : 브라우저 도우미 개체

CLSID : {ACEEA248-18C8-4B0D-9148-907255BEE27C}

파일 : C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\ODNB.DLL

 

해당 프로그램은 Internet Explorer 웹 브라우저 실행시 iexplore.exe 프로세스에 ODNB.DLL 파일을 브라우저 도우미 개체(BHO)로 등록하여 키워드 감시를 통한 광고 동작을 합니다.

 

그러므로 광고 동작의 중지 및 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "ODNBO Class" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다. 

해당 프로그램이 설치된 환경에서 Windows 작업 관리자의 "응용 프로그램" 항목을 확인해보면 "작업" 영역에 다음의 2개의 알 수 없는 값들이 등록되어 있는 것을 볼 수 있습니다.

  • {79D369C2-A555-4ff8-A3B4-3C06A04CDC8C}:uname87  :: ODNE.exe 프로세스
  • {9F778387-6FE4-432c-B1AC-E83B219A4A3F}:uname87  :: ODTB.exe 프로세스

해당 값이 정확하게 어떤 프로그램(프로세스)인지 확인하기 위해서는 해당 값을 선택한 후 마우스 우클릭을 통해 생성된 메뉴 중 "프로세스로 이동" 항목을 선택하시면 자동으로 Windows 작업 관리자의 "프로세스" 항목에서 실행 중인 특정 프로세스를 표시하는 것을 확인할 수 있습니다.

 

이를 통해 응용 프로그램 항목에서 알 수 없었던 작업과 연관된 프로세스를 확인할 수 있으므로 참고하시기 바랍니다. 

ShoppingAD 프로그램이 실행된 경우 메모리에 상주하는 프로세스를 종합해보면 2개의 시작 프로그램 등록값으로 인하여 ODNE.exe(2개), ODTB.exe(2개) 프로세스가 총 4개 생성되는 것을 확인할 수 있습니다.

 

그러므로 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 ODNE.exe, ODTB.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다. 

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "shoppingad" 삭제 항목을 통해 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 수동으로 삭제하시기 바랍니다.

  • C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad
  • C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\ODNE.exe
[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - odne_(숫자) = C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\odne.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ACEEA248-18C8-4B0D-9148-907255BEE27C}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{A8507A75-DE08-403B-AB38-FD5EC13E9F57}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ODNB.ODNBO
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\ODNB.ODNBO.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{32FAEE99-910B-4775-9458-C6D6EB9D404D}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{ACEEA248-18C8-4B0D-9148-907255BEE27C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - ODNBSTART = C:\Documents and Settings\(사용자 계정)\Application Data\shoppingad\ODNE.EXE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
shoppingad

 

또한 프로그램 삭제 이후에도 웹 브라우저의 브라우저 도우미 개체(BHO)로 등록된 "ODNBO Class" 항목의 흔적이 남아있는 문제가 있으므로, 생성 레지스트리 값을 참조하여 삭제되지 않은 값을 찾아 삭제하시기 바랍니다.

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer
    \Browser Helper Objects\{ACEEA248-18C8-4B0D-9148-907255BEE27C} :: BHO 등록값

해당 프로그램은 프로그램 목록에 제시되지 않는 문제로 설치 여부를 확인하기 어려우며, 인터넷 검색시 원치않는 광고창이 생성될 수 있으므로 주의하시기 바랍니다.