인터넷 검색시 추가적인 광고창을 생성하는 검색 도우미 "Windows Winerspop" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 844337d97e87195ee56ce237091809ed)에 대하여 Hauri ViRobot 보안 제품에서는 Adware.WindowsWinerspop.958480 (VirusTotal : 14/43) 진단명으로 진단되고 있습니다.
C:\Program Files\Windows Winerspop
C:\Program Files\Windows Winerspop\uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\Windows Winerspop\winspop.exe :: 메모리 상주 프로세스
C:\Program Files\Windows Winerspop\winspsp.exe
C:\Program Files\Windows Winerspop\winspsu.exe
C:\Program Files\Windows Winerspop\winspsv.exe :: 서비스(Windows Winerspop Service) 등록 파일 / 메모리 상주 프로세스
해당 프로그램은 "C:\Program Files\Windows Winerspop" 폴더에 파일을 생성하며, "winspsv32(Windows Winerspop Service)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\Windows Winerspop\winspsv.exe" 파일을 자동 실행되도록 구성되어 있습니다.
자동 실행된 winspsv.exe 서비스 파일은 "C:\Program Files\Windows Winerspop\winspop.exe" 파일을 추가 실행하여 2개의 프로세스가 메모리에 상주하게 됩니다.
자동 실행된 winspop.exe 파일은 네이버(Naver) 서버에 쿼리 전송을 통한 네트워크 연결 체크 및 광고 구성값을 확인하며, 실행 후 3분이 경과하면 특정 서버로부터 프로그램 버전 체크를 통해 업데이트된 파일에 대해서는 파일 교체가 이루어집니다.
프로그램이 설치된 환경에서 Internet Explorer 웹 브라우저의 주소 표시줄에 검색 키워드를 입력할 경우 광고창이 추가로 생성되는 동작을 확인할 수 있습니다.
포털 사이트에서 제공하는 인터넷 검색 서비스를 이용할 경우에도 검색시 추가적인 광고창이 생성됩니다.
또한 특정 인터넷 쇼핑몰 검색 서비스에서 검색을 시도할 경우에도 다른 인터넷 쇼핑몰이 생성되는 동작을 확인할 수 있습니다.
이들 광고창은 인터넷 검색시 특정 광고 코드(click.interich.com)가 추가되는 공통점을 가지고 있으므로 참고하시기 바랍니다.
광고 행위 중지 및 프로그램 삭제를 위해서는 우선적으로 실행창에 [sc stop "winspsv32"] 명령어를 입력하여 서비스를 중지하시기 바라며, 추가적으로 Windows 작업 관리자를 실행하여 winspop.exe 프로세스를 수동으로 종료하시기 바랍니다.
프로그램 삭제는 제어판의 "Windows Winerspop" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
- winspsu = 20121028
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Windows Winerspop
HKEY_LOCAL_MACHINE\SOFTWARE\Windows Winerspop
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_WINSPSV32
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\winspsv32
해당 프로그램은 프로그램 목록에 제시되지 않는 문제로 설치 여부를 확인하기 어려우며, 인터넷 검색시 원치 않는 광고창 생성으로 불편이 예상되므로 주의하시기 바랍니다.