Internet Explorer 웹 브라우저 상단에 툴바(Toolbar), 광고탭(tabsync:tab), 광고창을 생성하는 검색 도우미 TabSync 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 6be86f834a87d3a2d132e454b1f5bd6b)에 대하여 AhnLab V3 보안 제품에서는 Win-PUP/Helper.Winggo.312512 (VirusTotal : 16/44) 진단명으로 진단되고 있습니다.
▷ <Right Security Blog> 검색 도우미 : 윙고 툴바(WingGo Toolbar) (2010.12.10)
▷ 검색 도우미 : 윙고 툴바(WingGo Toolbar) - winggom.exe (2012.7.5)
▷ 검색 도우미 : SmartTap (2012.7.17)
해당 프로그램은 기존의 윙고 툴바(WingGo Toolbar) 계열의 검색 도우미 프로그램이므로 참고하시기 바랍니다.
C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\tabsyncu.exe
C:\Program Files\TabSync
C:\Program Files\TabSync\tabsync.exe :: 메모리 상주 프로세스
C:\Program Files\TabSync\tabsynchelper.dll :: BHO 등록 파일
C:\Program Files\TabSync\tabsyncu.exe :: 시작 프로그램 등록 파일
C:\Program Files\TabSync\ts1004.dat
C:\Program Files\TabSync\tslist.dat
해당 프로그램은 Windows 시작시 "C:\Program Files\TabSync\tabsyncu.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되며, 실행된 파일은 파일 버전 체크 및 "C:\Program Files\TabSync\tabsync.exe" 파일을 로딩하도록 구성되어 있습니다.
1. TabSync 툴바(Toolbar) 생성
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar
- {5402F30A-DE34-4240-A594-132217F7D52D}
프로그램이 설치된 환경에서 Internet Explorer 웹 브라우저의 상단에 "TabSync" 툴바(Toolbar)가 등록되어 있는 것을 확인할 수 있습니다.
등록된 툴바를 해제하기 위해서는 웹 브라우저 도구 모음의 빈 영역에 마우스 우클릭을 통해 생성된 하위 메뉴 중 "TabSync" 항목을 선택하시면 "추가 기능 사용 안 함" 창이 생성되므로 "사용 안 함" 버튼을 클릭하시면 됩니다.(※ 관련된 추가 기능 또한 사용하지 않는다고 체크한 상태에서 "사용 안 함"을 선택하면 TabSync 프로그램이 등록한 브라우저 도우미 개체(BHO) 기능을 통한 광고 행위도 중지할 수 있습니다.)
2. tabsynchelper.dll 파일 기능 : 광고탭(tabsync:tab) 생성
TabSync 프로그램은 사용자가 인터넷 검색을 시도할 경우, 검색 키워드 값을 기반으로 새 탭 방식으로 광고탭(tabsync:tab)을 자동으로 생성하는 동작을 합니다.
생성된 광고탭(tabsync:tab)을 클릭할 경우, 자동으로 특정 광고 코드(click.clickstory.co.kr)를 추가하여 상업적 웹 사이트로 접속을 시도하게 됩니다.
이름 : TabSync
게시자 : The A MEDIA
유형 : 도구 모음
CLSID : {5402F30A-DE34-4240-A594-132217F7D52D}
파일 : C:\Program Files\TabSync\tabsynchelper.dll
이름 : TabSync
게시자 : The A MEDIA
유형 : 브라우저 도우미 개체
CLSID : {1AB2CFE4-D6CC-4588-A4EF-EE98B8249883}
파일 : C:\Program Files\TabSync\tabsynchelper.dll
해당 광고 동작은 Internet Explorer 웹 브라우저의 iexplore.exe 프로세스에 tabsynchelper.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 이루어지므로, 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "TabSync" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
3. tabsync.exe 파일 기능 : 광고탭(tabsync:tab) 및 광고창 생성
메모리에 상주하는 tabsync.exe 파일은 인터넷 검색시 키워드 값을 참조하여 추가적인 광고창 생성 및 광고탭(tabsync:tab) 생성 동작을 하도록 구성되어 있습니다.
그러므로 광고 동작의 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 tabsync.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "tabsync" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 "C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\tabsyncu.exe" 파일을 수동으로 삭제하시기 바랍니다.
HKEY_CURRENT_USER\Environment
- OSVersion = (사용자 OS 이름)
HKEY_CURRENT_USER\Software
- WC = 1
HKEY_CURRENT_USER\Software\Microsoft
- WC = 1
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- tabsync = "C:\Program Files\TabSync\tabsyncu.exe" UPDATE
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\tabsync
HKEY_CURRENT_USER\Software\tabsync
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1AB2CFE4-D6CC-4588-A4EF-EE98B8249883}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5402F30A-DE34-4240-A594-132217F7D52D}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar
- {5402F30A-DE34-4240-A594-132217F7D52D}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{1AB2CFE4-D6CC-4588-A4EF-EE98B8249883}
해당 프로그램은 광고 노출을 위해 툴바(Toolbar), 브라우저 도우미 개체(BHO), 광고 프로세스 파일을 함께 동작시켜 인터넷 이용시 원치 않는 광고탭(tabsync:tab) 및 광고창 생성 동작으로 많은 불편이 예상되므로 주의하시기 바랍니다.