울지않는벌새 : Security, Movie & Society

다운로드 도우미 : 파일도우미(FileDoumi)

벌새::Analysis

인터넷 상에서 파일을 다운로드할 경우 다운로드 창을 생성하는 다운로드 도우미 "파일도우미(FileDoumi)" 프로그램(MD5 : e25c334f28f806657cf4ddde424b09ab)에 대해 살펴보도록 하겠습니다.

 

  <Right Security Blog> 제휴(스폰서) 프로그램 : 파일겟(Fileget) (2010.7.26)

 

  제휴(스폰서) 프로그램 : 파일다운(FileDown) 다운로드 도우미 (2010.12.21)

 

  <Right Security Blog> 제휴(스폰서) 프로그램 : 다운매니저(DownManager) (2011.2.1)

 

  <Right Security Blog> 제휴(스폰서) 프로그램 : Pandora_AutoGet (2011.2.26)

 

  <Right Security Blog> 다운로드 도우미 : 다운로드겟(DownLoadGet) (2011.4.7)

 

  다운로드 도우미 : 멀티다운로드(MultiDownLoad) (2011.4.8)

 

  다운로드 도우미 : 라피드겟(RapidGet) - Windows Download Manager RapidGet (2011.10.28)

 

  다운로드 도우미 : 인터넷다운로드(InternetDownload) (2012.7.7)

 

이와 유사한 방식으로 파일 다운로드 시 다운로드 창 생성을 통해 추가적인 제휴(스폰서) 프로그램을 설치 유도하는 프로그램이 존재하였으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\AllInsConfig_v2.dat
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\Fgdata.dt
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\filedoumi.exe :: 다운로드 창 생성 프로세스
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\filedoumichange.exe
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\filedoumidll.dll
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\filedoumiiconms.exe :: 메모리 상주 프로세스
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\filedoumiuninstall.exe :: 프로그램 삭제 파일
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\FileDoumiUpgrade.exe :: 시작 프로그램(FDoumiStart) 등록 파일
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\filedoumiuphp.exe :: 시작 프로그램(FDoumiup2Start) 등록 파일
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\vf.dat
C:\Documents and Settings\(사용자 계정)\My Documents\파일도우미 받은 파일

 

해당 프로그램은 사용자가 확인하기 어려운 숨김(H) 속성값을 가지는 폴더 내의 "C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi" 폴더에 파일을 생성하며, Windows 시작시 FileDoumiUpgrade.exe, filedoumiuphp.exe 2개의 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

 

참고로 자동 실행되는 FileDoumiUpgrade.exe 파일은 프로그램 버전(version.dat) 체크, 번들(Bundle) 프로그램 체크를 통해 filedoumiiconms.exe 프로세스를 실행하며, filedoumiuphp.exe 파일은 프로그램 버전(version2.dat)을 체크한 후 종료됩니다.

이를 통해 평소에는 filedoumiiconms.exe 프로세스가 메모리에 상주하며, 사용자가 웹 브라우저를 통해 인터넷 상에서 파일을 다운로드할 경우 filedoumi.exe 프로세스를 추가하여 다음과 같은 다운로드 창을 생성합니다.

생성된 FileDoumi 다운로드 창에서는 사용자가 다운로드하려는 실제 파일 이외에 "전송시 무료영화, 11st, 옥션, Internet 홈 페이지 아이콘 생성", " 전송시 파워백신, 보안 케어 설치에 동의합니다."라는 2가지 수익성 프로그램 체크 항목이 추가되어 있는 것을 확인할 수 있습니다.

 

이를 통해 사용자가 해당 체크 항목을 해제하지 않고 다운로드(전송)를 시도할 경우 자동으로 3종의 수익성 프로그램이 자동으로 설치되며, 일부 프로그램은 시스템 재부팅 이후에 동작하여 어떤 경로를 통해 설치되었는지 사용자가 제대로 인지하지 못할 수 있습니다.

우선 파일도우미(FileDoumi) 프로그램의 삭제를 위해서는 Internet Explorer 웹 브라우저를 종료한 상태에서 Windows 작업 관리자를 실행하여 filedoumi.exe, filedoumiiconms.exe 2개의 프로세스를 찾아 수동으로 종료하시기 바랍니다.

그 후 제어판의 "FileDoumi" 삭제 항목을 이용하여 프로그램을 삭제할 수 있으며, 프로그램 삭제 이후에도 일부 환경에서는 제어판에 삭제 항목이 여전히 존재할 수 있으므로 "변경/제거" 버튼을 재실행하시면 "제거 프로그램 오류"창이 생성되어 "예(Y)" 버튼을 클릭하여 삭제 항목을 제거하시기 바랍니다.

 

또한 프로그램 삭제 후에는 추가적으로 "C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi" 폴더를 수동으로 삭제하시기 바랍니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer
 - DownloadUI = {52985203-746E-48BA-BF9F-4A515A93D3A3}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - FDoumiStart = C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\FileDoumiUpgrade.exe
 - FDoumiup2Start = "c:\documents and settings\(사용자 계정)\application data\filedoumi\filedoumiuphp.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{52985203-746E-48BA-BF9F-4A515A93D3A3}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FileDoumidll.CGFDownload
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
FileDoumi

 

이제 파일도우미(FileDoumi) 프로그램을 통해 추가적으로 설치될 수 있는 3종의 수익성 프로그램에 대해 살펴보도록 하겠습니다.

 

(1) 전송시 무료영화, 11st, 옥션, Internet 홈 페이지 아이콘 생성

 

[생성 폴더 / 파일 등록 정보]

 

C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\res\11st.ico
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\res\Auction1.ico
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\res\ex.ico
C:\Documents and Settings\(사용자 계정)\Application Data\FileDoumi\res\iconname.ico
C:\Documents and Settings\(사용자 계정)\Application Data\Microsoft\Internet Explorer\Quick Launch\11번가.url
C:\Documents and Settings\(사용자 계정)\Favorites\11번가.URL
C:\Documents and Settings\(사용자 계정)\Favorites\무료영화 다운.URL
C:\Documents and Settings\(사용자 계정)\Favorites\옥션.URL
C:\Documents and Settings\(사용자 계정)\바탕 화면\11번가.URL
C:\Documents and Settings\(사용자 계정)\바탕 화면\Internet 홈페이지.lnk
C:\Documents and Settings\(사용자 계정)\바탕 화면\무료영화 다운.URL
C:\Documents and Settings\(사용자 계정)\바탕 화면\옥션.URL

 

해당 프로그램은 즐겨찾기, 바탕 화면, 빠른 실행에 바로가기 아이콘을 생성하며, G마켓을 추가적으로 브라우저 확장 영역에 등록하고 있습니다.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{5F6C1537-DE02-493D-9E10-6EB084414077} :: G마켓

그러므로 G마켓의 경우 웹 브라우저의 추가 기능 관리에 등록된 "G마켓" 항목을 선택하여 "사용 안 함"으로 변경하여 표시되지 않도록 하시기 바라며, 레지스트리 편집기(regedit)를 실행하여 브라우저 확장에 등록된 CLISD 값({5F6C1537-DE02-493D-9E10-6EB084414077})을 찾아 삭제하시기 바랍니다.

 

(2) 개인정보 보안 솔루션 : 보안케어(BoanCare) (2012.11.2)

  • h**p://update.boan****.co.kr/set***/boancaresetup_power.exe (MD5 : 84e88de8e1df944680e40b08f4cbdfe0) - Hauri ViRobot : Adware.Boancare.182360 (VirusTotal : 31/44)

해당 프로그램은 PC 사용 흔적 검사를 통해 유료 결제를 유도하는 개인정보 보안 솔루션입니다.

 

(3) 악성코드 제거 프로그램 : 파워백신(PowerVaccine) (2012.11.2)

  • h**p://update.**wer***cine.co.kr/set***/powervaccinesetup_pro.exe (MD5 : fe3871ce98df59e370fbbd7847ce4717) - AhnLab V3 : PUP/Win32.Security (VirusTotal : 31/44)

해당 프로그램은 악성코드 검사를 통해 유료 결제를 유도하는 악성코드 제거 프로그램입니다.

 

이런 류의 파일 다운로드 도우미 프로그램을 통해 생성되는 다운로드 창은 추가적인 수익성 프로그램의 체크를 제대로 체크 해제하지 않고 이용할 경우 원치 않는 프로그램 설치가 이루어질 수 있으므로 주의하시기 바랍니다.