울지않는벌새 : Security, Movie & Society

국내 악성코드 : Micro WebViewer Application ActX

벌새::Analysis

무료 만화 뷰어 프로그램으로 소개하여 설치를 유도한 후 인터넷 이용시 사용자 몰래 특정 인터넷 쇼핑몰 접속시 광고 코드를 추가하는 검색 도우미 "Micro WebViewer Application ActX" 프로그램에 대해 살펴보도록 하겠습니다.(※ 해당 프로그램에는 만화 뷰어 기능은 포함되어 있지 않은 것으로 보입니다.)

 

해당 프로그램의 설치 파일(MD5 : da7ac3f93da4da4b9d7f0179cc69eaf6)에 대하여 AhnLab V3 보안 제품에서는 Trojan/Win32.ADH (VirusTotal : 26/46) 진단명으로 진단되고 있습니다.

 

  검색 도우미 : 서치엔(SearchN) - Sn_x32,x64 XML 1.0.0.1 (2012.11.26)

 

또한 해당 프로그램은 기존의 서치엔(SearchN) 검색 도우미 프로그램과 유사성이 있으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Documents and Settings\(사용자 계정)\FreeWebToon
C:\Documents and Settings\(사용자 계정)\FreeWebToon\data
C:\Documents and Settings\(사용자 계정)\FreeWebToon\data\11st_off.bmp
C:\Documents and Settings\(사용자 계정)\FreeWebToon\data\11st_on.bmp
C:\Documents and Settings\(사용자 계정)\FreeWebToon\data\ac_off.bmp
C:\Documents and Settings\(사용자 계정)\FreeWebToon\data\ac_on.bmp
C:\Documents and Settings\(사용자 계정)\FreeWebToon\data\bt_close.bmp
C:\Documents and Settings\(사용자 계정)\FreeWebToon\data\g_off.bmp
C:\Documents and Settings\(사용자 계정)\FreeWebToon\data\g_on.bmp
C:\Documents and Settings\(사용자 계정)\FreeWebToon\data\sidebar.dat
C:\Program Files\FreeWebToon
C:\Program Files\FreeWebToon\data
C:\Program Files\FreeWebToon\data\11st_off.bmp
C:\Program Files\FreeWebToon\data\11st_on.bmp
C:\Program Files\FreeWebToon\data\ac_off.bmp
C:\Program Files\FreeWebToon\data\ac_on.bmp
C:\Program Files\FreeWebToon\data\bt_close.bmp
C:\Program Files\FreeWebToon\data\g_off.bmp
C:\Program Files\FreeWebToon\data\g_on.bmp
C:\Program Files\FreeWebToon\data\sidebar.dat
C:\Program Files\FreeWebToon\FreeWebToonCtrl.dll :: BHO 등록 파일
C:\Program Files\FreeWebToon\FWTAlert.exe :: 시작 프로그램(fwtalert) 등록 파일 / 메모리 상주 프로세스
C:\Program Files\FreeWebToon\FWTChkSvc.exe :: 서비스(무료만화(FreeWebToon)) 등록 파일
C:\Program Files\FreeWebToon\fwthostsvc.exe
C:\Program Files\FreeWebToon\FWTHostSvc.tlb
C:\Program Files\FreeWebToon\FWTUninst.exe :: 프로그램 삭제 파일
C:\Program Files\FreeWebToon\FWTUpdate.exe :: 시작 프로그램(FreeWebToon) 등록 파일
C:\Program Files\FreeWebToon\ominfo.dat

 

[생성 파일 진단 정보]

 

C:\Program Files\FreeWebToon\FWTAlert.exe
 - MD5 : e433b0646756db3ae4078000021bb3c9
 - nProtect : Adware/W32.KrAdword.331728 (VirusTotal : 5/46)

 

C:\Program Files\FreeWebToon\FWTChkSvc.exe
 - MD5 : f80750d0d88cfca01b048cdd94db25ef
 - nProtect : Adware/W32.KrAdword.77264 (VirusTotal : 2/46)

"Micro WebViewer Application ActX" 프로그램은 "C:\Program Files\FreeWebToon" 폴더에 파일을 생성하며, "FreeWebToon(무료만화(FreeWebToon))" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\FreeWebToon\FWTChkSvc.exe" 파일을 자동 실행하도록 구성되어 있습니다.

 

또한 Windows 시작시 FWTAlert.exe, FWTUpdate.exe 2개의 파일을 시작 프로그램으로 등록하여 자동 실행하도록 구성되어 있으며, 해당 파일들은 다음과 같은 외부 연결을 시도합니다.

FWTUpdate.exe 파일은 특정 서버에서 바콘(Barcon) 정보를 체크하며 등록된 정보가 존재할 경우 바로가기 아이콘 생성 등이 가능할 것으로 추정됩니다.(※ 해당 파일은 실행 후 3분 30초가 경과하면 자동 종료합니다.)

 

FWTAlert.exe 파일은 특정 서버에서 업데이트 정보를 체크하며 추가된 프로그램이 존재할 경우 업데이트 창 생성 등의 동작을 통해 설치를 유도할 가능성이 존재합니다.

실행된 FWTAlert.exe 파일은 5분이 경과할 시점에서 추가적인 정보 체크가 이루어지고 있으며 지속적으로 메모리에 상주하여 광고 동작을 수행합니다.

프로그램이 설치된 환경에서 최초 웹 브라우저를 실행할 경우 사용자가 지정한 홈 페이지(시작 페이지) 이외에 추가적인 창을 생성하여 특정 웹 사이트 접속이 이루어지는 동작을 확인할 수 있습니다.

실질적인 광고 기능으로는 사용자가 11번가, 롯데몰, 옥션 등 특정 인터넷 쇼핑몰에 접속할 경우, fwthostsvc.exe 파일을 통해 특정 서버에서 ominfo.dat 파일 정보를 불러와 동일한 인터넷 쇼핑몰 웹 사이트를 백그라운드 방식으로 로딩합니다.

 

사용자가 직접 접속한 인터넷 쇼핑몰을 종료하는 시점에서 후팝업 방식으로 광고 코드(click.interich.com)가 추가된 동일한 인터넷 쇼핑몰 웹 사이트를 오픈하게 됩니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : FreeWebToonObj Class

게시자 : Qzoneinteractive

유형 : 브라우저 도우미 개체

CLSID : {9A5C9671-76C0-4B33-8321-0DD56C0F5CFA}

파일 : C:\Program Files\FreeWebToon\FreeWebToonCtrl.dll

 

해당 광고 동작은 Internet Explorer 웹 브라우저 실행시 FreeWebToonCtrl.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 이루어지므로, 웹 브라우저의 추가 기능 관리에 등록된 "FreeWebToonObj Class" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.

또한 Windows 작업 관리자를 실행하여 메모리에 상주하는 FWTAlert.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "Micro WebViewer Application ActX" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 "C:\Documents and Settings\(사용자 계정)\FreeWebToon" 폴더를 찾아 삭제하시기 바랍니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\FreeWebToon
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{2B05F28E-28CA-4F00-8A5C-9A63BDB49FF0}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\FreeWebToonCtrl.DLL
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{19C82B93-C844-4542-831B-B2C979C273FD}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9A5C9671-76C0-4B33-8321-0DD56C0F5CFA}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FreeWebToonCtrl.FreeWebToonObj
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FreeWebToonCtrl.FreeWebToonObj.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FWTHostSvc.FWTHostSvcObj
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\FWTHostSvc.FWTHostSvcObj.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{87AD13E7-F65E-4CCC-AB91-BBD3F7063020}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{B258711D-92E4-4F78-B2A3-E9D81AA6C1D6}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{57D1CA59-3722-40C1-A6CA-27725762E8CD}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{C371E5C4-29DB-413C-8BF8-2227D909EC7E}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{36CF0809-020E-439c-888C-56D5AE1D9E9C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{B26A252E-7324-4687-BF1F-17AE68B14D73}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{9A5C9671-76C0-4B33-8321-0DD56C0F5CFA}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - FreeWebToon = C:\Program Files\FreeWebToon\FWTUpdate.exe
 - fwtalert = C:\Program Files\FreeWebToon\FWTAlert.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
FreeWebToon
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_FREEWEBTOON
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\FreeWebToon

 

해당 프로그램은 만화 뷰어 기능은 제공하지 않으며, 생성 폴더명(FreeWebToon)과 제어판에 등록된 프로그램 이름(Micro WebViewer Application ActX)을 완전히 다르게 등록하여 사용자로 하여금 프로그램을 찾기 어렵게 제작되어 있습니다.

 

또한 인터넷 이용 과정에서 백그라운드 방식으로 웹 사이트 로딩 동작이 이루어지는 문제로 인터넷 속도 저하 등이 예상되므로 주의하시기 바랍니다.