울지않는벌새 : Security, Movie & Society

검색 도우미 : GGreenSvc2

벌새::Analysis

웹 사이트 접속 과정에서 추가적인 광고창을 생성하는 검색 도우미 GGreenSvc2 프로그램에 대해 살펴보도록 하겠습니다.

 

우선 해당 프로그램은 배포(설치) 과정을 살펴보면 광고창을 생성하는 "NCastMy ver 1.0" 검색 도우미 프로그램이 "Windows NCast Provide Engine" 프로그램으로 업데이트되는 과정에서 제공되는 수익성 프로그램 중 하나로 배포가 이루어지고 있는 것으로 확인되고 있습니다.

 

  제휴(스폰서) 프로그램 : Windows NCast Provide Engine (2012.12.1)

추가된 제휴(스폰서) 프로그램 중 "GuideGreen" 프로그램의 체크를 해제하지 않은 상태로 업데이트를 진행할 경우 설치 파일없이 GGreenSvc2 프로그램 관련 파일을 다운로드하여 설치가 진행됩니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\WINDOWS\system32\gruninstall.exe :: 프로그램 삭제 파일
C:\WINDOWS\system32\guidegreen.exe :: 시작 프로그램 등록 파일 / 메모리 상주 프로세스

 

[생성 파일 진단 정보]

 

C:\WINDOWS\system32\gruninstall.exe
 - MD5 : e2cde3865041e8d79d3f25f083c2d104
 - AhnLab V3 : Downloader/Win32.Banload (VirusTotal : 31/46)

 

C:\WINDOWS\system32\guidegreen.exe
 - MD5 : 9fc815f9e4bd273d8c5a36869fe6097c
 - Hauri ViRobot : Adware.Agent.381952 (VirusTotal : 10/46)

설치된 GGreenSvc2 프로그램은 시스템 폴더(C:\WINDOWS\system32)에 파일을 생성하여 사용자가 설치 여부를 확인하기 어렵게하고 있으며, Windows 시작시 "C:\WINDOWS\system32\guidegreen.exe" 파일을 시작 프로그램으로 등록하여 자동 실행 및 메모리에 상주하도록 제작되어 있습니다.

 

  제휴(스폰서) 프로그램 : 안전지대(Safe Terra) (2011.6.17)

 

  검색 도우미 : SafeGuide (2011.7.14)

 

  검색 도우미 : Window network SafeTerra + TSolution (2011.10.17)

 

  제휴(스폰서) 프로그램 : 그린오픈(GreenOpen) 2.0 (2012.2.27)

 

  [삭제] 광고창 생성 기능을 하는 bizsearch.exe (2012.4.8)

 

  [삭제] PCYac + KeywordYac (2012.4.18)

 

  검색 도우미 : KeywordInfo (2012.8.19)

 

GGreenSvc2 프로그램은 기존에 유사한 기능을 가진 다양한 검색 도우미 프로그램으로 배포가 이루어지고 있었으므로 참고하시기 바랍니다.

해당 프로그램은 설치 과정에서 특정 서버로부터 다수의 URL 주소값을 받아오는 동작을 확인할 수 있습니다.

이렇게 받아온 URL 구성값은 "HKEY_CURRENT_USER\Software\guidegreen\AD\block_domain_list" 레지스트리 값에 추가되어, 사용자가 등록된 웹 사이트에 접속할 경우에는 광고창이 노출되지 않도록 하고 있습니다.

프로그램이 설치된 환경에서 사용자가 인터넷 검색을 통해 또는 직접 웹 사이트에 접속할 경우 추가적인 광고창이 생성되는 방식으로 광고 동작이 이루어집니다.

해당 광고 동작은 guidegreen.exe 파일을 통해 이루어지므로, 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 해당 프로세스를 찾아 수동으로 종료하시기 바랍니다.

프로그램 삭제는 제어판의 "GGreenSvc2" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 "C:\WINDOWS\system32\gruninstall.exe" 파일을 찾아 수동으로 삭제하시기 바랍니다.(※ 이전에 배포된 변종 프로그램 중에서는 "GgreenSvc" 이름으로 제어판에 등록되어 있을 수 있습니다.)

 

참고로 현재 많은 안티 바이러스(Anti-Virus) 보안 제품에서는 GGreenSvc2 프로그램의 삭제 파일(gruninstall.exe)을 악성코드로 진단하여 제어판을 통한 삭제가 이루어지지 않는 문제가 발생할 수 있으므로, 이런 문제가 발생하는 사용자는 생성 파일 및 레지스트리 값을 참조하여 수동으로 삭제하시기 바랍니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\guidegreen
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - guidegreen = C:\WINDOWS\system32\guidegreen.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
GGreenSvc2

 

해당 프로그램은 시스템 폴더에 파일을 생성하여 설치 여부를 확인하기 매우 어렵게 구성하고 있으며, 인터넷 이용시 원치 않는 광고창을 생성하여 불편을 유발하므로 주의하시기 바랍니다.