웹 브라우저의 상단에 사용자 검색 키워드 값을 기반으로 한 광고바를 생성하는 검색 도우미 "Revealing Top Search" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 5c40ea23421dcf3197fbdd6e4dee6665)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.Enumerate (VirusTotal : 16/45) 진단명으로 진단되고 있습니다.
▷ 검색 도우미 : revealing (ts) (2010.7.21)
▷ 검색 도우미 : revealing_ts (2010.10.7)
▷ 검색 도우미 : Enumerate Top Search - gt (2012.7.27)
▷ 검색 도우미 : Enumerate-nm (2012.10.1)
해당 프로그램은 기존의 Enumerate 검색 도우미와 유사성이 존재하므로 참고하시기 바랍니다.
C:\Program Files\revealing
C:\Program Files\revealing\revealing.dll :: BHO 등록 파일
C:\Program Files\revealing\revealingdc.exe :: 시작 프로그램(revealing_dc) 등록 파일
C:\Program Files\revealing\revealingst.exe :: 시작 프로그램(revealing_st) 등록 파일
C:\Program Files\revealing\revealingu.exe :: 시작 프로그램(revealing_u) 등록 파일
C:\Program Files\revealing\uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\revealing\revealing.dll
- MD5 : 69943c34cfd27d3069b134fa9e3f1c14
- AhnLab V3 : PUP/Win32.Helper (VirusTotal : 3/46)
C:\Program Files\revealing\revealingdc.exe
- MD5 : 008508748ec4c064aeeb741e745a7369
- AhnLab V3 : PUP/Win32.Helper (VirusTotal : 1/46)
C:\Program Files\revealing\revealingst.exe
- MD5 : 8e00f693b1468362f703c45c0961197c
- AhnLab V3 : PUP/Win32.Helper (VirusTotal : 10/45)
C:\Program Files\revealing\revealingu.exe
- MD5 : 76046ffdda49b1e6529c7ec7d324f918
- AhnLab V3 : PUP/Win32.Helper (VirusTotal : 8/45)
C:\Program Files\revealing\uninstall.exe
- MD5 : a5a056dc77f5f2d6d2c21264bf81b306
- AhnLab V3 : PUP/Win32.Enumerate (VirusTotal : 4/42)
해당 프로그램은 "C:\Program Files\revealing" 폴더에 파일을 생성하며, revealingdc.exe, revealingst.exe, revealingu.exe 3개의 파일을 시작 프로그램으로 등록하여 동작 및 업데이트 체크를 하도록 구성되어 있습니다.
프로그램이 설치된 환경에서 인터넷 검색을 통해 웹 사이트에 접속할 경우, 웹 브라우저 상단에 그림과 같은 광고바를 생성하는 동작을 확인할 수 있습니다.
참고로 해당 광고바에는 프로그램 이름을 확인할 수 있는 문구가 표시되어 있지 않는 문제로 사용자는 어떤 프로그램으로 인한 동작인지 확인하기가 매우 어렵습니다.
이름 : Revealing
유형 : 브라우저 도우미 개체
CLSID : {9EC29EA6-656A-47CC-9A0B-3E59E14CD271}
파일 : C:\Program Files\revealing\revealing.dll
"Revealing Top Search" 프로그램은 Internet Explorer 웹 브라우저 실행시 revealing.dll 파일을 브라우저 도우미 개체(BHO)로 추가하여 검색 키워드 값을 기반으로 한 광고바를 생성하도록 제작되어 있습니다.
그러므로 광고 동작의 중지 및 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "Revealing" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "Revealing Top Search" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_CURRENT_USER\Software\bsodPlugins
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- revealing_dc = C:\Program Files\revealing\revealingdc.exe
- revealing_st = "C:\Program Files\revealing\revealingst.exe" Runcmd
- revealing_u = "C:\Program Files\revealing\revealingu.exe" Runcmd
HKEY_CURRENT_USER\Software\revealing
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\{3132704F-60E0-47E8-BD0E-A3A652A3C11D}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\AppID\revealing_reveal08.DLL
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9EC29EA6-656A-47CC-9A0B-3E59E14CD271}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{DAFC5113-93B6-467E-90B3-6398F625419E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\revealing_reveal08.revealingSO
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\revealing_reveal08.revealingSO.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{B665447B-79AF-4F2F-B243-AAB841029BAF}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{E2E94D31-7B01-4576-AD07-F7874900F098}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{9EC29EA6-656A-47CC-9A0B-3E59E14CD271}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\revealing_uninstall
해당 프로그램은 인터넷 이용시 원치 않는 광고바 생성으로 불편을 유발할 수 있으므로 주의하시기 바랍니다.