국내에서 제작된 "Windows InternetSafer" 유해 차단 프로그램(MD5 : 86d5df2eca93b785801dfd16d386a93f)이 다양한 경로로 배포되면서 프로그램이 설치된 환경에서 인터넷 검색시 원치 않는 광고창이 다수 생성되는 광고 기능이 포함되어 있는 것을 확인하였습니다.
배포용 파일을 통해 설치가 이루어지는 과정에서 서버로부터 "Windows InternetSafer" 프로그램 설치 파일(InternetSaferSetupS.exe - MD5 : 08e26bdb0cb706c950ecdc1f2d0b8dac)을 다운로드하여 "C:\Program Files\Windows InternetSafer\InternetSaferSetupS.exe" 파일을 생성하여 설치가 진행됩니다.
C:\Program Files\Windows InternetSafer
C:\Program Files\Windows InternetSafer\a_ex.dat
C:\Program Files\Windows InternetSafer\category.dt
C:\Program Files\Windows InternetSafer\g_ex.dat
C:\Program Files\Windows InternetSafer\InternetSaferSetupS.exe
C:\Program Files\Windows InternetSafer\intsfad.exe :: 시작 프로그램 등록 파일
C:\Program Files\Windows InternetSafer\intsfc.exe
C:\Program Files\Windows InternetSafer\intsfex.exe
C:\Program Files\Windows InternetSafer\intsfloc.dat
C:\Program Files\Windows InternetSafer\intsfm.exe
C:\Program Files\Windows InternetSafer\intsfmgr.exe
C:\Program Files\Windows InternetSafer\intsfs.dll
C:\Program Files\Windows InternetSafer\intsfsrv.exe :: 서비스(InternetSafer Protector Application) 등록 파일
C:\Program Files\Windows InternetSafer\intsfuninst.exe :: 프로그램 삭제 파일
C:\Program Files\Windows InternetSafer\nhopen.dll
C:\Program Files\Windows InternetSafer\intsfad.exe
- MD5 : 5aa0bcb159a1d59c7bf73fc0a9451237
- AhnLab V3 : PUP/Win32.URLHelper (VirusTotal : 5/46)
설치된 "Windows InternetSafer" 프로그램은 "InternetSafer Protector(InternetSafer Protector Application)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\Windows InternetSafer\intsfsrv.exe" 파일을 자동으로 실행하여 intsfmgr.exe 파일 실행을 통한 프로그램 버전 체크를 하도록 구성되어 있습니다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- intsfad = C:\Program Files\Windows InternetSafer\intsfad.exe
이와 함께 "Windows InternetSafer" 프로그램은 "C:\Program Files\Windows InternetSafer\intsfad.exe" 파일을 시작 프로그램으로 등록하여 자동 실행하여, 광고 구성값 체크를 통해 메모리에 상주하도록 제작되어 있습니다.
intsfad.exe, nhopen.dll 파일의 아이콘과 파일명을 보면 다음과 같은 기존의 다양한 프로그램 내부에 추가되어 광고 기능을 수행하였던 사례가 존재합니다.
▷ 국내 악성코드 : OpenPot - Sysmax.exe (2012.1.29)
▷ <Right Security Blog> 무료 시스템 최적화 프로그램 MyPC 에 숨어 있는 OpenPot 광고 파일 (2012.3.28)
▷ 검색 도우미 : Internet gold-bar Client (2012.6.17)
▷ <Right Security Blog> 무료 개인정보 유출 진단 인포스캔(InfoScan)에 포함된 OpenPot 광고 파일 (2012.6.21)
▷ 프리리슨(FreeListen)에 포함된 FreeListenManager.exe 광고 파일 (2012.6.26)
▷ 검색 도우미 : 웹코어스(WebCores) - media help webcores (2012.11.17)
▷ 제휴(스폰서) 프로그램 : Windows NCast Provide Engine (2012.12.1)
일명 OpenPot 또는 오픈매치(OpenMatch)로 알려진 해당 광고 파일은 사용자가 "Windows InternetSafer" 유해 차단 프로그램 설치로 인해 추가된 광고 기능 수행 여부를 제대로 확인하기 어렵습니다.
실제 광고 기능을 살펴보면 사용자가 인터넷 검색을 통해 검색 결과 페이지를 클릭할 경우, 정상적인 검색 결과 사이트 이외에 2개의 광고창이 함께 설치되는 동작을 확인할 수 있습니다.
이러한 광고 동작은 특정 광고 서버로부터 제공되는 광고 사이트 노출로 인해 인터넷 속도 저하 및 원치 않는 광고창 생성으로 불편을 유발하게 됩니다.
특히 "Windows InternetSafer" 유해 차단 프로그램이 설치된 PC 환경에서 시스템 트레이 알림 아이콘 생성 등을 통해 설치 여부가 확인되지 않으며, 프로세스 정보에서 intsfsrv.exe 서비스 프로세스를 통해 설치 여부를 인지할 수 있습니다.(※ 실제 동작은 사용자가 유해 사이트로 지정된 웹 사이트 접속시 접속 차단을 하는 동작을 통해 확인이 가능할 것으로 추정됩니다.)
프로그램 삭제를 위해서는 실행창에 [sc stop "InternetSafer Protector"] 명령어를 입력하여 intsfsrv.exe 서비스 프로세스를 종료하시기 바라며, 추가적으로 Windows 작업 관리자를 실행하여 intsfad.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.
프로그램 삭제는 제어판의 "Windows InternetSafer" 삭제 항목을 이용하여 삭제할 수 있으며, 삭제 과정에서 생성된 창에서는 "Uninstall agree" 체크 박스에 체크를 한 후 "Uninstall" 삭제 버튼을 클릭하시기 바랍니다.
또한 프로그램 삭제 이후에는 추가적으로 다음의 폴더(파일)를 찾아 수동으로 삭제하시기 바랍니다.
- C:\Program Files\Windows InternetSafer
- C:\Program Files\Windows InternetSafer\intsfuninst.exe
HKEY_CURRENT_USER\Software\div002
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- intsfad = C:\Program Files\Windows InternetSafer\intsfad.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\InternetSafer_is1
HKEY_LOCAL_MACHINE\SOFTWARE\Windows InternetSafer
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_INTERNETSAFER_PROTECTOR
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\InternetSafer Protector
해당 프로그램은 다수의 수익성 프로그램들과 함께 설치되는 과정에서 사용자가 설치 여부를 제대로 인지하지 못할 가능성이 높으며, 프로그램 설치 이후에도 사용자들이 원치 않는 유해 차단 기능과 광고 기능으로 불편을 유발할 수 있으므로 주의하시기 바랍니다.