울지않는벌새 : Security, Movie & Society

검색 도우미 : WinKey

벌새::Analysis

사용자 검색 키워드 값을 참조하여 웹 브라우저 좌측에 사이드바 광고를 생성하는 검색 도우미 WinKey 프로그램에 대해 살펴보도록 하겠습니다.

WinKey 프로그램의 설치 파일(MD5 : 4f1342c4de101f5be6a148d2fa40986b)은 2012년 4월 9일경부터 확인되고 있으며, AhnLab V3 보안 제품에서는 PUP/Win32.NBiz (VirusTotal : 17/46) 진단명으로 진단되고 있습니다.

 

  검색 도우미 : 사이드온(SideOn) (2010.10.5)

 

  국내 악성코드 : JSide (2010.10.11)

 

  검색 도우미 : EasyOn (2011.8.20)

 

  검색 도우미 : WinPro (2012.3.21)

 

해당 프로그램과 연관성이 있는 다수의 검색 도우미 프로그램이 존재하였으므로 참고하시기 바랍니다.

프로그램의 설치 단계에서는 설치 파일이 특정 서버로부터 WinKey 설치 파일(MD5 : d115b8ea256f0fa5803b175398bc8f18)을 다운로드하여 진행되며, 해당 파일에 대하여 AhnLab V3 보안 제품에서는 Win-PUP/Helper.Winkey.312208 (VirusTotal : 20/46) 진단명으로 진단되고 있습니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\WinKey
C:\Program Files\WinKey\Helper.dll
C:\Program Files\WinKey\setting.dat
C:\Program Files\WinKey\Uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\WinKey\WinKey.dll :: BHO 등록 파일
C:\Program Files\WinKey\WinKey.exe :: 시작 프로그램 등록 파일 / 메모리 상주 프로세스

 

[생성 파일 진단 정보]

 

C:\Program Files\WinKey\WinKey.exe
 - MD5 : 2f155b6ee7590d7a0c19516e7953fbc2
 - AhnLab V3 : PUP/Win32.NBiz (VirusTotal : 18/46)

 

설치된 프로그램은 Windows 시작시 WinKey.exe 파일을 시작 프로그램으로 등록하여 자동 실행되며, 실행된 파일은 프로그램 버전 및 광고 구성값을 받아오도록 구성되어 있습니다.

프로그램이 설치된 환경에서 사용자가 인터넷 검색을 통해 접속한 웹 사이트 좌측 영역에 검색 키워드 값을 참조한 "WINKEY" 사이드바 광고를 생성하는 동작을 확인할 수 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : WinKey

게시자 : nbiz Ltd.

유형 : 브라우저 도우미 개체

CLSID : {4DC75196-521F-4F0C-8DAB-87185C7585E5}

파일 : C:\Program Files\WinKey\WinKey.dll

 

이름 : Winkey

게시자 : nbiz Ltd.

유형 : 탐색창

CLSID : {BD349778-2AC1-486B-B91F-00B0107E1C12}

파일 : C:\Program Files\WinKey\WinKey.dll

 

해당 광고 동작은 WinKey.dll 파일을 브라우저 도우미 개체(BHO) 및 탐색창으로 등록하여 인터넷 검색 키워드 값을 참조하여 사이드바 광고창을 생성하도록 되어 있습니다.

 

그러므로 광고 중지 및 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "WinKey" 항목(2개)을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.

또한 WinKey.exe 프로세스가 메모리에 상주하므로 Windows 작업 관리자를 실행하여 WinKey.exe 프로세스를 찾아 수동으로 종료한 후 프로그램 삭제를 진행하시기 바랍니다.

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판의 "WinKey" 삭제 항목을 이용하여 삭제할 수 있습니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\WinKey
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{4DC75196-521F-4F0C-8DAB-87185C7585E5}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BD349778-2AC1-486B-B91F-00B0107E1C12}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{B45BD910-30D6-42E0-90F6-47BF2D4CB878}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E85EA5F8-29F3-4F21-9743-AB6747DFBD0E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{B549EDE1-CF05-44EA-9365-89C53FB457F7}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WinKey.BandHelper
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WinKey.BandHelper.1
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WinKey.SideBand
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WinKey.SideBand.1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{4DC75196-521F-4F0C-8DAB-87185C7585E5}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - WinKey = C:\Program Files\WinKey\WinKey.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
WinKey

 

WinKey 프로그램은 인터넷 이용시 원치 않는 사이드바 광고를 생성하여 웹 브라우저 속도 저하 등을 유발할 수 있으므로 주의하시기 바랍니다.