울지않는벌새 : Security, Movie & Society

국내 악성코드 : Windows BaroappconEx

벌새::Analysis

특정 프로그램을 통해 추가적으로 다운로드 및 설치가 이루어진 후 시스템 시작시 "X 업데이트" 창을 생성하여 수익성 프로그램의 설치를 유도하는 "Windows BaroappconEx" 프로그램에 대해 살펴보도록 하겠습니다.

MD5 : 5846825ac532fc9af44c32152b47bf83

해당 프로그램의 설치 파일은 2013년 3월 3일경부터 최초 유포가 확인되고 있으며, AhnLab V3 보안 제품에서는 Win-Trojan/Downloader.141943 (VirusTotal : 9/46) 진단명으로 진단되고 있습니다.

 

  <2012년 관련 정보> 국내 악성코드 : ezpopup code wepbob x86 (2012.12.21) 외 다수

 

  제휴(스폰서) 프로그램 : Windows barocon (2013.1.8)

 

  제휴(스폰서) 프로그램 : Windows updatime (2013.1.19)

 

  제휴(스폰서) 프로그램 : Windows poezall (2013.1.22)

 

  제휴(스폰서) 프로그램 : Windows newtype admatbu x86 (2013.2.18)

 

  제휴(스폰서) 프로그램 : Windows cobache x86 (2013.2.22)

 

  제휴(스폰서) 프로그램 : Windows newtype admatbb x86 (2013.2.22)

 

참고로 시스템 시작시 "X 업데이트" 창을 생성하는 다양한 이름을 가진 프로그램들이 주기적으로 배포되고 있었으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\appconex
C:\Program Files\appconex\appconex.exe :: 업데이트 창 생성 파일
C:\Program Files\appconex\appconexsvc.exe :: 서비스(appconex) 등록 파일
C:\Program Files\appconex\uninst.exe :: 프로그램 삭제 파일

해당 프로그램은 다른 프로그램을 통해 사용자 동의없이 설치가 이루어졌을 것으로 추정되며, 설치된 파일은 "C:\Program Files\appconex" 폴더에 생성됩니다.

설치된 프로그램은 "appconex(appconex svc)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\appconex\appconexsvc.exe" 파일을 자동으로 실행하도록 구성되어 있습니다.

자동 실행된 서비스 파일(appconexsvc.exe)은 appconex.exe 파일을 로딩하여 "X 업데이트" 창을 생성하며, 다수의 수익성 프로그램의 설치를 유도하도록 제작되어 있습니다.

 

특히 해당 업데이트 창을 종료하기 위해 좌측 상단의 "닫기(X)" 버튼을 클릭할 경우 "업데이트가 완료되지 않았습니다. 업데이트를 하고 종료하시겠습니까?"라는 메시지가 생성되므로 반드시 "아니오(N)"를 클릭하시기 바랍니다.

해당 업데이트 창 생성은 appconex.exe 파일을 통해 이루어지므로, Windows 작업 관리자를 실행하여 appconex.exe 프로세스를 찾아 수동으로 종료하여 수익성 프로그램들이 자동으로 설치되지 않도록 할 수 있습니다.

프로그램 삭제는 제어판에 등록된 "Windows BaroappconEx" 삭제 항목을 이용하여 삭제할 수 있습니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Windows BaroappconEx
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_APPCONEX
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\appconex

 

테스트 시점에서 Windows BaroappconEx 프로그램을 생성된 업데이트 창을 통해 설치될 수 있는 수익성 프로그램에 대한 정보는 다음과 같습니다.

(1) 검색 도우미 : Win shopping icon guide (2011.11.30)

  • h**p://221.***.14.***/images/tmp/install_Shortcut.exe (MD5 : d01a97704d498ddda25c9e0fd98fedf8) - AhnLab V3 : Win-PUP/Helper.Interactivy.148720 (VirusTotal : 10/46)

(2) 제휴(스폰서) 프로그램 : Windows RightClick Copy (2012.4.1)

  • h**p://www.right*****.co.kr/down/RaclSetup_next001.exe (MD5 : fafd5f6fa236198fa57624a3d5492642) - nProtect : Adware/W32.KrAdword.485112 (VirusTotal : 26/46)

(3) 악성코드 제거 프로그램 : 백신웹(VaccineWeb) (2013.2.11)

  • h**p://update.vaccine***.co.kr/setupa/vaccinewebsetup_plus.exe (MD5 : 2e9b5d3858a2712f180004802265313e) - Microsoft : Rogue:Win32/Onescan (VirusTotal : 34/46)

(4) 검색 도우미 : Windows Internet Explorer KoreanKeyword V.2.2.1.1 (2012.10.16)

  • h**p://app.korean***word.com/INST/B30227/WKK3_5IS.exe (MD5 : c83ba466f961f3f5f1cfaf3b98807900) - AhnLab V3 : Win-PUP/Helper.WinKeyword.262624 (VirusTotal : 15/46)

(5) 검색 도우미 : IETab (2012.3.20)

  • h**p://221.***.14.***/images/tmp/IETab__IE138.exe (MD5 : e9fb06609df0583b1d8c132193f6971c) - AhnLab V3 : PUP/Win32.IETab (VirusTotal : 17/46)

이렇게 설치된 수익성 프로그램들 중에서는 또 다시 업데이트 창 생성을 통해 다수의 수익성 프로그램의 설치를 유도하는 행위가 있을 수 있으므로 주의하시기 바랍니다.