울지않는벌새 : Security, Movie & Society

검색 도우미 : WS live webControl

벌새::Analysis

웹 브라우저 상단에 광고바 및 추가적인 광고창을 생성하는 검색 도우미 "WS live webControl" 프로그램에 대해 살펴보도록 하겠습니다.

 

해당 프로그램의 설치 파일(MD5 : 882a623db1cc91d56b7a4cae32335111)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.WizSearch (VT : 26/46) 진단명으로 진단되고 있습니다.

 

  검색 도우미 : 위즈서치(WizSearch) (2010.10.6)

 

  검색 도우미 : 위즈서치(WizSearch) - WizSearch Class (2011.4.6)

 

또한 기존의 위즈서치(WizSearch) 검색 도우미의 변형된 버전으로 확인되고 있으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\WizSearch
C:\Program Files\WizSearch\WizSearch.exe :: 시작 프로그램 등록 파일 / 메모리 상주 프로세스
C:\Program Files\WizSearch\WizSearch_Helper.dll :: BHO 등록 파일
C:\Program Files\WizSearch\WizSearch_Uninstall.exe :: 프로그램 삭제 파일

 

[생성 파일 진단 정보]

 

C:\Program Files\WizSearch\WizSearch.exe
 - MD5 : faf9d42a5487512f96136e6958c12d27
 - AhnLab V3 : PUP/Win32.WizSearch (VT : 30/46)

 

C:\Program Files\WizSearch\WizSearch_Helper.dll
 - MD5 : 7dff66ef5acab2e9e2c586e0bf0c116b
 - AhnLab V3 : PUP/Win32.WizSearch (VT : 13/46)

 

C:\Program Files\WizSearch\WizSearch_Uninstall.exe
 - MD5 : bede3b2f110ac63e39f6b613cffa3047
 - AhnLab V3 : PUP/Win32.WizSearch (VT : 21/46)

해당 프로그램은 "C:\Program Files\WizSearch" 폴더에 파일을 생성하며, Windows 시작시 WizSearch.exe 파일을 시작 프로그램으로 등록하여 업데이트 체크 및 메모리에 상주하도록 제작되어 있습니다.

프로그램이 설치된 환경에서 인터넷 검색시 검색 키워드 값을 기반으로 한 광고바를 웹 브라우저 상단에 생성하는 동작을 확인할 수 있습니다.

또한 추가적으로 특정 광고 코드(click.interich.com)를 이용하여 광고창을 자동으로 생성하는 동작도 확인되고 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : WizSearch Class

게시자 : corenet

유형 : 브라우저 도우미 개체

CLSID : {6323EB95-40E2-4B6E-90FC-B32D3F7A290C}

파일 : C:\Program Files\WizSearch\WizSearch_Helper.dll

 

위와 같은 광고바 및 광고창 생성, 웹 브라우저 동작시 WizSearch.exe 프로세스 실행, 광고 구성값 체크 동작을 수행하는 기능은 웹 브라우저 실행시 WizSearch_Helper.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 이루어지고 있습니다.

 

그러므로 해당 광고 동작의 중지를 위해서는 웹 브라우저의 추가 기능 관리에 등록된 "WizSearch Class" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.

특히 해당 프로그램은 사용자가 WizSearch.exe 프로세스를 강제로 종료한 상태에서 Internet Explorer 웹 브라우저 실행시 자동으로 WizSearch.exe 프로세스를 재실행하도록 제작되어 있습니다.

 

그러므로 프로그램 삭제시에는 웹 브라우저 종료 후 Windows 작업 관리자를 실행하여 WizSearch.exe, iexplore.exe 프로세스를 찾아 모두 수동으로 종료하시기 바랍니다.

프로그램 삭제는 제어판에 등록된 "WS live webControl" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 "C:\Program Files\WizSearch" 폴더를 찾아 수동으로 삭제하시기 바랍니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - WizSearch = C:\Program Files\WizSearch\WizSearch.exe
HKEY_CURRENT_USER\Software\WizSearch
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6323EB95-40E2-4b6e-90FC-B32D3F7A290C}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{764C76F1-4FD2-4F9A-80D6-71D41741E517}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{321A36A1-890D-4617-8B09-F0F29A9C1FA4}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WizSearch_Helper.WizSearch
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\WizSearch_Helper.WizSearch.1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{6323EB95-40E2-4b6e-90FC-B32D3F7A290C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
WizSearch

 

해당 프로그램은 인터넷 이용시 원치 않는 광고창 생성 및 웹 브라우저 종료 후에도 iexplore.exe 프로세스가 메모리에 상주하는 문제가 발생하고 있으므로 주의하시기 바랍니다.