시스템 시작 후 "NextOnSale" 팝업창 생성 및 업데이트 창 생성을 통한 추가적인 수익성 프로그램을 설치할 수 있는 검색 도우미 "oNextPopup VN001 (KB210313)" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 1986e9124c38ed75243d9a613410c776)에 대하여 Kaspersky 보안 제품에서는 not-a-virus:AdWare.Win32.Kraddare.aa (VT : 9/46) 진단명으로 진단되고 있습니다.
▷ 국내 악성코드 : Windows todayx86 (2012.11.29)
▷ 국내 악성코드 : Windows ctpop (2013.2.19)
▷ 검색 도우미 : xAllpopup SP1 (KB210313) (2013.4.1)
또한 기존에 유사한 기능을 가진 다양한 이름의 검색 도우미 프로그램들이 있으므로 참고하시기 바랍니다.
C:\Program Files\nextray
C:\Program Files\nextray\nextray.exe :: 시작 프로그램 등록 파일
C:\Program Files\nextray\uninst.exe :: 프로그램 삭제 파일
C:\WINDOWS\nextray.ini
해당 프로그램은 "C:\Program Files\nextray" 폴더에 파일을 생성하며, Windows 시작시 "C:\Program Files\nextray\nextray.exe" 파일을 시작 프로그램으로 등록하여 자동 실행하도록 구성되어 있습니다.
자동 실행된 nextray.exe 파일은 특정 서버로부터 업데이트 및 광고 구성값을 체크하는 동작을 확인할 수 있습니다.
이를 통해 특정 시점에서 업데이트 창을 생성하여 "윈도우즈 권장 프로그램" 목록에 등록된 다수의 수익성 프로그램의 설치를 유도할 수 있습니다.
또한 자동 실행된 nextray.exe 파일은 2분이 경과하면 시스템 트레이 알림 아이콘 상단에 "NextOnSale" 팝업창을 생성하여 광고 행위를 수행합니다.
위와 같은 업데이트 창 또는 팝업창 생성시에는 Windows 작업 관리자를 실행하여 nextray.exe 프로세스를 찾아 수동으로 종료하시는 것이 가장 안전합니다.
프로그램 삭제는 제어판에 등록된 "oNextPopup VN001 (KB210313)" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\nextray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- nextray = C:\Program Files\nextray\nextray.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\oNextPopup VN001 (KB210313)
해당 프로그램은 마치 Windows 보안 패치처럼 등록되어 사용자 눈을 속이고 있으며, 배포자의 의도에 따라 시스템 시작 과정에서 업데이트 창 생성을 통해 사용자의 부주의한 동의를 얻어 다수의 수익성 프로그램을 설치할 수 있으므로 주의하시기 바랍니다.