인터넷 검색시 백그라운드 방식으로 "열린 주소창 검색(dns3.ktguide.com)"을 시도하는 검색 도우미 Winsearch 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 2dbe85190e38b85c030b619e74616503)에 대하여 Kaspersky 보안 제품에서는 Trojan-Downloader.Win32.Agent.xtrx (VT : 23/46) 진단명으로 진단되고 있습니다.
▶ <2011년 관련 정보> 검색 도우미 : isearchplus 1.00 (2011.12.30) 외 4종
▶ <2012년 관련 정보> 검색 도우미 : Winsearch (2012.12.27) 외 15종
▷ 검색 도우미 : Gmadsearch 1.00 (2013.3.18)
▷ 국내 악성코드 : Winsearch - Winsearchex (2013.3.21)
해당 프로그램은 유사한 기능을 가진 다양한 이름으로 배포가 이루어지고 있었으므로 참고하시기 바랍니다.
C:\Program Files\Winsearchone
C:\Program Files\Winsearchone\Uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\Winsearchone\Uninstall.ini
C:\Program Files\Winsearchone\winsearchone.dll :: BHO 등록 파일
C:\Program Files\Winsearchone\winsearchonedl.exe
C:\WINDOWS\system32\winsearchoneinst.exe
해당 프로그램은 "C:\Program Files\Winsearchone" 폴더에 파일을 생성하며, 프로그램 설치 완료 후 사용자가 Windows 탐색기 또는 Internet Explorer 웹 브라우저를 실행시 다음과 같은 추가적인 동작이 이루어집니다.
특정 IP 서버에 연결되어 광고 구성값 외에 추가적으로 등록된 파일이 존재할 경우 자동 다운로드 및 실행이 이루어질 수 있으며, 프로그램 설치 파일로 생성된 "C:\WINDOWS\system32\winsearchoneinst.exe" 파일(MD5 : f27fcae9b18b37b9ac6cfbaacd832a6f)을 자가 삭제 처리합니다.
프로그램이 설치된 환경에서 웹 브라우저의 주소 표시줄에 검색어를 입력하여 검색을 시도할 경우 "열린 주소창 검색(dns3.ktguide.com)" 결과로 연결되며, 포털 사이트에서 검색을 할 경우에는 다음과 같은 동작이 이루어집니다.
사용자가 인터넷 검색을 시도할 경우 백그라운드 방식으로 검색 키워드 값을 참조하여 "열린 주소창 검색(dns3.ktguide.com)"이 연결 및 "C:\Program Files\Winsearchone\winsearchonedl.exe" 파일을 실행하는 동작을 확인할 수 있습니다.
이름 : winsearchoneprg.winsearchone
게시자 : OCEAN INC Co.,Ltd.
유형 : 브라우저 도우미 개체
CLSID : {ECB191F3-14CF-427E-AAC4-3D04154ACD30}
파일 : C:\Program Files\Winsearchone\winsearchone.dll
해당 광고 동작은 웹 브라우저 실행시 winsearchone.dll 파일을 브라우저 도우미 개체(BHO)로 등록하여 키워드 감시를 통해 "열린 주소창 검색(dns3.ktguide.com)" 결과로 연결이 이루어지므로, 광고 동작 중지 및 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "winsearchoneprg.winsearchone" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판에 등록된 "Winsearch" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 추가적으로 다음의 폴더(파일)를 찾아 수동으로 삭제하시기 바랍니다.
- C:\Program Files\Winsearchone
- C:\Program Files\Winsearchone\winsearchone.dll
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ECB191F3-14CF-427E-AAC4-3D04154ACD30}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{DDB57A04-B756-477C-BE5A-591C11ECC9CA}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{24D3A65B-4F67-4339-AF2E-188F5022D961}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\winsearchoneprg.winsearchone
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion
- winsearchone = 1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{ECB191F3-14CF-427E-AAC4-3D04154ACD30}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Winsearch
HKEY_LOCAL_MACHINE\SOFTWARE\winsearchone
Winsearch 검색 도우미 프로그램은 제어판에 등록된 이름은 동일하지만 다양한 폴더명에 파일을 생성하며, 인터넷 검색시 백그라운드 방식으로 추가적인 연결이 이루어지는 문제로 웹 브라우저 속도 저하 등의 문제를 유발할 수 있으므로 주의하시기 바랍니다.