시스템 시작시 업데이트 창을 생성하여 사용자의 부주의한 동의를 얻어 다수의 수익성 프로그램들을 설치할 수 있는 "Windows allpblue" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램의 설치 파일(MD5 : 45896cbadc05666b91b1ba3835687a4f)에 대하여 Kaspersky 보안 제품에서는 not-a-virus:AdWare.Win32.Agent.aeff (VT : 11/47) 진단명으로 진단되고 있습니다.
▶ <2012년 관련 정보> 국내 악성코드 : ezpopup code wepbob x86 (2012.12.21) 외 다수
▶ <2013년 1/4분기 관련 정보> 제휴(스폰서) 프로그램 : Windows jafeavcon (2013.3.20) 외 8종
또한 2012년경부터 주기적으로 유사한 기능을 가진 다양한 이름의 프로그램들이 발견되고 있으므로 참고하시기 바랍니다.
C:\Program Files\allpblue
C:\Program Files\allpblue\allpblue.exe :: 시작 프로그램 등록 파일 / 업데이트 창 생성 파일
C:\Program Files\allpblue\cns.dat
C:\Program Files\allpblue\uninst.exe :: 프로그램 삭제 파일
해당 프로그램은 "C:\Program Files\allpblue" 폴더에 파일을 생성하며, Windows 시작시 "C:\Program Files\allpblue\allpblue.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 파일은 특정 로그(Log) 서버와 업데이트 서버로부터 정보를 체크하며, 추가된 수익성 프로그램이 등록되어 있는 경우 다음과 비슷한 업데이트 창이 생성될 것으로 추정됩니다.
생성된 업데이트 창에서는 다수의 수익성 프로그램이 등록되어 있으며, 사용자가 제대로 확인하지 않고 "확인" 버튼을 클릭할 경우 백그라운드 방식으로 프로그램이 설치됩니다.
프로그램 삭제는 제어판에 등록된 "Windows allpblue (remove only)" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\allpblue.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- allpblue = C:\Program Files\allpblue\allpblue.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Windows allpblue (remove only)
해당 프로그램은 평소에는 업데이트 창 생성이 없지만, 특정 시점에서 생성된 업데이트 창을 통해 사용자의 실수를 유발하여 원치 않는 수익성 프로그램들을 설치할 수 있으므로 주의하시기 바랍니다.