본문 바로가기

벌새::Analysis

국내 악성코드 : brainclan CP

반응형

바탕 화면, 즐겨찾기 영역에 "서치바이미" 바로가기 아이콘을 등록하며, 사용자 몰래 백그라운드 방식으로 인터넷 검색을 시도하는 "brainclan CP" 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램의 설치 파일(MD5 : fb9ec482ae3bcc0e39bc5070734ca22c)은 2013년 4월 29일경부터 배포가 확인되고 있으며, AhnLab V3 보안 제품에서는 Downloader/Win32.Genome (VT : 33/47) 진단명으로 진단되고 있습니다.

 

  국내 악성코드 : IntoTheMap Plus CP IE Helper (2012.4.18)

 

또한 기존의 "IntoTheMap Plus CP IE Helper" 악성 프로그램과 유사성이 있으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Documents and Settings\(사용자 계정)\Favorites\서치바이미 - 내가 만들어가는 검색형 블로그.url
C:\Documents and Settings\(사용자 계정)\Favorites\연결\서치바이미.url
C:\Documents and Settings\(사용자 계정)\바탕 화면\서치바이미.url
C:\Program Files\brainclan CP
C:\Program Files\brainclan CP\brainclan_CP_updater.exe :: 시작 프로그램(clover_u) 등록 파일
C:\Program Files\brainclan CP\brainclan_CP.exe :: 시작 프로그램(clover) 등록 파일 / 메모리 상주 프로세스
C:\WINDOWS\CloverPlus.cot
C:\WINDOWS\searchbyme.ico

  • h**p://m.batang****.net/files/pav/c_updater.exe <= brainclan_CP_updater.exe> (MD5 : a278f0c4fee313e9932ccd6a5337bd6a) - AhnLab V3 : PUP/Win32.CloverPlus (VT : 27/47)
  • h**p://m.batang****.net/files/pav/c_exe.exe <= brainclan_CP.exe> (MD5 : 6791d4cc36132f8aedfae8b206056910) - MSE : Adware:Win32/CloverPlus (VT : 30/47)

설치 파일을 통해 프로그램이 설치되는 과정에서 특정 서버로부터 관련 파일을 다운로드하여 설치가 이루어집니다.

이를 통해 "C:\Program Files\brainclan CP" 폴더에 주요 파일을 생성하며, Windows 시작시 2개의 시작 프로그램 항목을 등록하여 자동 실행되도록 구성되어 있습니다.

 

  • clover = C:\Program Files\brainclan CP\brainclan_CP.exe
  • clover_u = C:\Program Files\brainclan CP\brainclan_CP_updater.exe

설치된 프로그램은 기본적으로 즐겨찾기와 바탕 화면에 "서치바이미" 웹 사이트를 연결할 목적으로 바로가기 아이콘을 등록합니다.

 

1. "C:\Program Files\brainclan CP\brainclan_CP_updater.exe" 시작 프로그램

시스템 시작시 자동 실행되는 brainclan_CP_updater.exe 파일은 다음(Daum) 서버에 쿼리 전송을 통한 네트워크 연결 체크 및 프로그램 업데이트 체크를 수행한 후 자동 종료됩니다.

 

2. "C:\Program Files\brainclan CP\brainclan_CP.exe" 시작 프로그램

시스템 시작시 자동 실행된 brainclan_CP.exe 파일은 일정 시간이 경과하면 백그라운드 방식으로 서치바이미 웹 서버에서 랜덤(Random)한 인터넷 검색을 2회 수행합니다.

테스트 과정에서 수행된 인터넷 검색 키워드는 "인터넷운세"이며 이를 통해 어떤 이득을 노리는지는 알 수 없습니다.

 

3. 프로그램 삭제

 

"brainclan CP" 프로그램은 삭제 기능을 제공하지 않으므로 다음과 같은 방식으로 삭제를 진행하시기 바랍니다.

 

(1) Windows 작업 관리자를 실행하여 brainclan_CP.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.

 

(2) 다음의 폴더(파일)를 찾아 수동으로 삭제를 진행하시기 바랍니다.

 

  • C:\Documents and Settings\(사용자 계정)\Favorites\서치바이미 - 내가 만들어가는 검색형 블로그.url
  • C:\Documents and Settings\(사용자 계정)\Favorites\연결\서치바이미.url
  • C:\Documents and Settings\(사용자 계정)\바탕 화면\서치바이미.url
  • C:\Program Files\brainclan CP
  • C:\Program Files\brainclan CP\brainclan_CP_updater.exe
  • C:\Program Files\brainclan CP\brainclan_CP.exe
  • C:\WINDOWS\CloverPlus.cot
  • C:\WINDOWS\searchbyme.ico

(3) 레지스트리 편집기(regedit)를 실행하여 다음의 레지스트리 값을 찾아 삭제하시기 바랍니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\Microsoft\CloverP
HKEY_CURRENT_USER\Software\Microsoft\CloverPlus
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - clover = C:\Program Files\brainclan CP\brainclan_CP.exe
 - clover_u = C:\Program Files\brainclan CP\brainclan_CP_updater.exe

 

"brainclan CP" 프로그램은 사용자에 의한 프로그램 삭제를 방해할 목적으로 삭제 기능을 제공하지 않으며, 다양한 바로가기 아이콘 생성을 통한 수익 창출 등이 예상되므로 이런 프로그램이 설치되지 않도록 주의하시기 바랍니다.

728x90
반응형