시스템 시작시 광고 팝업창 및 업데이트 창 생성을 통해 추가적인 수익성 프로그램을 설치할 수 있으며, 즐겨찾기에 인터넷 쇼핑몰 바로가기 아이콘을 생성하는 "Windows cnbarodcon" 프로그램에 대해 살펴보도록 하겠습니다.
해당 프로그램은 2013년 2월 하순경에 최초 배포가 이루어진 것으로 보이며, 설치 파일(MD5 : a34de97a792d7f4a58f22daf38082496)에 대하여 Kaspersky 보안 제품에서는 not-a-virus:AdWare.Win32.Kraddare.ac (VT : 24/47) 진단명으로 진단되고 있습니다.
▶ <2012년 관련 정보> 국내 악성코드 : ezpopup code wepbob x86 (2012.12.21) 외 다수
▶ <2013년 1/4분기 관련 정보> 제휴(스폰서) 프로그램 : Windows jafeavcon (2013.3.20) 외 8종
▷ 제휴(스폰서) 프로그램 : Windows allpblue (2013.6.12)
▷ 제휴(스폰서) 프로그램 : Windows pdswater (2013.6.12)
기존에 유사한 기능을 가진 다양한 변종 프로그램들이 발견되고 있으므로 참고하시기 바랍니다.
C:\Program Files\cnbarod
C:\Program Files\cnbarod\cnbarod.exe :: 업데이트 창 생성 파일
C:\Program Files\cnbarod\cnbasvc.exe :: 서비스(cnbarod) 등록 파일
C:\Program Files\cnbarod\uninst.exe :: 프로그램 삭제 파일
C:\Users\(사용자 계정)\Favorites\Links\11번가.url
C:\Users\(사용자 계정)\Favorites\Links\옥션.url
C:\Users\(사용자 계정)\Favorites\Links\지마켓.url
C:\Windows\121.ico
C:\Windows\221.ico
C:\Windows\321.ico
C:\Program Files\cnbarod\cnbarod.exe
- MD5 : 1e3cfdcc2ee04f225f6c360813160d08
- AhnLab V3 : Adware/Win32.Kraddare (VT : 25/47)
C:\Program Files\cnbarod\cnbasvc.exe
- MD5 : 7984bd6556f270426b1847e2ae257483
- AhnLab V3 : Win-PUP/Helper.Cnbarod.94299 (VT : 13/47)
해당 프로그램은 "C:\Program Files\cnbarod" 폴더에 파일을 생성하며, 시스템 시작시 다음과 같은 동작을 수행합니다.
"cnbarod(cnbarod svc)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\cnbarod\cnbasvc.exe" 파일을 자동 실행하며, 실행된 파일은 "C:\Program Files\cnbarod\cnbarod.exe" 파일을 로딩하도록 구성되어 있습니다.
이를 통해 특정 서버에서 업데이트 창 및 광고 팝업창 생성 여부를 체크하여 등록된 프로그램이 존재할 경우 다음과 같은 형태의 업데이트 창을 생성할 수 있습니다.
생성된 업데이트 창은 좁은 영역에 등록된 다수의 권장 업데이트 프로그램의 설치를 유도합니다.
특히 사용자가 업데이트 창을 종료할 때 실수를 유발할 수 있는 문구와 버튼 배치를 통해 불필요한 프로그램(PUP)이 설치될 수 있으므로 주의하시기 바랍니다.
"Windows cnbarodcon" 프로그램이 설치된 환경에서는 즐겨찾기 모음 영역에 11번가, 옥션, 지마켓 인터넷 쇼핑몰 바로가기 아이콘을 등록하여 접속시 특정 광고 서버를 경유하여 제휴 코드(cl.ilikeclick.com)가 추가된 형태로 접속되도록 되어 있습니다.
프로그램 삭제는 제어판에 등록된 "Windows cnbarodcon" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Windows cnbarodcon
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\cnbarod
과거부터 다양한 배포 경로를 통해 프로그램 이름을 "Windows ○○○" 패턴으로 등록하여 특정 배포 시점에서 업데이트 창을 생성하여 원치 않는 프로그램들의 설치를 유도하는 경우가 매우 많으므로 이런 프로그램들이 설치되지 않도록 사용자의 주의가 요구됩니다.