울지않는벌새 : Security, Movie & Society

검색 도우미 : Addendum-nm - addendum_sb (sbnew)

벌새::Analysis

웹 브라우저 좌측 영역에 "Addendum-nm" 사이드바 광고를 생성하며, 삭제를 지원하지 않는 "옥션 바로가기" 아이콘을 명령 모음에 등록하는 검색 도우미 "Addendum-nm" 프로그램에 대해 살펴보도록 하겠습니다.

해당 프로그램은 2013년 5월 30일경 유포가 확인되고 있으며, 설치 파일(MD5 : 72edee627b19241829fab1eff84ca6c6)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.Enumerate (VT : 20/46) 진단명으로 진단되고 있습니다.

 

  검색 도우미 : Addendum-nm - addendum_sb (2012.10.30)

 

  검색 도우미 : Addendum-nm - addendum_sb (nmnew) (2013.4.3)

 

  검색 도우미 : Addendum-nm - addendum_sb (barsi) (2013.7.15)

 

  검색 도우미 : Addendum-nm - addendum_sb (wennm) (2013.8.19)

 

또한 동일한 프로그램 이름(Addendum-nm)을 통해 다양한 파일명으로 구성된 변종 프로그램이 다수 발견되고 있으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewib.dll
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewim.dll :: BHO 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewmgr.exe :: 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewup.exe :: 시작 프로그램 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\uninst.exe :: 프로그램 삭제 파일
C:\Windows\auction.ico

 

[생성 파일 진단 장보]

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewib.dll
 - MD5 : 2f18bcd6e39fd1db57d991a10f7ad4e7
 - nProtect : Adware/W32.KrAdword.36864.C (VT : 17/46)

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewim.dll
 - MD5 : c48882c22b4580f75bf74e6e2957dbd5
 - AhnLab V3 : PUP/Win32.Addendum (VT : 28/46)

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewmgr.exe
 - MD5 : f6d9d1ac02ef90d8c9184c5d2bb7dd88
 - nProtect : Trojan-Clicker/W32.Kazy.303104.E (VT : 32/46)

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewup.exe
 - MD5 : 80741a7fc2f3e9110962d17be8cd3b9f
 - nProtect : Trojan-Clicker/W32.Graftor.28672.N (VT : 37/46)

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\uninst.exe
 - MD5 : 460eac436c43eaa50e8145b26e3a4422
 - AhnLab V3 : PUP/Win32.Enumerate (VT : 3/46)

해당 프로그램은 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb" 폴더에 파일을 생성하며, Windows 시작시 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewup.exe" 파일을 시작 프로그램으로 등록하여 자동 실행하도록 구성되어 있습니다.

 

자동 실행된 시작 프로그램 파일(sbnewup.exe)은 프로그램 업데이트 체크를 수행한 후, "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewmgr.exe" 파일을 로딩하여 특정 서버에서 정보를 체크한 후 메모리에 상주합니다.

프로그램이 설치된 환경에서 인터넷 검색을 통해 웹 사이트에 접속할 경우, 웹 브라우저의 좌측 영역에 검색 키워드 값을 참조한 "Addendum-nm" 사이드바 광고를 생성합니다.

 

해당 광고를 클릭할 경우 특정 광고 서버를 경유하여 Daum 클릭스(ma.biz.daum.net) 제휴 코드가 추가된 형태로 연결이 이루어지는 것을 확인할 수 있습니다.

또한 웹 브라우저의 명령 모음에 "옥션 바로가기" 아이콘을 등록하여 특정 제휴 코드가 추가된 형태로 옥션(Auction) 인터넷 쇼핑몰로 연결이 이루어지고 있습니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : IESMon.Mon7

게시자 : NemoNamuMedia

유형 : 브라우저 도우미 개체

CLSID : {80783E2F-7044-406B-8D1D-6F30639EBC2F}

파일 : C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewim.dll

 

이름 : Addendum-nm

게시자 : NemoNamuMedia

유형 : 탐색창

CLSID : {CDCC1746-0DFD-4166-92C0-8CF02B3465B5}

파일 : C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewib.dll

 

이름 : 옥션 바로가기

유형 : 브라우저 확장

CLSID : {FF5CBC30-F3C4-4F82-B398-F01FC9A4830C}

 

해당 광고 동작은 웹 브라우저 실행시 sbnewib.dll, sbnewim.dll 2개의 파일을 브라우저 도우미 개체(BHO) 및 탐색창으로 등록하여 사이드바 광고를 생성하며, 웹 브라우저의 명령 모음에 "옥션 바로가기" 아이콘을 등록하도록 구성되어 있습니다.

 

그러므로 광고 동작 중지 및 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "IESMon.Mon7", "Addendum-nm", "옥션 바로가기" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.

또한 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 메모리에 상주하는 sbnewmgr.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판에 등록된 "Addendum-nm" 삭제 항목을 이용하여 삭제할 수 있습니다.

하지만 프로그램 삭제 이후에도 웹 브라우저의 명령 모음에 등록된 "옥션 바로가기" 아이콘이 삭제되지 않고 정상적으로 동작하여 지속적인 수익 활동을 하므로 다음과 같은 파일과 레지스트리 값을 찾아 삭제하시기 바랍니다.(※ 프로그램 삭제시 웹 브라우저의 추가 기능 관리에 등록된 "옥션 바로가기" 항목을 "사용 안 함"으로 변경한 경우 아이콘은 표시되지 않지만 삭제된 것은 아니므로 추가적으로 삭제하시기 바랍니다.)

  • C:\Windows\auction.ico
  • 레지스트리 편집기(regedit) 실행 : HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FF5CBC30-F3C4-4f82-B398-F01FC9A4830C}
[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\AppDataLow\Software\sbnew
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{80783E2F-7044-406B-8D1D-6F30639EBC2F}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CDCC1746-0DFD-4166-92C0-8CF02B3465B5}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IESB.Band7
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IESMon.Mon7
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{0A9B81D5-EB19-47AA-803A-F17C2FCE2C69}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{2F2745D7-EFF3-473B-A9F2-B7E1A00E63C1}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{68417F39-9173-4E0F-AE48-A3C4EF70F1E6}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{92CA383E-6200-4294-863C-DBEE4A125268}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FF5CBC30-F3C4-4f82-B398-F01FC9A4830C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{80783E2F-7044-406B-8D1D-6F30639EBC2F}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - sbnew = C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\sbnewup.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
sbnew

 

"Addendum-nm" 검색 도우미 프로그램은 유사한 기능을 수행할 목적으로 다양한 파일명으로 변종 프로그램을 주기적으로 배포하고 있으므로 주의하시기 바랍니다.