울지않는벌새 : Security, Movie & Society

검색 도우미 : Addendum-nm - addendum_sb (bsbnm)

벌새::Analysis

Internet Explorer 웹 브라우저 좌측 영역에 "Addendum-nm" 사이드바 광고를 생성하며, 웹 브라우저의 명령 모음에 "옥션 바로가기" 아이콘을 등록하는 검색 도우미 "Addendum-nm" 프로그램에 대해 살펴보도록 하겠습니다.

 

해당 프로그램의 설치 파일(MD5 : fa5215808bcebc3cb66d3eadb2e77864)에 대하여 Kaspersky 보안 제품에서는 Trojan.Win32.Badur.qxv (VT : 14/46) 진단명으로 진단되고 있습니다.

 

  검색 도우미 : Addendum-nm - addendum_sb (2012.10.30)

 

  검색 도우미 : Addendum-nm - addendum_sb (nmnew) (2013.4.3)

 

  검색 도우미 : Addendum-nm - addendum_sb (barsi) (2013.7.15)

 

  검색 도우미 : Addendum-nm - addendum_sb (wennm) (2013.8.19)

 

  검색 도우미 : Addendum-nm - addendum_sb (sbnew) (2013.8.21)

 

  검색 도우미 : Addendum-nm - addendum_sb (asbnm) (2013.8.28)

 

"Addendum-nm" 검색 도우미 프로그램은 addendum_sb 폴더명 내에 다양한 파일명으로 변종 프로그램을 제작하여 배포하고 있으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmib.dll
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmim.dll :: BHO 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmmgr.exe :: 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmup.exe :: 시작 프로그램 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\uninst.exe :: 프로그램 삭제 파일
C:\Windows\auction.ico

 

[생성 파일 진단 정보]

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmib.dll
 - MD5 : 9fbfcdf8f2856b6c79dca09a266aea29
 - AhnLab V3 : PUP/Win32.Addendum (VT : 5/45)

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmim.dll
 - MD5 : cb142b9ecf9142a50ba3fdd72f9677c9
 - AhnLab V3 : PUP/Win32.Addendum (VT : 20/46)

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmmgr.exe
 - MD5 : faccc103001640346339f92a689acc09
 - Kaspersky : not-a-virus:AdWare.Win32.Addendum.fg (VT : 20/46)

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmup.exe
 - MD5 : a7033d94e55a5a858554c55108460bb1
 - MSE : Adware:Win32/Addendum (VT : 26/45)

 

C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\uninst.exe
 - MD5 : e7dd2a646aa7a85d6daa5b0c79189fc5
 - AhnLab V3 : PUP/Win32.Enumerate (VT : 1/46)

해당 프로그램은 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb" 폴더에 파일을 생성하며, Windows 시작시 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmup.exe" 파일을 시작 프로그램으로 등록하여 업데이트 체크 후 "C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmmgr.exe" 파일을 로딩하여 메모리에 상주하도록 구성되어 있습니다.

프로그램이 설치된 환경에서 인터넷 검색을 통해 웹 사이트에 접속하는 과정에서 검색 키워드 값을 참조하여 웹 브라우저 좌측 영역에 "Addendum-nm" 사이드바 광고를 생성하는 동작을 확인할 수 있습니다.

 

해당 사이드바 광고에 표시된 콘텐츠는 특정 광고 서버를 경유하여 Daum 클릭스(ma.biz.daum.net) 제휴 코드가 추가되도록 되어 있습니다.

또한 웹 브라우저의 명령 모음에 "옥션 바로가기" 아이콘을 등록하여 옥션(Auction) 인터넷 쇼핑몰에 접속하는 과정에서 제휴 코드가 추가됩니다.

[추가 기능 관리 : 도구 모음 및 확장 프로그램]

 

이름 : IESMon.Mon15

게시자 : NemoNamuMedia

유형 : 브라우저 도우미 개체

CLSID : {ED2C80A2-2953-46B8-966E-02AC928E8C58}

파일 : C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmim.dll

 

이름 : Addendum-nm

게시자 : NemoNamuMedia

유형 : 탐색창

CLSID : {405B5978-67F1-483F-8E34-6CA77474D461}

파일 : C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmib.dll

 

이름 : 옥션 바로가기

유형 : 브라우저 확장

CLSID : {FF5CBC30-F3C4-4F82-B398-F01FC9A4830C}

 

해당 광고는 Internet Explorer 웹 브라우저 실행시 bsbnmib.dll, bsbnmim.dll 2개의 파일을 탐색창 및 브라우저 도우미 개체(BHO)로 등록하여 검색 키워드 값을 참조하여 사이드바 광고를 생성하며, 웹 브라우저 확장 기능을 통해 명령 모음에 "옥션 바로가기" 아이콘을 등록하도록 구성되어 있습니다.

 

그러므로 광고 동작 중지 및 프로그램 삭제시에는 웹 브라우저의 추가 기능 관리에 등록된 "IESMon.Mon15", "Addendum-nm", "옥션 바로가기" 항목을 선택하여 "사용 안 함"으로 변경하시기 바랍니다.

또한 Windows 작업 관리자를 실행하여 메모리에 상주하는 bsbnmmgr.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.

프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판에 등록된 "Addendum-nm" 삭제 항목을 이용하여 삭제할 수 있습니다.

하지만 프로그램 삭제 이후에도 웹 브라우저의 명령 모음에 등록된 "옥션 바로가기" 아이콘은 삭제되지 않고 지속적인 수익 활동을 하므로, 다음의 파일과 레지스트리 값을 찾아 수동으로 삭제하시기 바랍니다.

  • C:\Windows\auction.ico
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FF5CBC30-F3C4-4f82-B398-F01FC9A4830C} :: 레지스트리 편집기(regedit) 실행
[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\AppDataLow\Software\bsbnm
HKEY_CURRENT_USER\Software\AppDataLow\Software\chknm
HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Approved Extensions
 - {405B5978-67F1-483F-8E34-6CA77474D461}
 - {ED2C80A2-2953-46B8-966E-02AC928E8C58}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{405B5978-67F1-483F-8E34-6CA77474D461}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ED2C80A2-2953-46B8-966E-02AC928E8C58}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IESB.Band15
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\IESMon.Mon15
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{65158E36-45A2-45F9-B3DD-0E210A7B0658}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{A8ABFD40-68C8-4B7A-AA8B-A155F5FEE14E}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{C596BAC5-25F3-425A-B92D-7E747BD9E117}
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\TypeLib\{D21C4441-6EAF-4247-92B0-7FAF0C87686B}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{FF5CBC30-F3C4-4f82-B398-F01FC9A4830C}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{ED2C80A2-2953-46B8-966E-02AC928E8C58}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - bsbnm = C:\Users\(사용자 계정)\AppData\Roaming\addendum_sb\bsbnmup.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
bsbnm 

 

"Addendum-nm" 검색 도우미 프로그램은 주기적으로 변종 프로그램을 배포하여 프로그램 이름과 폴더명은 동일하지만 파일명을 변경하며, 프로그램 삭제 이후에도 바로가기 아이콘을 삭제하지 않고 수익 활동을 유지하므로 주의하시기 바랍니다.