본문 바로가기

벌새::Analysis

검색 도우미 : winfo2

반응형

인터넷 검색시 특정 검색 키워드 값에 따라 자동으로 추가적인 광고창이 생성되는 검색 도우미 winfo2 프로그램<MD5 : 147892a53d808119a9a14c3589362fba - ESET : a variant of Win32/AdWare.Kraddare.IG (VT : 17/48)>에 대해 살펴보도록 하겠습니다.

 

  검색 도우미 : Windows NAS (2013.3.19)

 

  검색 도우미 : Windows ISM + Windows VOA (2013.5.8)

 

해당 프로그램은 기존의 Windows VOA 검색 도우미 프로그램과 연관성이 있으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\winfo2
C:\Program Files\winfo2\Uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\winfo2\winfo2adv.exe
C:\Program Files\winfo2\winfo2mgr.exe :: 메모리 상주 프로세스
C:\Program Files\winfo2\winfo2svc.exe :: 서비스(winfo2svc) 등록 파일, 메모리 상주 프로세스

 

[생성 파일 진단 정보]

 

C:\Program Files\winfo2\winfo2adv.exe
 - MD5 : dbf8c71f4e2e803af648d6714cbe0f18
 - AhnLab V3 : PUP/Win32.Goodad (VT : 15/48)

 

C:\Program Files\winfo2\winfo2mgr.exe
 - MD5 : 2183933031206a6be32350e632bf6d16
 - AhnLab V3 : PUP/Win32.Goodad (VT : 18/48)

 

C:\Program Files\winfo2\winfo2svc.exe
 - MD5 : df212f278f6256348f1ee5a18e3cfcf0
 - BitDefender : Gen:Trojan.Heur.JP.gu1@aCCqUSaO (VT : 6/47)

해당 프로그램은 "C:\Program Files\winfo2" 폴더에 파일을 생성하며 시스템 시작시 다음과 같은 동작을 수행합니다.

"winfo2svc(winfo2)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\winfo2\winfo2svc.exe" 파일을 자동 실행하도록 구성되어 있습니다.

 

자동 실행된 서비스 파일(winfo2svc.exe)은 추가적으로 "C:\Program Files\winfo2\winfo2mgr.exe" 파일을 로딩하여 다음과 같은 정보를 체크합니다.

특정 업데이트 서버에서 winfo2 검색 도우미 프로그램을 비롯한 유사 서비스 정보를 기반으로 "C:\Program Files\winfo2\winfo2svc.exe" 파일의 업데이트 체크를 수행합니다.

 

  • 유사 서비스 정보 : blueadv(서비스명 : blueadvsvc), goodad(서비스명 : goodadsvc), bga(서비스명 : bgasvc), gad(서비스명 : gadsvc), subinfo2(서비스명 : subinfo2svc), metaad(서비스명 : metaadsvc)

또한 특정 IP 서버에서 winfo2 검색 도우미 프로그램이 설치된 환경에서 사용자가 인터넷 검색시 입력하는 검색 키워드 값과 매칭되는 광고 키워드 값을 체크합니다.

이를 통해 프로그램이 설치된 환경에서는 사용자가 특정 검색 키워드 값을 통해 인터넷 검색을 시도할 경우 자동으로 관련 광고창이 생성될 수 있습니다.

또한 부가적으로 인터넷 검색시 또는 검색을 통해 웹 사이트 접속시 다수의 광고창이 자동으로 생성될 수 있습니다.

해당 광고 동작은 메모리에 상주하는 winfo2svc.exe, winfo2mgr.exe 2개의 프로세스를 통해 이루어지므로, 광고 동작 중지 및 프로그램 삭제시에는 다음과 같은 방식으로 프로세스 종료를 시도하시기 바랍니다.

"보조 프로그램 → 명령 프롬프트" 메뉴를 마우스 우클릭을 통해 "관리자 권한으로 실행" 메뉴를 실행한 후 생성된 명령 프롬프트에 [sc stop "winfo2svc"] 명령어를 입력 및 실행하여 winfo2svc.exe 서비스 프로세스를 종료하시기 바랍니다.

 

그 후 Windows 작업 관리자를 실행하여 winfo2mgr.exe 프로세스를 찾아 수동으로 종료하시기 바랍니다.

프로세스 종료가 끝나면 제어판에 등록된 "winfo2" 삭제 항목을 찾아 프로그램을 삭제하시면 됩니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\winfo2
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\winfo2
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\winfo2svc

 

winfo2 검색 도우미 프로그램을 비롯하여 blueadv, goodad 등의 프로그램 파일은 "SAMJUNG TECHNOLOGY Co., Ltd" 디지털 서명이 포함되어 있는 것이 특징으로 보이며, 위와 같은 불필요한 프로그램(PUP)으로 인하여 인터넷 검색시 광고창 생성 등으로 불편을 겪지 않도록 주의하시기 바랍니다.

728x90
반응형