울지않는벌새 : Security, Movie & Society

검색 도우미 : SK Abouttabs v11

벌새::Analysis

Internet Explorer 웹 브라우저를 실행시 "새 블라우저 살펴보기(h**p://www.aboutabs.co.kr/about.php)" 페이지가 함께 열리며, 차후 "Software Update" 창을 통해 추가적인 제휴 프로그램의 설치를 유도할 수 있는 "SK Abouttabs v11" 프로그램<MD5 : bbb8aa40be1447b30319bfa3fc6b0d83 - ESET : a variant of Win32/Adware.Kraddare.HX (VT : 4/46)>에 대해 살펴보도록 하겠습니다.

 

  제휴(스폰서) 프로그램 : Windows SeStPageSetup (2013.7.2)

 

해당 프로그램은 기존의 "Windows SeStPageSetup" 프로그램과 유사성이 강하므로 참고하시기 바랍니다.

또한 프로그램 이름(SK Abouttabs v11)이 우리가 잘 알고 있는 SK와는 아무런 상관이 없는 "에스케이소프트뱅크" 디지털 서명이 포함되어 있으므로 혼동하지 않도록 주의하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\skaboutabs

C:\Program Files\skaboutabs\aboutabs.exe :: 시작 프로그램 등록 파일
C:\Program Files\skaboutabs\aboutcnt.exe
C:\Program Files\skaboutabs\uninst.exe :: 프로그램 삭제 파일
C:\Windows\aboutabs.ini

 

[생성 파일 진단 정보]

 

C:\Program Files\skaboutabs\aboutabs.exe
 - MD5 : e736598c749969ffdc98b77b890402ad
 - ESET : a variant of Win32/Adware.Kraddare.HX (VT : 4/47)

 

C:\Program Files\skaboutabs\aboutcnt.exe
 - MD5 : 459704f3187e2a9d3913a50bbd21af5c
 - nProtect : Trojan/W32.Agent.16384.AZL (VT : 2/47)

해당 프로그램은 "C:\Program Files\skaboutabs" 폴더에 파일을 생성하며, Windows 시작시 "C:\Program Files\skaboutabs\aboutabs.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

 

1. "Software Update" 창을 통한 제휴 프로그램 설치 기능

자동 실행된 시작 프로그램 파일(aboutabs.exe)은 특정 서버에서 홈 페이지 및 제휴 프로그램 정보를 체크하는 동작을 수행합니다.

이를 통해 특정 시점에서는 "Software Update" 창을 생성하여 프로그램 리스트에 다수의 제휴 프로그램을 등록하여 사용자의 실수를 유발하여 광고 프로그램 등의 불필요한 프로그램(PUP)을 설치할 수 있습니다.

 

2. "두 번째 홈 페이지(h**p://www.aboutabs.co.kr/)" 등록 및 보호 기능

"SK Abouttabs v11" 프로그램이 설치된 환경에서는 Internet Explorer 웹 브라우저의 홈 페이지에 "두 번째 홈 페이지(h**p://www.aboutabs.co.kr/)" 주소를 추가합니다.

이를 통해 사용자가 Internet Explorer 웹 브라우저를 실행할 경우 사용자가 등록한 홈 페이지 이외에 두 번째 홈 페이지로 추가한 "새 브라우저 살펴보기(h**p://www.aboutabs.co.kr/about.php)" 페이지가 함께 오픈됩니다.

 

이를 통해 제휴 코드가 추가된 G마켓, 11번가, 옥션 인터넷 쇼핑몰 바로가기와 구글 애드센스(Google AdSense) 광고를 통해 수익을 창출하고 있습니다.

만약 사용자가 추가된 홈 페이지(h**p://www.aboutabs.co.kr/) 주소를 삭제한 경우에도 Windows 시작시 자동 실행되는 시작 프로그램 파일(aboutabs.exe)을 통해 자동으로 재등록하는 동작을 확인할 수 있습니다.

 

3. 프로그램 삭제 방법

프로그램 삭제를 위해서는 제어판에 등록된 "SK Abouttabs v11" 삭제 항목을 이용하여 삭제할 수 있으며, 프로그램 삭제 후에는 인터넷 옵션의 "일반 → 홈 페이지" 영역에 등록된 "h**p://www.aboutabs.co.kr/" 주소를 찾아 반드시 삭제하시기 바랍니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
 - Secondary Start Pages = http://www.aboutabs.co.kr/
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\aboutabs.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
 - aboutabs = C:\Program Files\skaboutabs\aboutabs.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\SK Abouttabs v11

 

"SK Abouttabs v11" 프로그램은 단순히 홈 페이지만을 변경하여 사용자들을 특정 웹 사이트로 연결하는 기능 이외에 차후 배포자의 의도에 따라 Windows 시작시 업데이트 창 생성을 통해 다양한 프로그램을 추가적으로 설치할 수 있으므로 주의하시기 바랍니다.