인터넷 검색시 사용자가 입력한 검색 키워드 값을 참조하여 자동으로 광고창을 생성하는 검색 도우미 "Windows Explorer Plugin CertKey KB31113" 프로그램(MD5 : 591c0b4f195faf390ce51e688da559dc)에 대해 살펴보도록 하겠습니다.
프로그램 설치 과정에서는 동작에 필요한 "Microsoft Visual C++ 2010 x86 Redistributable" 프로그램이 존재하지 않을 경우, MS 서버로부터 다운로드하여 "C:\Users\(사용자 계정)\AppData\Roaming\CertKey\vcredist_x86.exe" 파일로 생성하여 설치한 후 광고 프로그램 설치가 진행됩니다.(※ 32비트 운영 체제 기준)
C:\Users\(사용자 계정)\AppData\Roaming\CertKey
C:\Users\(사용자 계정)\AppData\Roaming\CertKey\CertKey_uninst.exe :: 프로그램 삭제 파일
C:\Users\(사용자 계정)\AppData\Roaming\CertKey\CertKey.dll
C:\Users\(사용자 계정)\AppData\Roaming\CertKey\CertKey.exe :: 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Roaming\CertKey\CertKeySvc.exe :: 서비스(CertKey) 등록 파일
C:\Users\(사용자 계정)\AppData\Roaming\CertKey\CertKey_uninst.exe
- MD5 : dcf8b0bd9370e9a138e17ccd4632a749
- AhnLab V3 : PUP/Win32.Helper (VT : 1/47)
C:\Users\(사용자 계정)\AppData\Roaming\CertKey\CertKey.dll
- MD5 : e7191652342be338b9c3e4d5a9cc2bad
- AhnLab V3 : PUP/Win32.HipPop (VT : 4/47)
해당 프로그램은 "C:\Users\(사용자 계정)\AppData\Roaming\CertKey" 폴더에 파일을 생성하며 시스템 시작시 다음과 같은 동작을 수행합니다.
"CertKey" 서비스 항목을 등록하여 시스템 시작시 "C:\Users\(사용자 계정)\AppData\Roaming\CertKey\CertKeySvc.exe ROLL09" 파일을 자동으로 실행하며, 실행된 서비스 파일(CertKeySvc.exe)은 "C:\Users\(사용자 계정)\AppData\Roaming\CertKey\CertKey.exe" 파일을 로딩하여 업데이트 및 광고 구성값 정보를 체크합니다.
프로그램이 설치된 환경에서 사용자가 인터넷 검색을 위한 검색어를 입력할 경우 메모리에 상주하는 CertKey.exe 프로세스는 검색 키워드 값을 참조하여 광고 서버로부터 정보를 로딩하여 자동으로 광고창을 생성합니다.
해당 광고 동작은 메모리에 상주하는 CertKey.exe 프로세스를 통해 이루어지며, 사용자가 Windows 작업 관리자를 통해 프로세스를 종료 시도할 경우 프로세스 보호 기능을 통해 종료를 방해하는 동작을 수행합니다.
그러므로 광고 동작 중지 및 프로그램 삭제시에는 "보조 프로그램 → 명령 프롬프트" 메뉴를 "관리자 권한으로 실행"하여 생성된 명령 프롬프트 창에 [sc stop "CertKey"] 명령어를 입력 및 실행하여 CertKeySvc.exe 프로세스를 종료한 후, Windows 작업 관리자를 실행하여 CertKey.exe 프로세스를 찾아 종료하시기 바랍니다.(※ Windows 7 운영 체제 기준)
프로그램 삭제는 제어판에 등록된 "Windows Explorer Plugin CertKey KB31113" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Windows Explorer Plugin CertKey KB31113
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\CertKey
"Eltwocompany" 디지털 서명이 포함된 "Windows Explorer Plugin CertKey KB31113" 검색 도우미 프로그램의 이름은 마치 Windows 보안 패치 또는 인증서 관련 프로그램처럼 사용자의 눈을 속여 삭제를 어렵게 하고 있으므로 주의하시기 바랍니다.