본문 바로가기

벌새::Analysis

검색 도우미 : Windows Now Pack Drivers

특정 영역과 배경색을 참조하여 바탕 화면 및 웹 브라우저 상에 "Powered by cloudget" 광고 배너를 생성하는 검색 도우미 "Windows Now Pack Drivers" 프로그램<MD5 : 00886426ba135dab61eaa3ddfef3d914 - AhnLab V3 : PUP/Win32.SideJet (VT : 1/46)>에 대해 살펴보도록 하겠습니다.

 

  검색 도우미 : Windows CloudGet (2013.4.13)

 

  검색 도우미 : Windows CloudGet - Windows CloudGet v1.4 (2013.11.21)

 

해당 프로그램은 기존의 "Windows CloudGet" 검색 도우미 프로그램의 변종이므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\Windows Now Pack Drivers
C:\Program Files\Windows Now Pack Drivers\nvcjet.exe :: 메모리 상주 프로세스
C:\Program Files\Windows Now Pack Drivers\nvjctrl.exe
C:\Program Files\Windows Now Pack Drivers\nvjsvc.exe :: 서비스(nvjsvc32) 등록 파일
C:\Program Files\Windows Now Pack Drivers\nvjsvp.exe
C:\Program Files\Windows Now Pack Drivers\nvtsjet.exe :: 메모리 상주 프로세스
C:\Program Files\Windows Now Pack Drivers\uninstall.exe :: 프로그램 삭제 파일
C:\ProgramData\Windows Now Pack Drivers Clg
C:\ProgramData\Windows Now Pack Drivers Clg\clgcad.db
C:\ProgramData\Windows Now Pack Drivers Clg\clgdbi.db

 

[생성 파일 진단 정보]

 

C:\Program Files\Windows Now Pack Drivers\uninstall.exe
 - MD5 : c3f66b95c0403c07fa8705341f40235a
 - AhnLab V3 : PUP/Win32.SideJet (VT : 1/47)

해당 프로그램은 "C:\Program Files\Windows Now Pack Drivers" 폴더에 파일을 생성하며, Windows 시작시 다음과 같은 동작을 수행하도록 제작되어 있습니다.

"nvjsvc32 (표시 이름 : Windows Now Pack Drivers Manager)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\Windows Now Pack Drivers\nvjsvc.exe" 파일을 자동 실행하도록 구성되어 있습니다.

 

자동 실행된 서비스 파일(nvjsvc.exe)은 1분 30초 대기를 한 후 "C:\Program Files\Windows Now Pack Drivers\nvtsjet.exe" 파일을 실행하여 특정 서버에서 광고 구성값 정보를 체크하며, 추가로 1분 30초가 경과시 다음의 2개의 프로세를 실행합니다.

  • "C:\Program Files\Windows Now Pack Drivers\nvtsjet.exe" t
  • "C:\Program Files\Windows Now Pack Drivers\nvcjet.exe" t

이를 통해 실행된 "C:\Program Files\Windows Now Pack Drivers\nvcjet.exe" 파일은 광고 동작에 필요한 "C:\ProgramData\Windows Now Pack Drivers Clg" 폴더 및 내부 파일을 생성합니다.

또한 서비스 파일(nvjsvc.exe)은 "C:\Program Files\Windows Now Pack Drivers\nvjctrl.exe" 파일을 로딩하여 프로그램 버전 및 제휴 프로그램 정보를 체크합니다.

만약 추가적인 제휴 프로그램이 등록되어 있는 경우에는 특정 부팅 시점에서 "정규 업데이트 및 추가 프로그램 설치 안내" 창을 생성하여 다양한 프로그램의 설치를 유도할 수 있으므로 주의하시기 바랍니다.

프로그램이 설치된 환경에서는 "C:\Program Files\Windows Now Pack Drivers\nvcjet.exe" 파일의 구성값(광고 배너 생성 배경색, 위치)을 참조하여 우측 화면 영역에 "Powered by cloudget" 광고 배너를 생성하며, 해당 광고 배너는 주기적으로 변화하며 다수의 사용자들은 접속한 웹 사이트에서 제공하는 광고로 오해할 수 있으리라 판단됩니다.

생성된 광고 배너를 클릭할 경우 특정 광고 서버에 배포 파일 ID, 사용자 Mac Address 값 등이 포함된 정보를 전송하여 특정 제휴 코드가 포함된 상태로 사이트가 오픈되도록 되어 있습니다.

해당 광고 동작은 메모리에 상주하는 nvcjet.exe, jvtsjet.exe 2개의 프로세스를 통해 이루어지므로, 광고 동작 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 nvcjet.exe, nvtsjet.exe 프로세스를 찾아 종료하시기 바랍니다.

프로그램 삭제는 제어판에 등록된 "Windows Now Pack Drivers" 삭제 항목을 이용하여 삭제할 수 있습니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Windows Now Pack Drivers
HKEY_LOCAL_MACHINE\SOFTWARE\Windows Now Pack Drivers
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\nvjsvc32

 

"Windows Now Pack Drivers" 프로그램 이름 자체만으로는 광고 프로그램으로 판단하기 매우 어려우며, 단순히 광고 배너만을 생성하는 것이 아니라 차후 업데이트 창 생성을 통해 또 다른 광고 프로그램을 다수 설치하도록 사용자의 실수를 유발하므로 주의하시기 바랍니다.