특정 영역과 배경색을 참조하여 바탕 화면 및 웹 브라우저 상에 "Powered by cloudget" 광고 배너를 생성하는 검색 도우미 "Windows Now Pack Drivers" 프로그램<MD5 : 00886426ba135dab61eaa3ddfef3d914 - AhnLab V3 : PUP/Win32.SideJet (VT : 1/46)>에 대해 살펴보도록 하겠습니다.
▷ 검색 도우미 : Windows CloudGet (2013.4.13)
▷ 검색 도우미 : Windows CloudGet - Windows CloudGet v1.4 (2013.11.21)
해당 프로그램은 기존의 "Windows CloudGet" 검색 도우미 프로그램의 변종이므로 참고하시기 바랍니다.
C:\Program Files\Windows Now Pack Drivers
C:\Program Files\Windows Now Pack Drivers\nvcjet.exe :: 메모리 상주 프로세스
C:\Program Files\Windows Now Pack Drivers\nvjctrl.exe
C:\Program Files\Windows Now Pack Drivers\nvjsvc.exe :: 서비스(nvjsvc32) 등록 파일
C:\Program Files\Windows Now Pack Drivers\nvjsvp.exe
C:\Program Files\Windows Now Pack Drivers\nvtsjet.exe :: 메모리 상주 프로세스
C:\Program Files\Windows Now Pack Drivers\uninstall.exe :: 프로그램 삭제 파일
C:\ProgramData\Windows Now Pack Drivers Clg
C:\ProgramData\Windows Now Pack Drivers Clg\clgcad.db
C:\ProgramData\Windows Now Pack Drivers Clg\clgdbi.db
C:\Program Files\Windows Now Pack Drivers\uninstall.exe
- MD5 : c3f66b95c0403c07fa8705341f40235a
- AhnLab V3 : PUP/Win32.SideJet (VT : 1/47)
해당 프로그램은 "C:\Program Files\Windows Now Pack Drivers" 폴더에 파일을 생성하며, Windows 시작시 다음과 같은 동작을 수행하도록 제작되어 있습니다.
"nvjsvc32 (표시 이름 : Windows Now Pack Drivers Manager)" 서비스 항목을 등록하여 시스템 시작시 "C:\Program Files\Windows Now Pack Drivers\nvjsvc.exe" 파일을 자동 실행하도록 구성되어 있습니다.
자동 실행된 서비스 파일(nvjsvc.exe)은 1분 30초 대기를 한 후 "C:\Program Files\Windows Now Pack Drivers\nvtsjet.exe" 파일을 실행하여 특정 서버에서 광고 구성값 정보를 체크하며, 추가로 1분 30초가 경과시 다음의 2개의 프로세를 실행합니다.
- "C:\Program Files\Windows Now Pack Drivers\nvtsjet.exe" t
- "C:\Program Files\Windows Now Pack Drivers\nvcjet.exe" t
이를 통해 실행된 "C:\Program Files\Windows Now Pack Drivers\nvcjet.exe" 파일은 광고 동작에 필요한 "C:\ProgramData\Windows Now Pack Drivers Clg" 폴더 및 내부 파일을 생성합니다.
또한 서비스 파일(nvjsvc.exe)은 "C:\Program Files\Windows Now Pack Drivers\nvjctrl.exe" 파일을 로딩하여 프로그램 버전 및 제휴 프로그램 정보를 체크합니다.
만약 추가적인 제휴 프로그램이 등록되어 있는 경우에는 특정 부팅 시점에서 "정규 업데이트 및 추가 프로그램 설치 안내" 창을 생성하여 다양한 프로그램의 설치를 유도할 수 있으므로 주의하시기 바랍니다.
프로그램이 설치된 환경에서는 "C:\Program Files\Windows Now Pack Drivers\nvcjet.exe" 파일의 구성값(광고 배너 생성 배경색, 위치)을 참조하여 우측 화면 영역에 "Powered by cloudget" 광고 배너를 생성하며, 해당 광고 배너는 주기적으로 변화하며 다수의 사용자들은 접속한 웹 사이트에서 제공하는 광고로 오해할 수 있으리라 판단됩니다.
생성된 광고 배너를 클릭할 경우 특정 광고 서버에 배포 파일 ID, 사용자 Mac Address 값 등이 포함된 정보를 전송하여 특정 제휴 코드가 포함된 상태로 사이트가 오픈되도록 되어 있습니다.
해당 광고 동작은 메모리에 상주하는 nvcjet.exe, jvtsjet.exe 2개의 프로세스를 통해 이루어지므로, 광고 동작 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 nvcjet.exe, nvtsjet.exe 프로세스를 찾아 종료하시기 바랍니다.
프로그램 삭제는 제어판에 등록된 "Windows Now Pack Drivers" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
Windows Now Pack Drivers
HKEY_LOCAL_MACHINE\SOFTWARE\Windows Now Pack Drivers
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\nvjsvc32
"Windows Now Pack Drivers" 프로그램 이름 자체만으로는 광고 프로그램으로 판단하기 매우 어려우며, 단순히 광고 배너만을 생성하는 것이 아니라 차후 업데이트 창 생성을 통해 또 다른 광고 프로그램을 다수 설치하도록 사용자의 실수를 유발하므로 주의하시기 바랍니다.
☞ 검색 도우미 : Windows Assist Service (2012.6.18)
☞ 검색 도우미 : Windows Key Pack (2012.6.23)
☞ 검색 도우미 : Windows Key Manager (2012.8.5)
☞ 검색 도우미 : Windows Smart Pack 1.0 (2012.8.6)
☞ 검색 도우미 : Windows Search Pack (2012.8.6)
☞ 제휴(스폰서) 프로그램 : Windows NS Assist (2012.10.18)
☞ 검색 도우미 : Windows Winerspop (2012.10.21)
☞ 검색 도우미 : Windows Everlive (2012.11.27)
☞ 검색 도우미 : Windows NAS (2013.3.19)
☞ 다운로드 도우미 : INSAFE Client 1.0 (2013.4.3)
☞ 제휴(스폰서) 프로그램 : Windows Explorer Lastpopup v1.11 (2013.4.15)
☞ 제휴(스폰서) 프로그램 : MSSafeFilter 3.0 (2013.4.18)
☞ 검색 도우미 : Windows ISM + Windows VOA (2013.5.8)
☞ 검색 도우미 : Windows Sidejet (2013.9.21)