본문 바로가기

벌새::Analysis

검색 도우미 : ADFORCE witest (Remove only)

인터넷 검색 키워드 정보 수집 및 특정 조건에서 광고 팝업창 생성이 이루어질 것으로 추정되는 검색 도우미 "ADFORCE witest (Remove only)" 프로그램(SHA-1 : 31f7f7ed5109383f5611a5b10076ac9b53fa3fcb)에 대해 살펴보도록 하겠습니다.

 

해당 프로그램은 변종에 따라 "ADFORCE dlawhdtn (Remove only)" 이름으로도 설치가 이루어지며, 프로그램 이름은 "ADFORCE [배포 ID] (Remove only)" 패턴으로 등록되는 것으로 보입니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Users\(사용자 계정)\AppData\Roaming\ADFORCE
C:\Users\(사용자 계정)\AppData\Roaming\ADFORCE\ADFORCE.exe :: 시작 프로그램 등록 파일, 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Roaming\ADFORCE\uninstall.exe :: 프로그램 삭제 파일

"제이디컴" 디지털 서명이 포함된 "ADFORCE witest (Remove only)" 프로그램은 "C:\Users\(사용자 계정)\AppData\Roaming\ADFORCE" 폴더에 파일을 생성하며, Windows 시작시 "C:\Users\(사용자 계정)\AppData\Roaming\ADFORCE\ADFORCE.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.

자동 실행된 파일(ADFORCE.exe)은 특정 서버에서 프로그램 업데이트 체크 및 광고 구성값 정보를 받아오도록 제작되어 있으며, 정보를 통해 유추할 수 있는 것은 특정 웹 사이트에서 웹 브라우저상에 그림과 같은 SNS 이미지 노출을 통해 홍보 기능이 포함되어 있는 것이 아닌가 생각됩니다.

또한 사용자가 구글(Google), 네이버(Naver), 다음(Daum), 네이트(Nate) 검색을 통해 검색 키워드 입력시 해당 정보를 특정 서버에 전송하는 것을 확인할 수 있으며, 이를 통해 매칭되는 광고 팝업창 생성을 유발할 수 있을 것으로 보입니다.

해당 광고 동작은 메모리에 상주하는 ADFORCE.exe 프로세스를 통해 이루어지므로, 광고 동작 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 ADFORCE.exe 프로세스를 찾아 종료하시기 바랍니다.

프로그램 삭제는 제어판에 등록된 "ADFORCE witest (Remove only)" 삭제 항목을 이용하여 삭제할 수 있습니다.

또한 프로그램 삭제 이후에도 시작 프로그램으로 등록된 "ADFORCE" 시작 프로그램 등록값이 삭제되지 않으므로 레지스트리 편집기(regedit)를 실행하여 다음의 레지스트리 값을 찾아 삭제하시기 바랍니다.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - ADFORCE = "C:\Users\(사용자 계정)\AppData\Roaming\ADFORCE\ADFORCE.exe"
[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\ADFORCE
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - ADFORCE = "C:\Users\(사용자 계정)\AppData\Roaming\ADFORCE\ADFORCE.exe"
HKEY_LOCAL_MACHINE\SOFTWARE\ADFORCE
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
ADFORCE

 

ADFORCE 검색 도우미 프로그램은 실제 광고 동작은 테스트 과정에서는 구현되지 않았지만, 인터넷 검색시 사용자의 검색 키워드 값이 외부로 전송된다는 점과 서비스 업체를 확인할 수 없는 신뢰할 수 없는 프로그램이므로 설치되지 않도록 주의하시기 바랍니다.

  • 안녕하세요 2014.01.16 21:43 댓글주소 수정/삭제 댓글쓰기

    덕분에 지울 수 있었습니다. 감사합니다 그런데 컴퓨터를 키자마자 ADFROCE를 설치하라는 RECOM창이 하나 새로 뜨는데 이건 어떻게 해야 안 생기나요?
    위에 나와있는 지시대로 레지스트 까지 지웠는데 뜨네요
    adforce 랑 searchlike 이 두개 설치하라면서 창이 뜨네요

    • 아마 사용자 PC에 그런 광고 프로그램을 설치 유도하는 다른 악성 프로그램이 설치되어 있는 것으로 보입니다.

      업데이트 창을 보지 않는 한 알 수 없습니다.

      http://hummingbird.tistory.com/notice/4859

      해당 링크 글을 참고해 주시기 바랍니다.

  • 안녕하세요2 2014.01.16 23:02 댓글주소 수정/삭제 댓글쓰기

    저도 위에 분과 마찬가지로 같은 현상이 나타납니다.. 어찌 지워야 할까요.ㅜ