인터넷 검색시 다양한 광고창을 생성하며 특정 인터넷 쇼핑몰에서는 추가적인 광고 프로그램의 설치를 유도하는 검색 도우미 SignKey 프로그램<SHA-1 : f99c79dc427ab75f37aa2829bee333e130d447e7 - Kaspersky : Trojan.Win32.Agent.adavr (VT : 23/51)>에 대해 살펴보도록 하겠습니다.
▷ 검색 도우미 : SignKey (2012.12.15)
▷ 검색 도우미 : SignKey - e_signkey.exe (2013.9.21)
▷ 검색 도우미 : SignKey - signkeyiey.exe (2013.11.11)
▷ 검색 도우미 : SignKey - signkeyiex.exe (2013.12.15)
SignKey 검색 도우미 프로그램은 기존부터 다양한 변종이 발견되고 있으므로 참고하시기 바랍니다.
C:\Users\(사용자 계정)\AppData\Local\signkey
C:\Users\(사용자 계정)\AppData\Local\signkey\signkey.exe :: 시작 프로그램 등록 파일
C:\Users\(사용자 계정)\AppData\Local\signkey\signkeyexa.exe :: 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Local\signkey\skun.exe :: 프로그램 삭제 파일
C:\Users\(사용자 계정)\AppData\Local\signkey\ts4.dll
C:\Users\(사용자 계정)\AppData\Local\signkey\signkey.exe
- SHA-1 : c6cc701779015d512f18b9ace9e239fe70d5cc04
- avast! : Win32:Downloader-RJH [Trj] (VT : 35/51)
C:\Users\(사용자 계정)\AppData\Local\signkey\signkeyexa.exe
- SHA-1 : 03b925fc60f4705b6eaedd5f6cc2252d2ee4efa4
- Kaspersky : Trojan.Win32.Badur.hllq (VT : 23/51)
C:\Users\(사용자 계정)\AppData\Local\signkey\skun.exe
- SHA-1 : 4be54ddc33a8e6faecc1bb86b94d1be95eccd115
- nProtect : Adware/W32.Agent.240208.B (VT : 25/51)
C:\Users\(사용자 계정)\AppData\Local\signkey\ts4.dll
- SHA-1 : 3979c6a8af30757bfee0a4ddbb5d94b8c2aa93b5
- BitDefender : Gen:Variant.Adware.Symmi.39107 (VT : 24/51)
"JAMIcommunication Co.,Ltd" 디지털 서명이 포함된 SignKey 검색 도우미 프로그램은 "C:\Users\(사용자 계정)\AppData\Local\signkey" 폴더에 파일을 생성하며, Windows 시작시 "C:\Users\(사용자 계정)\AppData\Local\signkey\signkey.exe" 파일을 시작 프로그램으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 파일(signkey.exe)은 "C:\Users\(사용자 계정)\AppData\Local\signkey\signkeyexa.exe" 파일을 로딩하여 프로그램 업데이트 체크를 한 후 메모리에 상주하도록 구성되어 있습니다.
▷ 개인 사용자 PC는 광고 프로그램의 돈줄인가? (2012.3.10)
메모리에 상주하는 signkeyexa.exe 파일은 PC방 관리 솔루션 프로세스(picatoolsMgr.exe, getotb.exe, WmCounter.exe, qaagent.exe, gchartc.exe, gamedcup.exe, PCWC.exe, PCWC_Ag.exe, gtiexp.exe, gcrawl.exe, pmclientsetup.exe, ptclient.exe, PicaClient32.exe, PicaClient64.exe, picatoolsClient1.5.exe, picatoolsClientSe7en.exe, gtlexp.exe)를 체크하여 사용자 PC에 설치되어 있는 경우 광고 동작이 이루어지지 않도록 제작되어 있습니다.
SignKey 검색 도우미 프로그램이 설치된 환경에서 사용자가 인터넷 검색, 웹 사이트 접속, 웹 브라우저 종료시 다양한 광고창을 공격적으로 생성하며, "ad.syndiapi.com" 광고 서버에서 전송한 멀티탭 방식의 광고창도 생성될 수 있습니다.
특히 생성되는 광고창 중에서 CJ오쇼핑에서 서비스하는 CJ오클락 웹 사이트가 오픈되는 과정에서 signkeyexa.exe 파일이 그림과 같이 "오클락(O'Clock) 바로가기 서비스" 창을 생성하여 추가적인 광고 프로그램의 설치를 유도하는 동작을 확인할 수 있습니다.(※ 해당 창은 웹 사이트에서 제공하는 것이 아니라 SignKey 프로그램이 구현하는 동작입니다.)
해당 동작을 자세히 살펴보면 메모리에 상주하는 signkeyexa.exe 프로세스가 CJ오클락 웹 사이트 접속을 감지한 후 "오클락(O'Clock) 바로가기 서비스" 창을 구현하도록 되어 있습니다.
이를 통해 사용자가 "설정하기" 버튼을 클릭할 경우 특정 서버에서 추가적인 파일을 다운로드하도록 구성되어 있습니다.
실제 다운로드를 실행해보면 특정 서버로부터 oclock_setup_m03.exe 파일<SHA-1 : d11a0a12cdeb3ee323a398c85e56ed264a78a302 - Avria : Adware/FunFunFun.2 (VT : 6/51)>을 다운로드하는 것을 확인할 수 있습니다.
다운로드된 파일은 실행되어 "C:\Users\(사용자 계정)\AppData\Local\Temp\oclock_setup.exe" 파일<SHA-1 : 555211a2d40ac27f379654304e47495d07c027b0 - Avira : Adware/FunFunFun.2 (VT : 2/51)>을 생성된 후 "사용자 계정 컨트롤" 창을 생성하여 프로그램 설치를 시도합니다.(※ 만약 UAC 보안 기능을 OFF한 사용자의 경우 자동 실행되어 프로그램 설치가 이루어질 것으로 판단됩니다.)
참고로 만약 프로그램이 정상적으로 설치가 진행된다면 "C:\Program Files\oclock" 폴더에 파일을 생성하며, CJ오클락 인터넷 쇼핑몰 바로가기 아이콘 등을 생성하는 "oclock" 프로그램을 설치합니다.
해당 광고 동작은 메모리에 상주하는 signkeyexa.exe 프로세스를 통해 이루어지므로, 광고 동작 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 signkeyexa.exe 프로세스를 찾아 종료하시기 바랍니다.
프로그램 삭제시에는 Internet Explorer 웹 브라우저를 종료한 상태에서 제어판에 등록된 "signkey" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- signkey = C:\Users\(사용자 계정)\AppData\Local\signkey\signkey.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\signkey
HKEY_CURRENT_USER\Software\signkey
SignKey 검색 도우미 프로그램은 예전부터 다양한 배포 경로를 통해 활발하게 설치되고 있으며, 업데이트를 통해 파일명이 변경되며 광고창 생성이 상당히 공격적으로 노출되어 인터넷 이용시 불편을 유발하므로 주의하시기 바랍니다.