최근 Apache 2.0 라이센스 기반 ImageMagick 그래픽 편집 프로그램 소스를 이용하여 국내에서 제작된 것으로 보이는 "포커스온 이미지 뷰어(FocusOn Image Viewer)" 프로그램 설치시 광고 기능을 수행하는 MediaUpdate 프로그램이 함께 설치되는 사례를 확인하였습니다.
대표적인 배포 방식은 스팸(Spam) 블로그 또는 파일 자료실을 통해 유포가 이루어지고 있는 "줌파일 다운로더" 창<SHA-1 : c2bc1533b6176548fa064ebdad0826539b9dc38b - avast! : Win32:PUP-gen [PUP] (VT : 13/50)>에 포함된 다수의 제휴 프로그램 중 "검색도우미-포커스온" 항목을 통해 설치가 이루어지고 있습니다.
설치 파일(SHA-1 : 91b47c86755338995edb0580a8626f428a892536)은 특정 구글 코드(Google Code) 서버에서 다운로드가 이루어지고 있으며, 배포 방식을 통해 프로그램 설치시에는 화면상으로는 다음과 같은 수동 설치 화면은 표시되지 않고 자동으로 설치가 이루어집니다.
수동 설치 화면에서는 포커스온 이미지 뷰어 프로그램 설치 중 추가적으로 포함된 광고 기능을 수행하는 미디어업데이트(MediaUpdate) 프로그램에 대한 동의 과정이 존재하지만, 실제 제휴 프로그램으로 배포 및 설치되는 과정에서는 해당 화면은 노출되지 않습니다.
프로그램이 설치된 환경에서는 포커스온 이미지 뷰어(FocusOn Image Viewer) 프로그램을 "C:\Program Files\Pintosoft\FocusOn Image Viewer" 폴더에 설치하며 사용자가 실행하는 경우에만 동작하는 정상적인 소프트웨어입니다.
하지만 포커스온 이미지 뷰어(FocusOn Image Viewer) 프로그램과 함께 설치된 미디어업데이트(MediaUpdate)는 출처와 광고 기능을 확인하기 매우 어려운 프로그램으로 평가할 수 있습니다.
■ 미디어업데이트(MediaUpdate) 프로그램 정보
포커스온 이미지 뷰어(FocusOn Image Viewer) 프로그램 설치 파일에 실행 압축되어 프로그램 설치 과정에서 "C:\Users\(사용자 계정)\AppData\Local\Temp\(영문+숫자).tmp\MediaUpdateSetup.AA.exe" 파일(SHA-1 : 07c181fa9aa25f2cdb408da772749b6b44958a8e)로 압축 해제되어 미디어업데이트(MediaUpdate) 프로그램을 설치한 후 자가 삭제 처리됩니다.
C:\Users\(사용자 계정)\AppData\Local\MediaUpdate
C:\Users\(사용자 계정)\AppData\Local\MediaUpdate\MediaUpdate.exe :: 시작 프로그램 등록 파일, 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Local\MediaUpdate\Uninstall.exe :: 프로그램 삭제 파일
미디어업데이트(MediaUpdate) 프로그램은 "C:\Users\(사용자 계정)\AppData\Local\MediaUpdate" 폴더에 파일을 생성하며, Windows 시작시 "C:\Users\(사용자 계정)\AppData\Local\MediaUpdate\MediaUpdate.exe" 파일을 시작 프로그램으로 등록하여 자동 실행하도록 구성되어 있습니다.
자동 실행되어 메모리에 상주하는 MediaUpdate.exe 파일은 특정 서버에서 업데이트 및 광고 구성값 정보를 받아옵니다.
프로그램이 설치된 환경에서 사용자가 한게임 및 넷마블 회원 가입 페이지, 온라인 결제, 본인 확인 웹 페이지 등에 접속시 "개인정보 유출 차단 로그인플러스" 광고창을 생성하여 결제를 유도하고 있습니다.
특히 사용자의 경우 생성된 개인정보 유출 차단 서비스가 자신이 접속한 웹 사이트에서 직접 제공해주는 서비스로 착각할 수 있다는 점에서 문제가 있다고 판단됩니다.
▷ 제휴(스폰서) 프로그램 : 패스트링크(FastLink) (2013.3.12)
참고로 해당 광고 기능은 기존의 패스트핑(FastPing) 프로그램의 제휴 프로그램으로 설치되는 패스트링크(FastLink)와 유사한 것으로 보입니다.
해당 광고 기능 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 MediaUpdate.exe 프로세스를 찾아 종료하시기 바랍니다.
프로그램 삭제는 제어판에 등록된 "MediaUpdate" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_CURRENT_USER\Software\KoreaMediaLab
HKEY_CURRENT_USER\Software\KoreaMediaLab\MediaUpdate
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- MediaUpdate = "C:\Users\(사용자 계정)\AppData\Local\MediaUpdate\MediaUpdate.exe"
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\KoreaMediaLab MediaUpdate
포커스온 이미지 뷰어(FocusOn Image Viewer) 프로그램에 포함된 미디어업데이트(MediaUpdate) 프로그램은 원래는 사용자가 설치 여부를 선택할 수 있지만, 실제 배포되는 과정에서는 필수적으로 설치되는 구조이며 이로 인해 웹 사이트 방문시 생성되는 광고창이 광고 프로그램으로 인한 동작인지 전혀 눈치챌 수 없다는 점에서 주의하시기 바랍니다.