특정 검색 키워드 값을 이용한 인터넷 검색시 자동으로 광고창을 생성하는 검색 도우미 IEsearchhelp 프로그램<SHA-1 : cf990554d8f424455bdcef57bf4fbd7bd968440e - avast! : Win32:Adware-AZE [Adw] (VT : 4/51)>에 대해 살펴보도록 하겠습니다.
해당 프로그램은 기존부터 유사한 기능을 가진 다양한 변종 프로그램이 발견되고 있으므로 참고하시기 바랍니다.
C:\Users\(사용자 계정)\AppData\Local\Temp\adarea.config
C:\Users\(사용자 계정)\AppData\Local\Temp\nsite.db
C:\Users\(사용자 계정)\AppData\Local\Temp\searchnqurl.dat
C:\Users\(사용자 계정)\AppData\Local\Temp\site.db
C:\Users\(사용자 계정)\AppData\Local\Temp\version.ini
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\hadarea.dll
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\HNa.dll
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\IEsearchhelp.exe :: 시작 프로그램 등록 파일, 메모리 상주 프로세스
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\SetupUtil.dll
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\unins000.dat
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\unins000.exe :: 프로그램 삭제 파일
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\hadarea.dll
- SHA-1 : d3968fc2f5b2a0e164bb00032ca76eb776fa08e5
- avast! : Win32:Adware-AZE [Adw] (VT : 3/52)
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\HNa.dll
- SHA-1 : 7828c12f29540972cc1ed2b663132b6bc67ab5cc
- avast! : Win32:Adware-AZE [Adw] (VT : 3/51)
C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\IEsearchhelp.exe
- SHA-1 : c8adceab1827ec9e100c3e37a6e22dc8277740c9
- avast! : Win32:Adware-AZE [Adw] (VT : 2/51)
"OPEN.co., ltd" 디지털 서명이 포함된 IEsearchhelp 프로그램은 "C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp" 폴더에 파일을 생성하며, Windows 시작시 ["C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\IEsearchhelp.exe" update] 파일을 시작 프로그램으로 등록하여 자동 실행을 통해 메모리에 상주하도록 구성되어 있습니다.
자동 실행된 파일(IEsearchhelp.exe)은 특정 서버에 사용자 PC의 Internet Explorer 웹 브라우저 홈 페이지 값과 프로그램 버전 정보를 전송하여 업데이트 정보를 받아옵니다.
- h**p://filter.***app.kr/appdownload/iesearchhelp/update/IEsearchhelp.exe
- h**p://filter.***app.kr/appdownload/iesearchhelp/update/hadarea.dll
- h**p://filter.***app.kr/appdownload/iesearchhelp/update/HNa.dll
- h**p://filter.***app.kr/appdownload/iesearchhelp/update/wup.dll :: 0 바이트
이를 통해 IEsearchhelp 프로그램을 통해 생성된 파일의 최신 버전 파일을 다운로드하여 패치가 이루어질 수 있습니다.
또한 특정 서버에서 패치 정보를 확인하고 있으며, 현재 플러스업(Web OPU(plusup)) 검색 도우미 프로그램 설치 파일이 등록되어 있지만 추가적인 다운로드를 통한 설치는 이루어지지 않고 있습니다.
프로그램이 설치된 환경에서 사용자가 인터넷 검색을 시도할 경우 검색 키워드 값을 특정 광고 서버로 전송하여 추가적인 광고창을 자동으로 생성할 수 있습니다.
해당 광고 동작은 메모리에 상주하는 IEsearchhelp.exe 프로세스를 통해 이루어지므로, 광고 동작 중지 및 프로그램 삭제시에는 Windows 작업 관리자를 실행하여 IEsearchhelp.exe 프로세스를 찾아 종료하시기 바랍니다.
프로그램 삭제는 제어판에 등록된 "IEsearchhelp" 삭제 항목을 이용하여 삭제할 수 있습니다.
HKEY_CURRENT_USER\Software
- adarea = 0
- IEsearchhelp = T
HKEY_CURRENT_USER\Software\IEsearchhelp
HKEY_CURRENT_USER\Software\Microsoft
- adarea = 0
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- IEsearchhelp = "C:\Users\(사용자 계정)\AppData\Roaming\IEsearchhelp\IEsearchhelp.exe" update
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
{53403CB4-E619-4A64-B28D-A6159FE8F354}_is1
해당 프로그램은 인터넷 검색시 원치않는 광고창을 생성하여 인터넷 속도 저하 등을 문제를 유발하고 있으므로 설치되지 않도록 주의하시기 바랍니다.