바탕 화면과 즐겨찾기에 다양한 인터넷 쇼핑몰 바로가기 아이콘을 생성하는 프로그램으로 소개되어 설치되는 국내에서 제작된 "Windows Baro Visit" 광고 프로그램에 대한 파일 정보가 수집되어 정보를 공개를 드리겠습니다.
"Windows Baro Visit" 프로그램은 특정 PC 조건에서는 설치되지 않으며, 일부 환경에서는 제어판의 삭제 항목을 통해 프로그램 삭제시 정상적으로 삭제되지 않거나 제어판에 등록되지 않는 것으로 추정됩니다.
■ "System Management" 변종 프로그램(Service Manager) 정보
"Windows Baro Visit" 프로그램이 설치된 환경에서 발견된 광고 프로그램 설치를 유도하는 업데이트 창 생성 목적으로 제작된 것으로 추정되는 프로그램 이름을 확인할 수 없는 "System Management" 변종 프로그램이 설치되어 있을 수 있습니다.
|
파일 경로 |
C:\Windows\snonsmnpdsup.exe |
|
MD5 |
43CA75495807CF1BCBB8F02C8ADCC763 |
|
진단명 |
Trojan.GenericKD.1659423 (BitDefender) |
|
디지털 서명 |
INSAFE |
|
파일 설명 |
snonsmnpdsup.exe |
|
제품 이름 |
Service Manager |
|
레지스트리 등록값 |
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\snonsmnpdsup |
|
비고 |
서비스(snonsmnpdsup, 표시 이름 : snonsmnpdsup.exe) 등록 파일 |
INSAFE 디지털 서명이 포함된 "System Management" 변종 프로그램(Service Manager)은 Windows 폴더 내에 다양한 파일명 및 서비스 이름으로 설치되며, 공통적으로 파일 속성의 제품 이름에 "Service Manager"가 포함되어 있습니다.
설치 과정을 살펴보면 특정 서버로부터 service2.zip 압축 파일을 다운로드하여 "C:\Users\(사용자 계정)\AppData\Local\Temp\service2.exe" 파일명으로 압축 해제되어 Windows 폴더 내에 다양한 파일명으로 자가 복제되어 설치되는 것으로 보입니다.
"snonsmnpdsup (표시 이름 : snonsmnpdsup.exe)" 서비스 항목을 등록하여 시스템 시작시 "C:\Windows\snonsmnpdsup.exe" 파일을 자동 실행하도록 구성되어 있으며, 이를 통해 "마우스 컨트롤 서비스"와 같은 업데이트 창 생성을 통해 "Windows Baro Visit" 프로그램과 같은 다양한 불필요한 프로그램(PUP)을 설치 유도할 수 있을 것으로 추정됩니다.
설치된 PC 환경에서는 제어판을 통한 프로그램 삭제가 불가능한 것으로 보이므로 다음과 같은 절차에 따라 프로그램 삭제를 진행하시기 바랍니다.
(a) "보조 프로그램 → 명령 프롬프트" 메뉴를 "관리자 권한으로 실행"하여 생성된 명령 프롬프트 창에 [sc delete "snonsmnpdsup"] 명령어를 입력 및 실행하여 서비스 등록값을 자동으로 삭제하시기 바랍니다.
(b) "C:\Windows\snonsmnpdsup.exe" 파일을 찾아 삭제하시기 바랍니다.
해당 프로그램은 유사한 기능을 가진 INSafe mode, "System Management" 변종 프로그램(SystemUpService), Utility Folder 등 다양한 프로그램 이름의 변종이 발견되고 있으므로 참고하시기 바랍니다.
■ "Windows Baro Visit" 변종 프로그램 정보
|
파일 경로 |
C:\Program Files\Windows BaroVisit\barovisit.exe |
|
MD5 |
9188B4B95C7B51698DFF32AB13C596A4 |
|
파일 설명 |
barovisit.exe |
|
비고 |
메모리 상주 프로세스 |
|
파일 경로 |
C:\Program Files\Windows BaroVisit\barovisits.exe |
|
MD5 |
F9950F26F218216C5C2905122F25E6D2 |
|
파일 설명 |
barovisits.exe |
|
비고 |
메모리 상주 프로세스, 예약 작업(C:\Windows\Tasks\bvsvbnmsnoni.job) 등록 파일 |
|
파일 경로 |
C:\Program Files\Windows BaroVisit\barovisitu.exe |
|
MD5 |
9C05F547C45B95CD7C63F46520D928AE |
|
파일 설명 |
barovisitu.exe |
|
레지스트리 등록값 |
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run - BAROVISIT |
|
비고 |
시작 프로그램(BAROVISIT) 등록 파일, 시작 프로그램 폴더(C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\barovisitu.lnk) 등록 파일 |
|
파일 경로 |
C:\Program Files\Windows BaroVisit\config_donkeycodec.dll |
|
MD5 |
C9819F632F3F5ADB2EF518AF92DF257F |
|
진단명 |
PUP/Win32.SubShop (AhnLab V3) |
|
디지털 서명 |
INSAFE |
|
비고 |
실행 모듈 |
|
파일 경로 |
C:\Program Files\Windows BaroVisit\config_theappl.dll |
|
MD5 |
C9819F632F3F5ADB2EF518AF92DF257F |
|
진단명 |
Gen:Variant.Adware.Symmi.39107 (BitDefender) |
|
디지털 서명 |
INSAFE |
|
비고 |
실행 모듈 |
|
파일 경로 |
C:\Windows\bvmvbnmsnoni.exe |
|
MD5 |
77B411F34E0D8E1D35739E088D33862E |
|
진단명 |
PUP/Win32.IntClient (AhnLab V3) |
|
파일 설명 |
bvmvbnmsnoni.exe |
|
레지스트리 등록값 |
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\bvmvbnmsnoni |
|
비고 |
서비스(bvmvbnmsnoni, 표시 이름 : Baro Visit Update) 등록 파일, "C:\Program Files\Windows BaroVisit\barovisitm.exe" 파일과 동일 |
"Windows Baro Visit" 광고 프로그램은 "C:\Program Files\Windows BaroVisit" 폴더와 Windows 폴더 내에 파일을 생성하며, "bvmvbnmsnoni (표시 이름 : Baro Visit Update)" 서비스 항목을 등록하여 시스템 시작시 "C:\Windows\bvmvbnmsnoni.exe" 파일을 자동 실행하도록 구성되어 있습니다.(※ 변종에 따라서는 서비스 이름과 파일명이 다양하게 생성될 수 있습니다.)
또한 Windows 시작시 BAROVISIT 시작 프로그램 등록값과 시작 프로그램 폴더(C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\barovisitu.lnk)에 "C:\Program Files\Windows BaroVisit\barovisitu.exe" 파일을 자동 실행하도록 등록하여 프로그램 업데이트 체크를 하도록 구성되어 있습니다.
그 외에도 예약 작업 영역에 bvsvbnmsnoni 작업 스케줄러를 등록하여 시스템 시작시 "C:\Program Files\Windows BaroVisit\barovisits.exe" 파일을 자동 실행하도록 구성되어 있습니다.
이를 통해 광고 기능을 수행하는 barovisit.exe, barovisits.exe 파일을 메모리에 상주시켜, 인터넷 쇼핑몰 바로가기 아이콘을 등록하거나 인터넷 검색 및 웹 사이트 접속시 다양한 광고창 생성을 생성할 것으로 추정됩니다.
기본적으로 해당 프로그램은 제어판의 삭제 목록에 "Windows Baro Visit" 이름으로 등록되어 삭제할 수 있지만, 일부 확인된 PC 환경에서는 제어판에 등록되어 있지 않는 사례가 있는 것으로 판단됩니다.
그러므로 제어판을 통한 프로그램 삭제가 어려운 경우에는 다음과 같은 절차에 따라 프로그램 삭제를 진행하시기 바랍니다.
(a) "보조 프로그램 → 명령 프롬프트" 메뉴를 "관리자 권한으로 실행"하여 생성된 명령 프롬프트 창에 [sc delete "bvmvbnmsnoni"] 명령어를 입력 및 실행하여 서비스 등록값을 자동으로 삭제하시기 바랍니다.
(b) Windows 작업 관리자를 실행하여 메모리에 상주하는 barovisit.exe, barovisits.exe 프로세스가 존재할 경우 종료하시기 바랍니다.
(c) Internet Explorer 웹 브라우저를 비롯한 모든 프로그램을 종료한 상태에서 다음의 폴더와 파일이 존재할 경우 삭제하시기 바랍니다.
- C:\Program Files\Windows BaroVisit
- C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\barovisitu.lnk
- C:\Windows\bvmvbnmsnoni.exe
- C:\Windows\System32\drivers\barovisit.sys
- C:\Windows\Tasks\bvsvbnmsnoni.job
(d) 레지스트리 편집기(regedit)를 실행하여 다음의 레지스트리 값을 찾아 삭제하시기 바랍니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run- BAROVISIT
"Windows Baro Visit" 광고 프로그램은 유사한 기능을 가진 GearExtention for Windows (x86,x64), IE Support for Windows 또는 Internet Research Support, Intelligent, Internet Service Manager, Mouse Control Client, Mouse Control Service, Network ADView, Reflection Information Client x86 또는 Windows Reflection Service, Windows IP View (XP,Win7,Win8), Windows mouse protection release 등의 다양한 변종 프로그램이 발견되고 있으므로 참고하시기 바랍니다.
다양한 변종이 지속적으로 발견되고 있는 "Windows Baro Visit" 광고 프로그램이 설치되지 않도록 사전에 예방하기 위해서는 웹 보안 기능을 가진 보안 제품에 "www.barovisit.com" URL 값을 차단 목록에 등록하여 파일이 다운로드되지 않도록 하시기 바랍니다.