네이버(Naver) 블로그에 등록된 스팸(Spam) 게시글을 참조하여 백그라운드 방식으로 인터넷 검색을 시도하는 국내에서 제작된 winopenhelp 검색 도우미 프로그램<SHA-1 : 6faa4822bd2a4609ce0246ac3c915e7ca86fb308 - AhnLab V3 : PUP/Win32.Helper.C435974 (VT : 12/54)>에 대해 살펴보도록 하겠습니다.
해당 프로그램은 Searchgoo 광고 프로그램을 통해 사용자 몰래 설치될 수 있으므로 참고하시기 바랍니다.
C:\Program Files\winopenhelp
C:\Program Files\winopenhelp\Uninstall.exe :: 프로그램 삭제 파일
C:\Program Files\winopenhelp\Uninstall.ini
C:\Program Files\winopenhelp\winadopen.exe :: 시작 프로그램(winopenhelp) 등록 파일, 메모리 상주 프로세스
C:\Windows\System32\openhelp.dll
C:\Program Files\winopenhelp\winadopen.exe
- SHA-1 : 0a3d5dc3ccaa5cfe717c5bd439000abaa21c2e9b
- avast! : Win32:Downloader-UHH [PUP] (VT : 3/53)
C:\Windows\System32\openhelp.dll
- SHA-1 : cc306b4d79df9bcb8aeaab227fe041ed704a625b
- Avira : TR/ATRAPS.A.3781 (VT : 7/53)
"OCEAN INC Co.,Ltd." 디지털 서명이 포함된 해당 프로그램은 "C:\Program Files\winopenhelp" 폴더와 시스템 폴더에 파일을 생성하며, Windows 시작시 "C:\Program Files\winopenhelp\winadopen.exe" 파일을 시작 프로그램(winopenhelp)으로 등록하여 자동 실행되도록 구성되어 있습니다.
자동 실행된 파일(winadopen.exe)은 "C:\Windows\System32\openhelp.dll" 광고 모듈을 로딩하여 다음과 같은 동작을 백그라운드 방식으로 실행할 수 있습니다.
자동 실행된 openhelp.dll 광고 모듈은 특정 서버에서 구성값 정보를 체크하도록 구성되어 있습니다.
이를 통해 네이버(Naver) 블로그에 개설된 특정 스팸(Spam) 블로그에 게시된 게시글을 참조합니다.
문제의 네이버(Naver) 블로그를 살펴보면 특정 검색 키워드 값을 기반으로 한 쓰레기 글을 게시하며, 글 중간에 배치된 강조 문구를 통해 특정 광고 서버로 연결이 이루어지는 구조입니다.
이를 통해 블로그에 노출된 검색 키워드 값을 기반으로 서치아이(SearchEye) 검색 서비스에서 검색을 자동으로 수행합니다.
최종적으로 사용자 화면에는 표시되지 않지만 서치아이(SearchEye) 검색 서비스에 특정 검색 키워드를 입력하여 검색 결과가 노출되며 이를 통해 광고 수익을 유발하는 것이 아닌가 판단됩니다.
프로그램 삭제를 위해서는 Windows 작업 관리자를 실행하여 winadopen.exe 프로세스가 존재할 경우 종료한 후, 제어판에 등록된 "winopenhelp" 삭제 항목을 이용하여 프로그램을 제거할 수 있습니다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- openhelp = (공란)
- winopen = (공란)
- winopenhelp = C:\Program Files\winopenhelp\winadopen.exe
HKEY_CURRENT_USER\Software\winopenhelp
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
winopenhelp
winopenhelp 프로그램은 외형적으로는 표시되지 않는 광고 검색 기능으로 인해 인터넷 속도 저하 등의 문제를 유발할 수 있으므로 설치되지 않도록 주의하시기 바랍니다.
☞ <2011년~2012년 관련 정보> 검색 도우미 : Winsearch (2012.12.27) 외 20종
☞ <2013년 관련 정보> 검색 도우미 : searchgoo - searchgooys (2013.12.29) 외 14종
☞ 검색 도우미 : searchgoo - searchgoosg (2014.2.23)
☞ 이슈와이드 사이드바를 생성하는 issuewidebar 정보 (2014.4.21)
☞ 파일 다운로드 기능을 가진 "winiesearch 1.00" 프로그램 주의 (2014.4.25)