본문 바로가기

벌새::PUP Info

검색 도우미 : WinProvider - wppwonrnqm.exe (2014.11.5)

 

인터넷 검색 및 웹 사이트 접속시 다양한 광고창을 생성하며 특정 시점에서는 업데이트 기능을 통해 추가적인 추천 프로그램(제휴 프로그램) 설치를 유도할 수 있는 국내에서 제작된 WinProvider 광고 프로그램의 변종이 수집되어 정보를 공개해 드리겠습니다.

 

해당 프로그램은 유사한 기능을 제공하는 RCProvider, Windows RCProvider 광고 프로그램이 존재하므로 참고하시기 바랍니다.

 

WinProvider 변종 프로그램(wppwonrnqm.exe) 정보

 

파일 경로

 C:\Program Files (x86)\WinProvider\334.dll

MD5

 851E3E28E675C93A31C983268EBE7993

진단명

 a variant of Win32/Adware.Kraddare.GC (ESET)

디지털 서명

 God of Advertising Co.,Ltd

비고

 실행 모듈

 

파일 경로

 C:\Program Files (x86)\WinProvider\335.dll

MD5

 2184572AA5FD683C82E490F799570B6D

진단명

 a variant of Win32/Adware.Kraddare.GC (ESET)

디지털 서명

 God of Advertising Co.,Ltd

비고

 실행 모듈

 

파일 경로

 C:\Program Files (x86)\WinProvider\blgzi.dll

MD5

 E68E0573ED760C616B7818366EE66D2C

진단명

 Trojan.GenericKD.1939564 (BitDefender)

비고

 실행 모듈

 

파일 경로

 C:\Program Files (x86)\WinProvider\config_adwa.dll

MD5

 C9819F632F3F5ADB2EF518AF92DF257F

진단명

 PUP/Win32.SubShop (AhnLab V3 365 Clinic)

디지털 서명

 INSAFE

비고

 실행 모듈

 

파일 경로

 C:\Program Files (x86)\WinProvider\MWManagerM.dll

MD5

 099A0856B4F04B7F01C4019430802EA7

진단명

 PUP/Win32.MWManager (AhnLab V3 365 Clinic)

디지털 서명

 The A MEDIA

비고

 실행 모듈

 

파일 경로

 C:\Program Files (x86)\WinProvider\rclick.dll

MD5

 492BEED462E6C70436889F71765A0C3A

진단명

 PUP/Win32.Toolbar (AhnLab V3 365 Clinic)

디지털 서명

 INSAFE

비고

 실행 모듈

 

파일 경로

 C:\Program Files (x86)\WinProvider\winprovider.exe

MD5

 5F5580C40ABC2F1BA2BBC89E27EB845B

진단명

 PUP/Win32.IntClient (AhnLab V3 365 Clinic)

디지털 서명

 INSAFE

파일 설명

 winprovider.exe

비고

 메모리 상주 프로세스

 

파일 경로

 C:\Program Files (x86)\WinProvider\winprovidera.exe

MD5

 0971C1AA90B2E3D22765F01712D68EF5

진단명

 Win32:Adware-BRI [Adw] (avast!)

디지털 서명

 INSAFE

파일 설명

 winprovidera.exe

비고

 메모리 상주 프로세스

 

파일 경로

 C:\Program Files (x86)\WinProvider\winproviderb.exe

MD5

 515036CF4ED35621E550E1E7D1CE8247

진단명

 Generic.4C0 (AVG)

디지털 서명

 INSAFE

파일 설명

 winproviderb.exe

비고

 메모리 상주 프로세스

 

파일 경로

 C:\Program Files (x86)\WinProvider\winproviderc.exe

MD5

 FD33E8E3779A6FE5D36A51161C0EE762

진단명

 PUP/Win32.Helper (AhnLab V3 365 Clinic)

파일 설명

 winproviderc.exe

비고

 메모리 상주 프로세스

 

파일 경로

 C:\Program Files (x86)\WinProvider\winproviders.exe

MD5

 2303141AAD794BABB03D6E29BD79CAF7

진단명

 PUP/Win32.IntClient (AhnLab V3 365 Clinic)

디지털 서명

 INSAFE

파일 설명

 winproviders.exe

비고

 예약 작업(C:\Windows\Tasks\wppwonrnqs.job) 등록 파일

 

파일 경로

 C:\Windows\wppwonrnqm.exe

MD5

 79DFFB6A71F12C6498812B7E65A26835

진단명

 Win32:Adware-BRI [Adw] (avast!)

디지털 서명

 INSAFE

파일 설명

 wppwonrnqm.exe

레지스트리

등록값

 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wppwonrnqm

비고

 서비스(wppwonrnqm) 등록 파일

 

INSAFE 디지털 서명이 포함된 WinProvider 광고 프로그램은 "C:\Program Files (x86)\WinProvider" 폴더와 Windows 폴더 내에 각각의 파일을 생성하며, 다음과 같은 자동 실행 등록값을 기반으로 시스템 시작시 동작하도록 구성되어 있습니다.

  • 서비스(wppwonrnqm) : C:\Windows\wppwonrnqm.exe
  • 예약 작업(wppwonrnqs.job) : C:\Program Files (x86)\WinProvider\winproviders.exe

특히 서비스 항목에 등록되는 Windows 폴더 내에 생성되는 파일은 프로그램 설치시 특정 서버에서 winproviderm.exe 파일을 다운로드하여 변종에 따라 다양한 서비스 명과 파일명으로 생성될 수 있습니다.

 

이렇게 설치된 프로그램은 자동 실행되는 과정에서 프로그램 업데이트, 광고 구성값 체크 외에도 특정 부팅 시점에서는 업데이트 창 생성을 통해 유사한 기능을 가진 다양한 광고 프로그램 및 광고 프로그램 설치를 유도할 수 있는 배포 프로그램의 추가 설치를 유도할 수 있으므로 주의하시기 바랍니다.

 

광고 기능은 Internet Explorer 웹 브라우저 실행시 추가적인 광고 모듈 로딩을 통해 인터넷 검색, 웹 사이트 접속시 다양한 광고창 생성, 웹 브라우저 상단에 광고 툴바(Toolbar) 등의 동작이 포함되어 있을 것으로 추정됩니다.

 

해당 프로그램은 기본적으로 제어판에 등록된 WinProvider 삭제 항목을 이용하여 삭제할 수 있으며, 수동으로 프로그램 삭제가 필요한 경우에는 다음과 절차를 참고하여 제거하시기 바랍니다.

 

(a) "보조 프로그램 → 명령 프롬프트" 메뉴를 "관리자 권한으로 실행"하여 생성된 명령 프롬프트 창에 [sc delete "wppwonrnqm"] 명령어를 입력 및 실행하여 등록된 서비스 레지스트리 값을 자동 삭제하시기 바랍니다.

(b) Windows 작업 관리자를 실행하여 메모리에 상주하는 winprovider.exe, winprovidera.exe, winproviderb.exe, winproviderc.exe 프로세스를 찾아 모두 종료하시기 바랍니다.

 

(c) Internet Explorer 웹 브라우저를 종료한 상태에서 다음의 폴더(파일)를 찾아 삭제하시기 바랍니다.

  • C:\Program Files (x86)\WinProvider
  • C:\Windows\Tasks\wppwonrnqs.job
  • C:\Windows\wppwonrnqm.exe

WinProvider 광고 프로그램은 설치 및 실행시 가상 환경, 분석 도구 설치 여부를 체크하여 설치를 하지 않거나 광고 기능을 수행하지 않는 방식으로 분석을 방해하고 있습니다.

그러므로 다양한 변종을 가진 WinProvider 및 유사 광고 솔루션이 설치되지 않도록 사전 예방하는 방법이 있으므로 게시글을 참고하여 잘 활용해 보시기 바랍니다.