제휴(스폰서) 프로그램 : TredSyncmon - Tred3

업데이트 기능을 통해 추가적인 불필요한 프로그램(PUP) 설치를 유도할 목적으로 제작된 TredSyncmon 프로그램<SHA-1 : 4afef7e8547a6a9bc86a90d718f4093cbb4a9e0e - Hauri ViRobot : Adware.Agent.770840.B[h] (VT : 27/55)>의 새로운 변종이 확인되어 살펴보도록 하겠습니다.

 

• 제휴(스폰서) 프로그램 : TredSyncmon - Tred (2015.9.16)

해당 프로그램은 변종에 따라 폴더 및 파일 구성이 일부 변경될 수 있으므로 참고하시기 바랍니다.

 

[생성 폴더 / 파일 등록 정보]

 

C:\Program Files\Tred3
C:\Program Files\Tred3\delete.exe :: 프로그램 삭제 파일
C:\Program Files\Tred3\Syncron.exe :: 시작 프로그램(Syncron) 등록 파일
C:\Program Files\Tred3\ver.ix

 

[생성 파일 진단 정보]

 

C:\Program Files\Tred3\delete.exe
 - SHA-1 : e187a61b9c2ec665a0dd61d94d7157bf590d8928
 - Kaspersky : not-a-virus:AdWare.Win32.Agent.jbee (VT : 24/56)

 

C:\Program Files\Tred3\Syncron.exe
 - SHA-1 : e2b6777cffebb42a84ca03b92605cf4881e708e8
 - ESET : a variant of Win32/Adware.BrowShot.A (VT : 31/56)

"Good Ad Comms." 디지털 서명이 포함된 TredSyncmon 프로그램은 "C:\Program Files\Tred3" 폴더에 파일을 생성합니다.

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - Syncron = C:\Program Files\Tred3\Syncron.exe

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
 - Syncron = C:\Program Files\Tred3\Syncron.exe

Windows 시작시 Syncron 시작 프로그램 등록값을 이용하여 "C:\Program Files\Tred3\Syncron.exe" 파일(Download Launcher)을 자동 실행하도록 구성되어 있습니다.

자동 실행된 Syncron.exe 파일은 특정 IP 서버에서 프로그램 업데이트 정보를 체크(C:\Program Files\Tred3\ver.ix)한 후 자동 종료 처리됩니다.

 

이 과정에서 추가적인 제휴 프로그램 구성값이 포함되어 있을 경우 다양한 광고 프로그램 설치를 유도할 수 있으므로 주의하시기 바랍니다.

 

■ TredSyncmon 프로그램 삭제 방법

프로그램 삭제는 제어판 또는 체크잇(CheckIt : www.checkitinfo.com) 프로그램에 등록된 TredSyncmon 삭제 항목을 이용하여 제거한 후 "C:\Program Files\Tred3" 폴더를 찾아 삭제하시기 바랍니다.

 

[생성 레지스트리 등록 정보]

 

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
 - Syncron = C:\Program Files\Tred3\Syncron.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
 - Syncron = C:\Program Files\Tred3\Syncron.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\TredSyncmon
HKEY_CURRENT_USER\Software\TredSyncmon

 

유사한 기능을 가진 BrowserShot 프로그램의 변종인 TredSyncmon 프로그램은 다양한 폴더에 설치하여 차후 불필요한 프로그램(PUP) 설치 통로로 활용될 수 있으므로 설치되지 않도록 주의하시기 바랍니다.

 

[관련글 보기]

 

☞ 웹 브라우저 종료 프로그램으로 위장한 BrowserShot 악성 프로그램 주의 (2015.7.19)

 

☞ "Application Error" 오류창을 생성하는 BrowserShot 프로그램 제거 방법 (2015.9.5)

 

☞ 제휴(스폰서) 프로그램 : BrowserShot - BSUpdate (2015.9.16)