Adware/Rogue - coolcode(쿨코드) 와 동반 설치되는 Adware 2종

<아래 프로그램 삭제시 참고사항>

1>보안제품에서 진단하는 경우 잠시 실시간 감시를 해제후
--> 제어판 - 추가삭제에서 해당프로그램 삭제.
--> 보안제품에서 진단할경우 삭제에 방해를 받을 수 있습니다.

2> 삭제후 아래 제시된 설치폴더 정보를 참고하여  관련항목을 삭제.
3> 시작프로그램에 등록된 것중 의심스러운 것은 해제.
4> 정상적으로 삭제 되지 않을 경우
--> 사용중인 보안제품 회사에 문의후 도움 요청
--> 진단되는 안티스파웨어 제품으로 치료한다.

그레이웨어 무엇인지 아세여?

<유포 참고 정보>
메이플 로그인 와 소녀시대 관련글을 보던중 낚기다 ...;;;

네이버 동영상 / 블로그 오인 페이지 - 아이비 협박관련 검색중 발견 <2007.11.07>

제어판 - 추가삭제 항목에서 아래 프로그램 목록을 확인할 수 있다.

1> coolcode
2> Windows Driver for Cashontool <광고용 툴바>
3> Windows-WebProtect  <유해사이트 차단툴>

<진단상황><2007.10.20>
--> 진단내역이 긴 경우 일부 중략하였습니다.

1> 안철수연구소
Ahnlab SpyZero 2.0 / V3 Internet Security Platinum / 빛자루의 안티스파이웨어

Win-Trojan/Downloader.266240.B  (V3)  coolcodeupdate.exe  1> coolcode 설치자
Win-Trojan/Agent.151552.R   (V3)  wpuninstall.exe 3> Windows-WebProtect 의 삭제툴 
Win-Trojan/Agent.143360.AK   (V3)   okt7.exe   3> Windows-WebProtect 설치자
Win-Trojan/Agent.142848.O   (V3)   wpupd.exe  3> Windows-WebProtect 설치자
Win-Downloader/ToolBar.CashOn.243712.B (V3) 
--> cst3.exe 2> Windows Driver for Cashontool 설치자
Win-Adware/Rogue.CoolCode.2255360   1> coolcode
Win-Adware/ToolBar.CashOn.315392.B  2> Windows Driver for Cashontool
Win-Spyware/SLimit.49152             3> Windows-WebProtect
Win-Spyware/Slimit.218112             3> Windows-WebProtect 
Win-Downloader/WebProtect.158720  3> Windows-WebProtect
이하 중략 ~~

2> 네이버 툴바 / 카스퍼스키 제품

Adware/CoolCode   1> coolcode
Adware/Toolbar.CashOn   2> Windows Driver for Cashontool
Adware/CashOn.ncservice  2> Windows Driver for Cashontool
Adware/SiteLimit  3> Windows-WebProtect  일부만 진단

not-a-virus:AdWare.Win32.CashOn.f  2> Windows Driver for Cashontool 구성요소 또는 설치자 => cst3.exe / uninToolbar.exe
Trojan-Downloader.Win32.Agent.det   3> Windows-WebProtect  구성요소 또는 설치자 => wpuninstall.exe / wpupd.exe / okt7.exe
not-a-virus:AdWare.Win32.Agent.og  3> Windows-WebProtect 구성요소 => IEHK.dll / IHuk.exe

3> 하우리 바이로봇

ADware.CoolC.R     1> coolcode
ADware.Cashon.To   2> Windows Driver for Cashontool
Spyware.Agent.Do.151552   wpuninstall.exe 3> Windows-WebProtect 의 삭제 정보 파일
ADware.Slimit           3> Windows-WebProtect
ADware.WebProtect   3> Windows-WebProtect
이하 중략

4> 바이러스 체이서

ADware.Cashon.20 ~ ADware.Cashon.28 - 2> Windows Driver for Cashontool
Trojan.Downloader.32634 - 2> Windows Driver for Cashontool 설치자 => NCUP10192244.exe
Trojan.Downloader.35203  - 3> Windows-WebProtect  구성요소 => wpupd.exe 

=======================================================================
<설치정보><2007.10.20>
=======================================================================
1> coolcode --> 2종이상의 애드웨어 설치자 <허위보안제품>
=======================================================================

<참조링크><자동연장결제 피해시 대처 사항>
--> http://fantasy-actuality.tistory.com/15
--> 제작사에서 제공하는 삭제툴 : http://www.cool-code.net/pc/coolcode_delete.exe

시작프로그램에 아래항목을 등록한다.

[coolcode] C:\Program Files\coolcode\coolcode.exe hidden

설치폴더

c:\Documents and Settings\<사용자>\바탕 화면
	coolcode.lnk	2007-10-19 22:44.27

c:\Documents and Settings\사용자\시작 메뉴\프로그램\coolcode
	쿨코드 삭제.lnk	2007-10-19 22:44.27
	쿨코드 실행.lnk	2007-10-19 22:44.27
	쿨코드 업데이트.lnk	2007-10-19 22:44.27

c:\Program Files\coolcode
	coolcode.dll	2007-10-19 22:44.31
	coolcode.exe	2007-10-19 22:44.29
	coolcodeuninstall.exe	2007-10-19 22:44.32
	coolcodeupdate.exe	2007-10-19 22:44.25
	pop.dat	2007-10-19 22:44.33
c:\Program Files\coolcode\data
	updatelist.dat	2007-10-19 22:44.28

c:\WINDOWS\Downloaded Program Files
	CoolCodeX Control	2007-10-13 17:19.06

=======================================================================
2> Windows Driver for Cashontool
=======================================================================
--> 제작사에서 제공하는 삭제툴 : http://www.cashon.co.kr/app/cashonband/bin/uninToolbar.exe
--> coolcode 에 의해 사용자 동의 없이 설치된다.
--> vaccine7 에 의해 설치되는 사례 : http://fantasy-actuality.tistory.com/92
--> 인터넷 주소창 복구 방법 : http://fantasy-actuality.tistory.com/24

윈도우 익스플로어 추가기능관리 (BHO)에 아래파일 등록

CashOn - {731B4EB2-B447-4108-86EB-6F9B6A46E576} - C:\PROGRA~1\CashOn\bin\NCBUTT~1.DLL

시작프로그램에 아래항목을 등록한다.

[Cashonupdate] C:\Program Files\CashOn\bin\CashOnUpdate10192244.exe
[NCUP] C:\WINDOWS\system32\NCUP10192244.exe

즐겨찾기에 등록

감각의 속도가 다른 d&shop 과 쇼핑 그룹을 생성하고 하위에 다수 사이트 등록

설치폴더

c:\Program Files\CashOn

	file.cfg	2007-10-19 22:44.40
c:\Program Files\CashOn\bin
	CashOnUpdate10192244.exe	2007-10-19 22:44.47
	NCBar10192244.dll	2007-10-19 22:44.44
	ncbnd10192244.dll	2007-10-19 22:44.42
	ncButton10192244.dll	2007-10-19 22:44.45
	uninToolbar.exe	2007-10-19 22:44.49
c:\Program Files\CashOn\data
	background.dsk	2007-10-19 22:44.59
	cpc.dat	2007-10-19 22:44.53
	cps.dat	2007-10-19 22:44.54
	cpsmust.dat	2007-10-19 22:44.55
	cpspass.dat	2007-10-19 22:44.56
	favorite.fav	2007-10-19 22:44.58
	popup.dat	2007-10-19 22:44.57
c:\Program Files\CashOn\icons
	ico_y79.Ico	2007-10-19 22:44.51
	TotalIcon.dll	2007-10-19 22:44.53

c:\WINDOWS\system32
	cst3.exe	1997-07-11 01:11.11
	NCUP10192244.exe	2007-10-19 22:44.51

=======================================================================
3> Windows-WebProtect <유해사이트 차단툴>
=======================================================================
--> coolcode 에 의해 사용자 동의 없이 설치된다.
--> vaccine7 에 의해 설치되는 사례 : http://fantasy-actuality.tistory.com/92
--> Trojan-Downloader.Win32.Agent.det 에 관련글


제어판 - 추가삭제 Windows-WebProtect 을 선택후 삭제를 하시면 됩니다.
단, 비밀번호를 입력해야 하는데 암호를 별도 지정하지 않았다면,
암호는 1234 입니다.

시작프로그램에 아래항목을 등록한다.

[WebProtect] C:\WINDOWS\system32\ProtMng.exe
[IHUK] C:\Program Files\webprotect\IHUpd.exe -update
RunOnce: [AA] C:\WINDOWS\system32\ProtUtil.exe  -upd


설치폴더

c:\Documents and Settings\사용자\Templates
	IHUpdA7.exe	2007-10-19 22:44.55

c:\Documents and Settings\사용자\시작 메뉴\프로그램\유해사이트차단
	유해사이트차단.lnk	2007-10-19 22:44.41

c:\Program Files\webprotect
	IEHK.dll	2007-10-19 22:44.57
	IHUK.cfg	2007-10-19 22:44.57
	IHuk.exe	2007-10-19 22:44.56
	IHUpd.exe	2007-10-19 22:44.57
	sitelimit.cfg	2007-10-19 22:44.54
	sitelimit.exe	2007-10-19 22:44.50
	wpupd.exe	2007-10-19 22:44.51

c:\WINDOWS\system32
	okt7.exe	1997-07-11 01:11.11
	ProtHK.dl_	2007-10-19 22:44.53
	ProtMng.ex_	2007-10-19 22:44.52
	ProtUtil.exe	2007-10-19 22:44.54
	SiteDB.dll	2007-10-19 22:44.48
	SiteDB_SW.dll	2007-10-19 22:44.48
	SiteProt.dll	2007-10-19 22:44.50
	wpuninstall.exe	2007-10-19 22:44.51