구글 툴바를 설치한 후 평소에 주소창에 그냥 싸이트 이름을 써서 이동하는 일이 많았다. IE의 기본 검색엔진인 MSN보다 더 잘 찾아서 바로 이동 시켜 주기 때문에 상당히 편했다. 유명한 회사, 기관, 기타 등등 뭐든지 잘 알려진 이름이라면 검색결과 표시 없이 항상 내가 원하는 싸이트로 바로 이동시켜 주었다.
" 어쩌구 저쩌구 하길래 상당히 기분이 나빴는데 역시나 제어판에서 프로그램 추가/제거 목록을 보니 나도 모르게 그 프로그램이 깔려 있었다. 그냥 "키워드 도우미" 프로그램만 삭제하고 넘어갔는데 오늘 또 똑같은 일이 벌어져 참을수 없어서 해결하기로 했다. 아니 해결보다 먼제 도대체 어떤 싸이트에서 누가 이런걸 퍼뜨렸는지 더 열받아서 인터넷을 뒤져 찾아 봤더니 Digital Names라는 회사에서 배포하는 프로그램이였다.
근데 이상한건 내가 그 프로그램을 다운 받은적도 없고 그 싸이트를 방문한 적도 없는데 어떻게 깔렸나 했더니 "
Win-Spyware/iGuard"라는 스파이웨어를 통해 설치가 된거 였다. 어떤 경로로 감염됐는지는 모르지만 WINDOWS/system32 폴더에 다음과 같은 파일을 생성하면서 시작된다.
- xprtect.exe, winhtml.dll, mseged32.dll, machdsdk.dll, drivers/xprtect.sys
그리고 이 파일과 관련된 여러 레지스트리 키를 등록시키고 자체 보호기능을 갖춰 쉽게 지울 수 없으며 바이러스 프로그램에도 감지가 안된다. (
치료 및 관련 정보 @안철수연구소)
바이러스 치료 할때 결제를 해야 된다. -_-;; 물론 그전에 바이러스 프로그램도 돈주고 사야된다. 다른 프로그램도 아닌 바이러스 프로그램인데... 컴퓨터에 대해 잘 모르고 관리하기 어려운 대부분의 사용자들에게 봉사하는 마음으로 공짜로 맘놓고 인터넷과 컴퓨터를 즐길수 있게 해주면 좋을거라는 생각이 든다. 물론 말도 안되는 얘기지만... 세상에 공짜는 없다! 경제라는게 참 얽히고 섥힌게 어떤 사람은 이 세상을 지키는 정의의 수호자 쪽에 서있고(하지만 물론 돈은 받는다) 어떤 사람은 범법자의 쪽에서 스파이웨어를 만들고...(역시 돈때문이다) 좋은 머리와 지식을 갖고 돈을 따라 움직이는건 똑같지만 참 다른 일을 한다. 그러고 보면 GNU, FSF를 꾸려 나가는 사람들이 정말 존경스럽다. 또 일반 유저 프로그램을 만드는 프로그래머 보다는 순수한 과학 기술 연구를 하는 연구원이나 학계에 종사하는 교수가 정말 존경스럽다.
하여튼... 결국 스파이웨어 iGuard는 engsetup.exe이란 파일을 통해 다음과 같이 "키워드(인터넷 한글접속) 도우미" 파일들을 WINDOWS/system32 폴더에 설치된다.
- dgtuninstall.exe, dgtstart.exe, dgtnmres.dll, digitalnames.exe, digitalnames.dll
하필 왜 Digital Names 제품을 다운받게 하는 것일까 -_-a 스파이웨어와 "키워드(인터넷 한글 접속) 도우미"와 무슨 관계가 있는지 알수는 없다. 또 신기한건 스파이웨어 iGuard는 안철수연구소에서 보고한 engsetup.exe외에 다른 경로를 통해서도 "키워드 도우미"를 설치하는 것으로 보인다. 다음은 안철수연구소에서 보고한대로 내 컴퓨터에 처음 스파이웨어가 키워드도우미를 설치하는 과정이 로그파일에 남은것이다.
2005-05-16 PM 12:51:48 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator iexplore.exe C:\WINDOWS\system32\engsetup.exe
Prevent creation of new files in the System32 folder (.exe) Action blocked :Create
2005-05-16 PM 12:51:52 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator engsetup.exe C:\WINDOWS\system32\__winhtml.dll
Prevent creation of new files in the System32 folder (.dll) Action blocked :Create
2005-05-16 PM 12:51:52 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator engsetup.exe C:\WINDOWS\system32\dgtuninstall.exe
Prevent creation of new files in the System32 folder (.exe) Action blocked :Create
2005-05-16 PM 12:51:52 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator engsetup.exe C:\WINDOWS\system32\digitalnames.dll
Prevent creation of new files in the System32 folder (.dll) Action blocked :Create
2005-05-16 PM 12:51:52 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator engsetup.exe C:\WINDOWS\system32\dgtnmres.dll
Prevent creation of new files in the System32 folder (.dll) Action blocked :Create
2005-05-16 PM 12:51:53 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator engsetup.exe C:\WINDOWS\system32\dgtstart.exe
Prevent creation of new files in the System32 folder (.exe) Action blocked :Create
다음은 내가 키워드도우미를 제거하거 3주 후에 어떤 싸이트를 방문해서 어떤 경로를 통해서인지는 모르겠지만
iGuard 스파이웨어가 다시 내 컴퓨터에 "키워드 도우미"를 설치하는 과정이 로그파일에 남은 것이다. 이번에는 안철수연구소에서 보고한 engsetup.exe가 아닌 rdnsetup.exe를 통해 설치한다. 또한 설치가 끝난후 rdnsetup.exe는 aaadlete.exe라는 새로운 파일을 설치한다.
2005-06-06 PM 3:55:07 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator iexplore.exe C:\WINDOWS\system32\rdnsetup.exe
Prevent creation of new files in the System32 folder (.exe) Action blocked :Create
2005-06-06 PM 3:55:10 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator rdnsetup.exe C:\WINDOWS\system32\dgtstart.exe
Prevent creation of new files in the System32 folder (.exe) Action blocked :Create
2005-06-06 PM 3:55:10 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator rdnsetup.exe C:\WINDOWS\system32\digitalnames.dll
Prevent creation of new files in the System32 folder (.dll) Action blocked :Create
2005-06-06 PM 3:55:10 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator rdnsetup.exe C:\WINDOWS\system32\dgtnmres.dll
Prevent creation of new files in the System32 folder (.dll) Action blocked :Create
2005-06-06 PM 3:55:14 Would be blocked by behaviour blocking rule (in warn mode)
JOON-M\Administrator rdnsetup.exe C:\WINDOWS\system32\aaadlete.exe
Prevent creation of new files in the System32 folder (.exe) Action blocked :Create
도대체 무슨일은 하는 스파이웨어인지는 모르지만 상당히 기분이 안좋다. 아무리 심각한 위험성은 없는 프로그램이라도 사용자 몰래 이런 프로그램을 설치시키는 행위만도 엄연히 범법행위이다. 또한 사용자가 약관 동의시 제대로 확인하지 않는 다는 점을 악용해 다른 프로그램을 더불어 설치 시킨다거나 하여 불편함을 주는 것은 사용자를 우롱하는 행위로 참을 수 없는 일이다. 개인정보 보호 및 인터넷 보안이 점점 중요시 되고 많은 사람들이 대책마련에 힘쓰고 있지만 제일 중요한건 각자가 조심하고 컴퓨터에는 절대 중요한 개인정보는 남기지 않아야 될것이다.