> [동영상 리뷰] 탭으로 이동하여 확인 할 수 있으며, 약 11분 28초의 영상입니다. <

[Spyware.FraudLoad.Do] 은(는) 사용자 동의 없이 설치되며, Paladin Antivirus를 다운로드하여 실행시킨다.

다운로드 된 Paladin Antivirus는 일정시간마다 경고를 띄우며, 해당 경고는 출력되면서 바탕화면을 비활성화 시킨다.

-      부팅 시 자동 실행 될 수 있도록 레지스트리에 자신을 등록한다.

[그림 1.] 설치되는 모습

[그림 2.] 스캔 화면

[그림 3.] MS사의 보안센터와 동일한 UI

[그림 4.] 일정시간마다 바탕화면 비활성화 모습1

[그림 5.] 일정시간마다 바탕화면 비활성화 모습2

[그림 6.] 일정시간마다 바탕화면 비활성화 모습3

[그림 7.] 경고 화면1

[그림 8.] 경고 화면2

[그림 9.] 경고 화면3

[그림 10.] 경고 화면4

[그림 11.] 아이콘 생성

[그림 12.] 결제 요구 화면

< 관련 URL >

hxxp://(생략).cn/readdatagateway.php?type=(생략)

hxxp://(생략).cn/pav_db

hxxp://(생략).cn/readdatagateway.php?type=(생략)&version=3.0

hxxp://(생략).cn/pav_ext

hxxp://(생략).cn/pav_hook

hxxp://(생략).cn/pav_un

hxxp://(생략).cn/pav_main

< 파일 >

[Spyware.FraudLoad.Do] 이(가) 생성하는 파일은 아래와 같다.

(빠른실행 폴더)\Paladin Antivirus.lnk

(임시 폴더)\4otjesjty.mof

(임시 폴더)\pav.dat

(임시 폴더)\pavr.dat

(임시 폴더)\(랜덤명).tmp

(임시 폴더)\(랜덤명).tmp

(임시 폴더)\(랜덤명).tmp

(임시 폴더)\(랜덤명).tmp

(임시 폴더)\(랜덤명).tmp

(바탕화면 폴더)\Paladin Antivirus Support.lnk

(바탕화면 폴더)\Paladin Antivirus.lnk

(모든 사용자계정 폴더)\바탕 화면\nudetube.com.lnk

(모든 사용자계정 폴더)\바탕 화면\pornotube.com.lnk

(모든 사용자계정 폴더)\바탕 화면\youporn.com.lnk

(임시 폴더)\1.ico

(임시 폴더)\2.ico

(임시 폴더)\3.ico

(임시 폴더)\dhdhtrdhdrtr5y

(임시 폴더)\eventcreatexp.exe

< 레지스트리 >

[Spyware.FraudLoad.Do] 이(가) 생성하는 레지스트리는 아래와 같다.

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\SimpleShlExt

HKLM\SOFTWARE\Classes\CLSID\{5E2121EE-0300-11D4-8D3B-444553540000}

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\SimpleShlExt

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Paladin Antivirus

HKLM\SOFTWARE\Paladin Antivirus

HKCU\Software

이름 : eee0bd2f-ff2e-46ef-83fb-d4fda84462a3

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

이름 : eventcreatexp.exe

값    : "(임시 폴더)\eventcreatexp.exe"

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

이름 : Paladin Antivirus

값    : ""(프로그램 폴더)\Paladin Antivirus\pav.exe" -noscan"

< 폴더 >

[Spyware.FraudLoad.Do] 이(가) 생성하는 폴더는 아래와 같다.

(사용자계정 폴더)\시작 메뉴\프로그램\Paladin Antivirus

(프로그램 폴더)\Paladin Antivirus

< 표기법 >

"(빠른실행 폴더)" 란 운영체제(혹은 사용자)마다 다를 수 있으며 일반적으로

C:\Documents and Settings\(사용자계정)\Application Data\Microsoft\Internet Explorer\Quick Launch 이다.

"(임시 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로

C:\Documents and Settings\(사용자계정)\Local Settings\Temp 이다.

"(바탕화면 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로

C:\Documents and Settings\(사용자계정)\바탕 화면 이다.

"(모든 사용자계정 폴더)" 란 사용자 설정에 따라 다를 수 있으며 일반적으로

C:\Documents and Settings\(모든 사용자계정) 이다.

"(사용자계정 폴더)" 란 사용자 설정에 따라 다를 수 있으며 일반적으로

C:\Documents and Settings\(사용자계정) 이다.

"(프로그램 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로

C:\Program Files 이다.