■ Adware.MagicPop


          A. 감염 경로
                 해킹 당한 사이트에서 다운로드 되거나 다른 악성코드(스파이웨어, 애드웨어, 드로퍼 등)에 의해 설치될 수 있다.


          B. 감염 증상

                 1) 다음과 같은 경로에 애드웨어 파일들을 생성한다.
                           %system%\winMucTN.exe
                           %activex%\PopupCtl.inf
                           %activex%\WebLoad.inf
                           %system%\AutoView.exe
                           %system%\km_hook.dll
                           %system%\Magic\Pop\mpd.exe
                           %system%\MagicP2.exe
                           %system%\MagicPop.exe
                           %system%\mlist.dat
                           %system%\MVJAVA\SERVICES.EXE
                           %system%\MVJAVA\svchost.exe
                           %system%\MVJAVA\update.dat
                           %system%\netpian.exe
                           %system%\PopupCtl.ocx
                           %system%\WebLoad.ocx
                           %windows%\MIcon.exe
                           %windows%\MIconW.exe
                           %windows%\mlist.dat
                           %windows%\mpus.exe
                           %windows%\netpia.exe
                           %windows%\smss.exe
                           %windows%\spool.dat
                           %windows%\svchost.eop
                           %windows%\upgrade.dat
                           %system%\conhook.dll
                           %system%\winMucTN.dat
                           %windows%\winMucTN.exe
                           %windows%\conhook.dll
                           %windows%\winMucTN.dat

                 2) 부팅시 다음 실행 파일이 자동으로 실행되도록 다음 레지스트리 이름에 파일을 등록한다.
                           MagicPop
                           Netpiaed
                           Netpianet
                           SMSS
                           Windows MIcon Friend
                           Windows MIcon
                           Windows System Speed Engine 32
                           Windows System Speed Engine 64
                           windows system upgrade
                           winMucTN

                 3) 다음과 같은 CLSID를 등록하여 사용된다.
                           {93BC5986-FE67-11D7-B7A2-00104BCD089B}
                           {2C76B9D8-448A-11D2-8B9C-006097AD9DDC}
                           {816BA04E-C4D6-4BCA-A3E5-109A5CAB1338}
                           {93BC5987-FE67-11D7-B7A2-00104BCD089B}

                 4) 확장 프로그램을 설치해 브라우저의 사용을 방해하거나 불필요한 프로그램을 계속 실행한다.


          C. 치료 방법
                 바이로봇 2005-06-08.01 이상 버전으로 치료된다.


          D. 위험도
                 낮음