Ec0nomist's Lab.

1. 애드웨어명 : smart cam bridge on service

2. 설치 경로 : 다수의 제휴 프로그램을 설치하는 애드웨어 다운로더

3. smart cam bridge on service 행위 정보

3-1. 해당 애드웨어는 설치시 웹에서 애드웨어 동작에 필요한 파일들을 다운받으며, 아래의 경로에 파일 및 레지스트리를 생성 및 서비스 동작으로 실행이 이루어진다.

C:\Users\(사용자 계정)\AppData\Roaming\smartcam

C:\Users\(사용자 계정)\AppData\Roaming\smartcam\Mtodt.tmd

C:\Users\(사용자 계정)\AppData\Roaming\smartcam\mu.dll

C:\Users\(사용자 계정)\AppData\Roaming\smartcam\scmon.exe

C:\Users\(사용자 계정)\AppData\Roaming\smartcam\scupdate.exe

C:\Users\(사용자 계정)\AppData\Roaming\smartcam\smartcam.dat

C:\Users\(사용자 계정)\AppData\Roaming\smartcam\smartcam.exe

C:\Users\(사용자 계정)\AppData\Roaming\smartcam\smartcam.ini

C:\Users\(사용자 계정)\AppData\Roaming\smartcam\smartcamuninstall.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\smartcam

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\scmonService

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\scmonService

3-2. 서비스 scmon.exe가 실행이 이루어지면 scupdate.exe가 실행이 되며, 업데이트 서버와 연결한 뒤 해당 프로그램에 대한 버전 정보를 받아온다. 추후 smartcam.exe를 실행한다.

scmon.exe

 └ scupdate.exe

 └ smartcam.exe

3-3. 익스플로러 실행 간 서버로 검색 사이트 및 사용자가 입력한 키워드, CompanyID 값을 전송하여 추가적인 행위를 할 것으로 보여지지만 확인이 되지 않고 있다.

4. 변종 애드웨어 : 해당 애드웨어는 QBridge와 QadSoftware라는 변종이 존재한다. 여담으로 이 서버는 과거에 파밍 조직이 서버 내 파일을 변조한 이슈가 있다.

5. smart cam bridge on service 삭제 정보 : 프로그램 추가 및 기능에서 smart cam bridge on service를 삭제하면 된다.

그리고 아래의 경로에 존재하는 폴더를 삭제하면 된다.

C:\Users\(사용자 계정)\AppData\Roaming\smartcam // 혹은 시작 - 실행 - %Appdata% 입력 뒤 smartcam 폴더 삭제.