OneBrowser

동의 없이 브라우저 설정을 조작하는 신뢰할 수 없는 애플리케이션은 사용자의 온라인 보안 및 개인 정보 보호에 상당한 위험을 초래합니다. 잠재적으로 원치 않는 프로그램(PUP)으로 분류되는 이러한 프로그램은 브라우저 기능을 변경하고, 트래픽을 의심스러운 사이트로 리디렉션하고, 데이터 수집을 위해 브라우징 활동을 추적할 수 있습니다. 그러한 침입적 브라우저 하이재커 중 하나는 사용자 선호도를 방해하고 모호한 검색 엔진을 홍보하는 OneBrowser입니다. 작동 방식과 확산 방식을 이해하는 것은 안전한 브라우징 환경을 유지하는 데 필수적입니다.

OneBrowser란 무엇인가요?

OneBrowser는 사용자가 신뢰할 수 없는 검색 엔진을 사용하도록 강제하기 위해 브라우저 설정을 수정하는 침입적 애플리케이션입니다. 이러한 엔진은 관련성 있고 신뢰할 수 있는 검색 결과를 제공하는 대신 스폰서 콘텐츠, 오해의 소지가 있는 광고를 우선시하거나 사용자를 위험한 웹사이트로 안내할 수도 있습니다. OneBrowser가 부과하는 수정 사항에는 기본 홈페이지, 검색 공급자 및 새 탭 설정에 대한 변경이 포함되는 경우가 많습니다.

이 브라우저 하이재커가 설치되면 웹 페이지에 과도한 광고를 삽입하고, 자주 리디렉션을 일으키고, 제3자 파트너에게 이익이 되도록 검색 쿼리를 조작할 수도 있습니다. 사용자는 종종 느린 브라우징 성능, 원치 않는 팝업, 브라우저 설정을 되돌리는 데 어려움을 겪습니다.

OneBrowser가 브라우징 경험에 미치는 영향

시스템에 OneBrowser가 존재하면 여러 가지 불편함과 보안 문제가 발생합니다. 사용자는 다음을 겪을 수 있습니다.

• 강제 리디렉션 : 검색어와 웹사이트 방문은 OneBrowser 운영자에게 수익을 창출해 주는 의심스러운 검색 엔진이나 제휴 페이지로 리디렉션될 수 있습니다.
• 침입성 광고 : 팝업, 배너, 텍스트 광고가 자주 나타나 의심스러운 혜택, 사기성 페이지 또는 심지어 가짜 프로모션으로 이어질 수 있습니다.
• 데이터 추적 위험 : 브라우저 하이재커는 브라우징 습관, 검색 기록 및 개인 정보를 모니터링할 수 있습니다. 수집된 데이터는 타겟 광고에 사용되거나 제3자에게 판매될 수도 있습니다.
• 수동 제거가 어려움 : 사용자가 브라우저 설정을 수동으로 복원하려고 하면 OneBrowser가 지속되는 경우가 있으며, 때로는 제거를 시도한 후에도 자체적으로 복구되는 경우가 있습니다.

PUP의 의심스러운 유통 전략

OneBrowser와 같은 PUP는 종종 직접 사용자 다운로드에 의존하지 않고 대신 오해의 소지가 있는 배포 전략을 통해 확산되어 설치 전에 감지하기 어렵게 만듭니다. 일반적인 방법은 다음과 같습니다.

• 소프트웨어 번들링: OneBrowser는 타사 웹사이트의 무료 애플리케이션 설치 프로그램 내에 숨겨져 있을 수 있습니다. 옵션을 검토하지 않고 설치 프로세스를 서두르는 사용자는 자신도 모르게 시스템에 OneBrowser가 설치되도록 허용할 수 있습니다.
• 가짜 소프트웨어 업데이트: 브라우저, 미디어 플레이어 또는 기타 소프트웨어에 필요한 패치를 제공한다고 주장하는 사기성 업데이트 메시지를 받으면 비밀리에 OneBrowser가 대신 설치될 수 있습니다.
• 사기성 광고: 무료 서비스, 경품, 성능 향상을 약속하는 사기성 광고를 클릭하면 의도치 않게 침입형 소프트웨어가 다운로드될 수 있습니다.
• 침해된 웹사이트: 신뢰할 수 없는 특정 사이트를 방문하면 원치 않는 브라우저 확장 프로그램을 설치하거나 브라우저 설정을 수정하려는 자동 스크립트가 실행될 수 있습니다.

브라우저 하이재커에 대한 방어 강화

OneBrowser와 같은 PUP에 대한 위험을 최소화하기 위해 사용자는 다음을 포함한 사전 보안 조치를 취해야 합니다.

• 신중한 소프트웨어 설치 : 소프트웨어를 설치하는 동안 항상 '사용자 지정' 또는 '고급' 설정을 선택하여 번들 혜택을 식별하고 거부하세요.
• 의심스러운 광고 및 링크 피하기 : 알 수 없는 출처의 팝업이나 홍보 콘텐츠를 클릭하지 마세요. 이로 인해 사기성 다운로드가 발생할 수 있습니다.
• 소프트웨어 최신 상태 유지 : 가짜 업데이트 사기에 걸리지 않으려면 브라우저와 필수 소프트웨어가 공식 출처에서만 업데이트되었는지 확인하세요.
• 신뢰할 수 있는 보안 도구 사용 : 실시간 보호 기능을 갖춘 보안 소프트웨어는 승인되지 않은 브라우저 수정을 감지하고 방지하는 데 도움이 될 수 있습니다.
• 확장 프로그램 및 설정을 정기적으로 검토하세요 . 설치된 브라우저 확장 프로그램을 주기적으로 확인하고, 승인되지 않은 변경 사항이 감지되면 브라우저 설정을 재설정하세요.

주의를 기울이고 이러한 보안 방법을 구현함으로써 사용자는 침입적인 브라우저 하이재커로부터 자신을 더 잘 보호하고 검색 환경을 제어할 수 있습니다.

분석 보고서

일반 정보

Family Name:	OneBrowser
Signature status:	Self Signed

Known Samples

i

Known Samples

This section lists other file samples believed to be associated with this family.

MD5: e810fdd67f792f51677eb41147031d1e SHA1: 64eaeeb21a0a88ecde826f57305af566909e8c97 SHA256: 6E1F84E3B1A1681C7FD2E643130433DBA9E12D442A433B0FC714E9FFC84D7FD0 파일 크기: 6.77 MB, 6766600 bytes

MD5: 04871138a46b1e55c4898530c95be835 SHA1: cde11f7d08536e148b8c70182cb66a389200f9d8 SHA256: DF1B14CCD5D08C61E8BB2327D1AF264E09D7274C49F21D84E6141209875ACF71 파일 크기: 15.37 KB, 15368 bytes

MD5: 952071dcb852425349ad191050699518 SHA1: b5825f3a889b9e1b0cf380230158ca16f62184c1 SHA256: 0055AE7323E8FBC5FAD5FC3E651929DEBF6EBB82D2CF3C885C71ED03E4E8A336 파일 크기: 4.25 MB, 4251144 bytes

MD5: 0eb3d14380dd71d54dff49a641b48036 SHA1: 7f06413aa0b71f815e49f63944d84cf7e0c926a8 SHA256: 1A2E843630CE3CF0AB4FCEC4D4A259FEFD792EF2C0BB108A1E658B23CA5F781A 파일 크기: 4.07 MB, 4070408 bytes

MD5: c5f5c43c21d5e96466bc89f636369faa SHA1: 76ff31a1625519f9cfe7e950abfb80412f4c2918 SHA256: A40D4C0285751682187667B96CDB9C2ED036FD4C275B05B07BA41E3F6C8ECFBF 파일 크기: 12.82 KB, 12816 bytes

Show More

MD5: 9d99e2bb05e6983e4c9d8d0d1384b29f SHA1: bb4f803c2dc0c75657c6683bf4b53d3bede9e3c6 SHA256: 7169C12461282FFD238DFAC0908F48680E479894187A64D0EA574FBA900FA8AA 파일 크기: 103.84 KB, 103840 bytes

MD5: 4cacef2c307a98bb584b065485f6419d SHA1: 0624e96b1303911965f4857b146f75d2965a0fe2 SHA256: FAF7AB545E70A97E5BCC3C58A98962D27C91AA96E8AE0994CF27AD5E5D964917 파일 크기: 12.82 KB, 12816 bytes

MD5: 421111e2e972c2dc02509565dfe58b9a SHA1: 0ca767ac8acb598cdedd6ad711234ab74f68389c SHA256: 7016BD65896DA09D15CDA98C974D9F7AEA9F7A1EC1B8BA89BBA6B6E024DCE6E9 파일 크기: 104.35 KB, 104352 bytes

MD5: 483f9c126954a555c10f26f976a32f50 SHA1: 33eba8b9ed316a3718b90e72d37819986d249b9a SHA256: 64EC17CF92438D0A961CC67B367E5D3F499DCD4E90A3239D81B685D18E80AD8E 파일 크기: 3.31 MB, 3309584 bytes

MD5: 48d3eb964fd9b62572d77e98a8a6aa15 SHA1: 649e71c6405a5f4ba101c7cd50f336492d8438b3 SHA256: 40BBF1D5AE1CF313AA31467BDB51F3A7D1D412BF3A5C262D6AB481F089D887C5 파일 크기: 12.82 KB, 12816 bytes

MD5: dba03ab3be9f17a389166b7369e2acc4 SHA1: 57e9c9c3b26315504cddbcb43f9d54722505ec4d SHA256: 48AC6CC9978B7F63F23D6420F76BBCAC97243D16D19C25C9D5ADCA47FBF587A3 파일 크기: 91.66 KB, 91664 bytes

MD5: 78c66c9be1bef8db266c0dfca55640ae SHA1: 3d7ec646ef62f1ccf613da86163db98a2cf5a856 SHA256: 55EDBBE4767D8375CE732893478CA78FAF0B3C2CE44E169AD18E55C66533B03D 파일 크기: 4.25 MB, 4251144 bytes

MD5: a36f5d837ad1411aadd1d051564a07b7 SHA1: cbdaea221176488c5d69fbe8ebc869b59c4a5ab0 SHA256: B44B6C273DA470D8BC9A6D21501CCCD7E32DA794A91F02EB2F0A7428F2F7E510 파일 크기: 6.84 MB, 6839816 bytes

MD5: 5aa120ee57bf8dbe30e78ced9d1c7e0f SHA1: b60364cde63fc62fd33cd4b782926f33f7d6d126 SHA256: 9BEC78B77027742A72E215AC24775F7CC27930987333D47C60A6BD953A3F58C9 파일 크기: 6.85 MB, 6854152 bytes

MD5: b912ff7b2e3bafff09e790b5c6325034 SHA1: 9ca5c68665f67646d361349af0b48332e69b28a4 SHA256: 58593A82A2E26D37CF4752985CD38B4DCD1E15720664E0C4A45E9D18C2EB7C94 파일 크기: 15.37 KB, 15368 bytes

Windows Portable Executable Attributes

i

Windows Portable Executable Attributes

This section lists file attributes found within family samples. These attributes are extracted from the files’ Windows PE (Portable Executable) specification and various system flags. Portable Executable Attributes give malware researchers insight into a file’s functionality, executable details, platform and runtime environment.

• File doesn't have "Rich" header
• File doesn't have exports table
• File has exports table
• File has TLS information
• File is 32-bit executable
• File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
• File is either console or GUI application
• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed

Show More

• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

File Icons

i

File Icons

This section displays icon resources found within family samples. Malware often replicates icons commonly associated with legitimate software to mislead users into believing the malware is safe.

Windows PE Version Information

i

Windows PE Version Information

This section displays values and attributes that have been set in the Windows file version information data structure for samples within this family. To mislead users, malware actors often add fake version information mimicking legitimate software.

이름	값
Company Name	Chickadee Digital, LLC WORK PRODUCT, INC. Work Product Inc.
Company Short Name	Chickadee Digital, LLC WORK PRODUCT, INC. Work Product Inc.
File Description	OnBr Installer OnBsr Installer OneB Browser Setup OneBrowser OneBrowser Installer
File Version	137.0.7151.69 115.0.5790.171 109.0.5414.120 1.3.81.10 1.3.80.10
Internal Name	chrome_wer_dll eventlog_provider_dll OneB Browser Setup OneBrowser Installer setup
Last Change	0b41cf178df5ebd22252d11719fe2d784d31c266-refs/branch-heads/7151@{#1874} 168eebf2055fd26ca8c71787b7b3f9fe7c90d13d-refs/branch-heads/5414@{#1459} cf9067bf10d8f798c24643029af1d24e275646d6-refs/branch-heads/5790@{#1924}
Legal Copyright	Copyright 2023 Chickadee Digital, LLC. All rights reserved. Copyright 2023 WORK PRODUCT, INC. All rights reserved. Copyright 2025 WORK PRODUCT, INC. Copyright 2025 WORK PRODUCT, INC. All rights reserved. Copyright 2025 Work Product Inc. All rights reserved. Copyright 2026 Work Product Inc. Copyright 2026 WP Inc. All rights reserved.
Official Build	1
Original Filename	chrome_wer.dll eventlog_provider.dll OBUpdateService.exe OneBUpdateService.exe
Product Name	OnBr Installer OnBsr Installer OneB Browser Upgrader OneBrowser OneBrowser Update
Product Short Name	OnBr Installer OnBsr Installer OneBrowser
Product Version	137.0.7151.69 115.0.5790.171 109.0.5414.120 1.3.81.10 1.3.80.10

Digital Signatures

i

Digital Signatures

This section lists digital signatures that are attached to samples within this family. When analyzing and verifying digital signatures, it is important to confirm that the signature’s root authority is a well-known and trustworthy entity and that the status of the signature is good. Malware is often signed with non-trustworthy “Self Signed” digital signatures (which can be easily created by a malware author with no verification). Malware may also be signed by legitimate signatures that have an invalid status, and by signatures from questionable root authorities with fake or misleading “Signer” names.

Signer	Root	Status
Work Product Inc.	GoGetSSL G4 CS RSA4096 SHA256 2022 CA-1	Self Signed
WORK PRODUCT, INC.	SSL.com EV Code Signing Intermediate CA RSA R3	Self Signed
Chickadee Digital, LLC	Sectigo Public Code Signing Root R46	Root Not Trusted

Block Information

i

Block Information

During analysis, EnigmaSoft breaks file samples into logical blocks for classification and comparison with other samples. Blocks can be used to generate malware detection rules and to group file samples into families based on shared source code, functionality and other distinguishing attributes and characteristics. This section lists a summary of this block data, as well as its classification by EnigmaSoft. A visual representation of the block data is also displayed, where available.

Total Blocks:	4
Potentially Malicious Blocks:	0
Whitelisted Blocks:	2
Unknown Blocks:	2

Visual Map

0 ? ? 0

0 - Probable Safe Block
? - Unknown Block
x - Potentially Malicious Block

Similar Families

i

Similar Families

This section lists other families that share similarities with this family, based on EnigmaSoft’s analysis. Many malware families are created from the same malware toolkits and use the same packing and encryption techniques but uniquely extend functionality. Similar families may also share source code, attributes, icons, subcomponents, compromised and/or invalid digital signatures, and network characteristics. Researchers leverage these similarities to rapidly and effectively triage file samples and extend malware detection rules.

• Agent.AN
• Kryptik.CBX
• Kryptik.CBXA
• OneBrowser.A
• Trojan.Agent.Gen.AJG

Show More

• Trojan.Agent.Gen.APA
• Trojan.Agent.Gen.SX
• Trojan.Kryptik.Gen.COR
• Trojan.ShellcodeRunner.Gen.FF

Files Modified

i

Files Modified

This section lists files that were created, modified, moved and/or deleted by samples in this family. File system activity can provide valuable insight into how malware functions on the operating system.

File	Attributes
c:\users\user\downloads\72fa0ff3_obupdate.conf	Generic Write,Read Attributes

Registry Modifications

i

Registry Modifications

This section lists registry keys and values that were created, modified and/or deleted by samples in this family. Windows Registry activity can provide valuable insight into malware functionality. Additionally, malware often creates registry values to allow itself to automatically start and indefinitely persist after an initial infection has compromised the system.

Key::Value	데이터	API Name
HKLM\software\wow6432node\onebrowser::hb		RegNtPreCreateKey
HKLM\software\wow6432node\onebrowser::72fa0ff3_installid		RegNtPreCreateKey

Windows API Usage

i

Windows API Usage

This section lists Windows API calls that are used by the samples in this family. Windows API usage analysis is a valuable tool that can help identify malicious activity, such as keylogging, security privilege escalation, data encryption, data exfiltration, interference with antivirus software, and network request manipulation.

Category	API
Network Wininet	HttpOpenRequest HttpSendRequest InternetConnect InternetOpen InternetQueryOption InternetReadFile InternetSetOption
Anti Debug	NtQuerySystemInformation
Network Winhttp	WinHttpOpen
Syscall Use	ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtClose ntdll.dll!NtCreateFile ntdll.dll!NtCreateSection ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenProcessToken ntdll.dll!NtQueryAttributesFile Show More ntdll.dll!NtQueryDebugFilterState ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationToken ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtReadFile ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationFile ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWriteFile
Process Manipulation Evasion	NtUnmapViewOfSection
Process Shell Execute	CreateProcess
Service Control	OpenSCManager OpenService
Network Winsock2	WSAStartup
Network Winsock	accept bind closesocket connect freeaddrinfo getaddrinfo getpeername getsockname recv send Show More setsockopt socket
Encryption Used	CryptAcquireContext
User Data Access	GetUserName

Shell Command Execution

i

Shell Command Execution

This section lists Windows shell commands that are run by the samples in this family. Windows Shell commands are often leveraged by malware for nefarious purposes and can be used to elevate security privileges, download and launch other malware, exploit vulnerabilities, collect and exfiltrate data, and hide malicious activity.

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\cde11f7d08536e148b8c70182cb66a389200f9d8_0000015368.,LiQMAxHB

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\76ff31a1625519f9cfe7e950abfb80412f4c2918_0000012816.,LiQMAxHB

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\bb4f803c2dc0c75657c6683bf4b53d3bede9e3c6_0000103840.,LiQMAxHB

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\0624e96b1303911965f4857b146f75d2965a0fe2_0000012816.,LiQMAxHB

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\0ca767ac8acb598cdedd6ad711234ab74f68389c_0000104352.,LiQMAxHB

Show More

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\649e71c6405a5f4ba101c7cd50f336492d8438b3_0000012816.,LiQMAxHB

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\57e9c9c3b26315504cddbcb43f9d54722505ec4d_0000091664.,LiQMAxHB

C:\WINDOWS\SysWOW64\rundll32.exe C:\WINDOWS\system32\rundll32.exe c:\users\user\downloads\9ca5c68665f67646d361349af0b48332e69b28a4_0000015368.,LiQMAxHB