데이터 파일로 보인 helpobj.dat, 실행 경로 끝의 DLL

임시 폴더의 helpobj.dat를 실행 대상으로 삼은 것은 rundll32.exe였다. 그 부모 프로세스는 배치 파일을 호출한 cmd.exe, 그 위에는 VBScript를 실행한 wscript가 있었다. 데이터 파일처럼 보이는 이름이 왜 이런 실행 경로의 끝에 놓였을까. CTX Threat Intelligence가 검토한 샌드박스 기록은 이 파일이 실제로는 DLL이며, 최초 실행 파일이 스크립트와 배치 파일을 거쳐 해당 DLL을 호출하는 역할을 했음을 보여 준다. 이 연결은 이름의 유사성이나 탐지 제품의 분류에만 의존하지 않는다. 하나의 분석 보고서 안에 부모·자식 프로세스 관계와 helpobj.dat의 드롭 기록이 함께 있고, 드롭된 파일의 해시는 별도로 분석된 DLL과 일치한다. 다른 분석 환경에서도 같은 DLL 내용이 같은 파일명으로 기록됐다. 따라서 이 사례의 핵심은 의심스러운 파일 여러 개가 발견됐다는 데 있지 않다.