같은 파일의 웹 요청은 반복됐지만 응답 결과는 달랐다

area.wthelpdesk.com의 여러 .htm 경로를 향한 요청에 서버가 서로 다른 답을 내놓았다. 한 샌드박스 보고서에는 ‘찾을 수 없음’을 뜻하는 HTTP 404가, 다른 보고서에는 리디렉션을 나타내는 302와 정상 응답 코드 200이 기록됐다. 분석 대상은 같은 실행 파일이었다. 이 차이는 악성 파일의 통신 기능이 작동했다는 뜻일까, 아니면 파일이 찾던 주소에서 더 이상 의도한 서비스를 만나지 못했다는 뜻일까. CTX Threat Intelligence가 검토한 자료에서 가장 분명한 발견은 같은 파일을 다룬 세 샌드박스 보고서에 동일한 호스트를 향한 웹 요청이 반복해서 나타난다는 점이다. 각 보고서에는 해당 호스트의 DNS 조회 결과와 그 주소의 TCP 80번 포트 트래픽도 함께 남았다. 단순히 파일에서 도메인 문자열을 발견한 경우보다 구체적인 연결이다.