AppPatch의 svchost.exe, 실행 기록과 로그온 설정에 같은 경로

C:\Windows\AppPatch\svchost.exe가 실행됐고, 그 부모는 다운로드 폴더에 있던 또 다른 svchost.exe였다. 프로세스 생성 기록에는 AppPatch에서 실행된 파일의 해시까지 남았다. 별도의 레지스트리 이벤트에서는 같은 AppPatch 경로가 Winlogon의 userinit 값에 추가됐다. 이 파일은 단지 Windows 프로세스처럼 보이는 이름을 쓴 것일까, 아니면 그 이름과 위치를 실행 유지에 활용하려 한 것일까. CTX Threat Intelligence가 검토한 자료는 후자의 해석을 뒷받침한다. 핵심은 파일명이 아니라, 해시로 확인되는 실행 위치와 로그온 관련 설정에 적힌 경로의 일치다. 여기에 표본 분석에서 관찰된 /login.php HTTP 요청과 목적지 주소를 확인해 주는 DNS 기록이 더해진다. 로컬에서는 시스템 프로세스로 보이려는 실행과 지속성 관련 변경이, 네트워크에서는 구체적인 웹 요청이 확인된다.