두 샌드박스서 같은 설정 조회형 요청…응답 내용은 미확인

같은 윈도 실행파일을 분석한 두 샌드박스에서 udo.jxwan.com의 /index/getcfg?id=59522를 향한 HTTP GET 요청이 기록됐다. 한 보고서는 요청뿐 아니라 HTTP 200 응답과 Content-Length: 3550 헤더까지 담고 있다. 이름만 보면 설정을 가져오는 기능처럼 보인다. 그러나 이 서버가 실제로 무엇을 전달했고, 실행파일이 그것을 어떻게 사용했는지는 어디까지 확인할 수 있을까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 이 요청을 중심으로 형성된다. CAPE와 Zenbox는 각각 같은 호스트의 DNS 조회와 같은 URL 요청을 기록했다. 조회 결과에 포함된 두 IP 중 하나는 CAPE의 TCP 통신 기록에, 다른 하나는 해당 URL에 대한 네트워크 탐지 이벤트에 등장한다. 단순히 실행파일 안에서 발견한 문자열이나 인프라의 외형적 유사성이 아니라, 분석 환경에서 실제 요청 대상으로 기록된 관계다.