방화벽 규칙 삭제 대상, 서비스 이름과 일치

netsh.exe에 전달된 삭제 대상은 upWire와 wire라는 두 방화벽 규칙이었다. upWire 표본의 샌드박스 분석 보고서에는 이 이름을 각각 지정한 명령 실행이 기록돼 있다. 별도로 보고된 서비스 레지스트리 위치에도 같은 이름이 등장한다. 단순한 ‘방화벽 변경’ 경보보다 구체적인 질문을 던지는 조합이다. 이 명령은 보안 장벽을 낮추려는 동작이었을까, 아니면 관련 소프트웨어 구성요소를 정리하는 작업이었을까. CTX Threat Intelligence 자료에서 가장 분명하게 확인되는 것은 두 이름을 겨냥한 방화벽 규칙 삭제 시도와, 그 이름에 대응하는 서비스 흔적이다. CTX Team은 이 대응 관계가 서비스 중심으로 구성된 소프트웨어의 유지관리라는 해석을 뒷받침한다고 평가한다. 다만 삭제 명령의 목적이나 결과까지 정해 주지는 않는다. 이 사례의 핵심은 악성 여부를 하나의 경보로 판정하는 데 있지 않다.