임시 배치 파일과 바로가기에 같은 스크립트 실행 명령

실행파일이 임시 폴더의 start.bat를 실행하고, 그 배치 파일을 처리하는 cmd.exe 아래에서 여러 PowerShell 프로세스가 나타났다. 그중 하나는 http://marketprice.pk/zxcvb.ps1의 내용을 가져와 명령으로 실행하도록 구성돼 있었다. 별도로 분석한 Windows 바로가기에서도 같은 PowerShell 명령과 해당 도메인의 DNS 조회가 기록됐다. 두 파일은 하나의 실행 사슬에 속한 것일까, 아니면 같은 다운로드 방식을 공유하는 것일까. CTX Threat Intelligence의 샌드박스 기록을 대조하면, 실행파일과 별도 바로가기 사이에서 확인되는 핵심 연결은 동일한 스크립트 요청·실행 명령이다. 실행파일이 바로가기들을 생성했다는 내용 식별 근거도 있지만, 그중 특정 파일이 별도 분석된 바로가기이며 실제 실행까지 이어졌다는 연결은 완성되지 않는다. 이 차이는 중요하다.