실행된 자식 파일 경로, 자동 시작 서비스 대상으로도 기록

윈도 실행 파일의 자식 프로세스로 나타난 netfxperf.exe가 같은 분석 보고서의 서비스 설정에도 등장했다. 파일이 남겨진 경로, 실제 실행된 경로, 서비스가 가리키는 경로가 모두 같았다. 이 일치는 단순한 파일 생성 이상의 질문을 던진다. 표본이 한 번 실행할 프로그램을 배치한 것인가, 아니면 이후에도 실행할 수 있도록 운영체제의 시작 설정에 연결한 것인가. CTX Threat Intelligence가 검토한 기록은 서비스 기반 지속 실행을 지향하는 설정을 뒷받침한다. 별도의 샌드박스 보고서에서는 메모리에서 추출한 명령제어(C2) 설정의 주소로 HTTP POST가 전송되고 404 응답이 기록됐다. 따라서 이 사례는 의심 주소 목록에 그치지 않는다. 호스트 안에서는 실행 경로와 서비스 설정의 연결을, 네트워크에서는 설정된 목적지와 실제 요청의 연결을 보여 준다. 다만 두 연결이 입증하는 결과는 서로 다르다.