임시 파일로 실행된 자식, 다른 경로를 자동 시작에 등록

software.exe가 임시 폴더에 만든 avto1.exe는 단순히 저장된 파일로 끝나지 않았다. 샌드박스의 프로세스 트리에서는 원본 실행 파일의 자식으로 나타났고, 같은 프로세스 ID를 가진 레지스트리 이벤트에서는 C:\Windows\svw.exe를 가리키는 자동 시작 값을 설정했다. 하나의 실행 파일 주변에 등장한 여러 EXE는 서로 어떤 관계였을까. 이 사례의 핵심은 파일 수가 아니라, 파일 생성과 실행, 다음 실행을 위한 설정 사이에 남은 연결이다. CTX Threat Intelligence가 검토한 기록은 여러 실행 파일을 배치하고, 그중 일부가 Windows 디렉터리의 별도 경로를 자동 시작 대상으로 등록하는 구조를 보여 준다. 특히 임시 폴더의 구성요소가 설정을 쓰는 주체이고, Windows 디렉터리의 파일은 그 설정이 가리키는 대상이라는 역할 구분이 중요하다.