Wextract 임시 파일, 해시와 프로세스 트리로 실행 관계 확인

IXP000.TMP 안의 실행파일이 IXP001.TMP 안의 다른 실행파일들을 자식 프로세스로 실행했다. Wextract로 표시된 표본의 샌드박스 기록에 남은 관계다. 같은 분석 보고서에는 185.161.248.73:4164를 향한 TCP 트래픽도 있다. 이 파일은 단지 여러 악성코드 이름으로 탐지된 실행파일일까, 아니면 내부 구성요소를 풀어 실행하고 특정 통신 목적지로 이어지는 포장 계층일까. CTX Threat Intelligence가 확보한 기록은 두 번째 해석을 뒷받침한다. 임시 디렉터리에 생성된 파일의 해시가 별도 분석 표본과 일치하고, 프로세스 트리가 그 파일들 사이의 실행 관계를 보여 준다. 원본과 해시로 식별된 중간 구성요소에서 추출한 설정은 같은 IP와 포트를 가리킨다. 이 목적지는 원본의 실행 분석에서도 관찰됐으며, 별도로 분석한 .NET 표본에서는 설정·TCP 트래픽·RedLine 관련 네트워크 규칙 일치가 함께 확인된다.