SysWOW64에 생성된 파일, 같은 해시로 서비스 문맥에서 실행

C:\Windows\SysWOW64\1085580a라는 확장자 없는 파일이 생성됐고, 같은 경로와 같은 해시를 가진 실행 이미지가 services.exe를 부모로 실행됐다. 이 관계는 낯선 파일명이 발견됐다는 사실보다 중요하다. 파일이 실제 실행 대상으로 쓰였음을 보여 주기 때문이다. 그렇다면 이 실행 파일은 무엇을 하려 했을까. 같은 표본의 샌드박스 보고서에는 두 .xyz 도메인 아래의 TXT 레코드를 웹 요청으로 조회한 흔적도 있다. 다만 파일 실행과 개별 네트워크 요청을 하나의 프로세스 활동으로 묶는 증거는 별도로 따져야 한다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적인 발견은 Windows 시스템 디렉터리에 생성된 실행 파일의 서비스 문맥 실행과, 리졸버를 통한 여러 종류의 DNS 정보 조회다. 전자는 파일 생성·프로세스 생성 기록으로, 후자는 요청 주소·레코드 유형·응답 메타데이터로 뒷받침된다.