두 샌드박스 트래픽, 표본의 C2 설정 주소와 일치

임시 폴더에서 실행된 파일의 이름은 달랐지만, 두 샌드박스가 기록한 TCP 목적지는 겹쳤다. Zenbox와 C2AE 보고서에는 모두 218.54.31.165:11110과 218.54.31.226:11110을 향한 트래픽이 남아 있다. 두 IP는 해당 표본에서 추출된 설정에도 명령제어(C2) 주소로 등장한다. 실행 환경마다 달라진 파일명보다, 설정과 실제 트래픽 사이의 일치가 이 표본을 이해하는 더 단단한 연결점일까. CTX Threat Intelligence가 검토한 자료는 그렇다는 판단을 뒷받침한다. 두 주소는 단지 파일 안에 들어 있던 문자열이나 평판 조회 대상이 아니다. 추출 설정에 기재됐고, 서로 구분되는 두 샌드박스 보고서에서 같은 포트의 목적지로 관찰됐다. 로컬에서는 임시 실행파일의 생성·실행과 그 경로를 가리키는 레지스트리 값도 확인된다. 다만 이 두 종류의 관찰이 곧바로 “자동 실행된 자식 프로세스가 C2 명령을 받았다”는 하나의 완성된 사건을 뜻하지는 않는다.