서로 다른 목적지로 향한 두 유틸리티의 유사한 활동 보고

UninstallerTray.exe의 샌드박스 기록에는 같은 웹 경로로 보내는 두 종류의 요청이 남아 있다. 하나는 type=operate&action=run, 다른 하나는 type=autoitem&action=nowork라는 값을 담았다. 프로그램 이름만 보면 제거 도구의 구성요소지만, 네트워크에서는 자신의 동작 상태를 표현하는 듯한 값을 외부에 전달한 것이다. 이 요청은 단순한 도메인 연관 정보일까, 아니면 다른 프로그램에서도 확인되는 보고 방식의 일부일까. CTX Threat Intelligence가 검토한 자료에서는 후자에 무게를 실을 구체적인 비교점이 확인된다. UninstallerTray와 WinAuthority는 서로 다른 호스트에 접속했지만, 애플리케이션 이름·모듈 버전·식별자 형태의 값·활동 상태를 담는 유사한 HTTP 요청을 보냈다. 두 실행 파일의 코드 서명에는 같은 발행자 인증서가 사용됐다.