일곱 압축 파일과 PE, 크기는 맞지만 동일성은 미확인

127,394바이트짜리 ZLIB 압축 파일 안에 176,386바이트의 Windows 실행 파일이 들어 있다고 기록돼 있다. 이 압축 해제 크기는 별도로 등록된 ntmstart.exe 표본의 정확한 크기와 같다. 다른 압축 파일에서도 DLL 표본과 같은 크기가 반복된다. 서로 다른 형태로 수집된 파일들이 같은 구성요소의 압축본과 실행 가능한 원본일까. 그렇다면 실제 실행 기록에서도 그 연결이 이어질까. CTX Threat Intelligence 자료에서 확인되는 핵심은 일곱 압축 파일의 압축 해제 크기가 각각 별도 PE 파일의 크기와 일치한다는 점이다. 각 압축 파일에는 Windows 실행 형식인 PE 내용도 보고돼 있다. 이는 압축된 구성요소와 실행 가능한 파일 사이의 대응 관계를 검토할 만한 근거다. 다만 실제 실행 기록에서 확실하게 연결되는 것은 이 일곱 쌍 전체가 아니라, 일부 실행 파일과 임시 경로에 기록된 파일 활동이다.