설정 속 IP, 샌드박스 통신에서도 확인…C2 성공은 미확인

메모리에서 추출한 통신 설정에 있던 IP 주소가 샌드박스의 HTTP POST 요청에서도 나타났다. 요청에 대한 기록된 응답은 404였다. 이 일치는 실행 파일이 보유한 주소 목록과 실제 분석 중 발생한 네트워크 활동을 연결한다. 그러나 설정에 명령제어(C2) 주소로 분류돼 있다는 사실과, 그 주소에서 명령을 받아 실행했다는 판단 사이에는 아직 간격이 있다. 이 사례의 핵심은 그 간격을 어디까지 좁힐 수 있느냐다. CTX Threat Intelligence가 검토한 실행 파일에서는 설정과 네트워크 관찰이 여러 지점에서 맞물렸다. 한 샌드박스에는 설정의 네 주소와 포트가 일치하는 TCP 트래픽이 있었고, 다른 샌드박스에는 또 다른 설정 주소를 향한 구체적인 HTTP 요청과 응답이 남았다. CTX Team은 이를 단순히 통신 후보를 내장한 파일이 아니라, 분석 환경에서 그 후보 일부를 대상으로 네트워크 활동이 관찰된 표본으로 평가한다.