브라우저 제품명 단 BR.exe, 실제로는 AutoIt 스크립트 실행

BR.exe의 자식 프로세스는 브라우저가 아니라 임시 폴더의 AutoIt3.exe였다. 실행 인수에는 Waters.a3x가 붙어 있었다. Internet Explorer라는 제품 정보를 가진 실행파일이 실제로 무엇을 실행했는지 묻는다면, 답은 제품명보다 이 명령줄에 있다. CTX Threat Intelligence가 검토한 샌드박스 기록은 이 파일이 AutoIt 인터프리터와 스크립트를 풀어 실행하는 역할을 했음을 보여 준다. 같은 표본을 분석한 두 샌드박스에서는 43.228.157.66으로 향하는 HTTP POST도 각각 기록됐다. 따라서 이 사례는 단순히 익숙한 제품명을 가진 수상한 파일에 관한 이야기가 아니다. 파일이 어떤 실행 구조를 만들었는지, 그 분석에서 나타난 외부 통신을 어디까지 연결할 수 있는지가 핵심이다. 실행파일과 스크립트의 관계는 프로세스 트리로 확인되지만, POST를 보낸 프로세스와 전송 내용은 별도로 남아 있는 질문이다.