해시로 연결된 스크립트와 실행 파일, 서로 다른 로그온 설정

자바스크립트 분석에서 임시 폴더에 생성된 WindowsUpdate.exe가 별도로 분석된 실행 파일과 같은 SHA-256을 가진 것으로 확인됐다. 이 연결은 파일 이름이 주는 인상보다 중요하다. 스크립트 분석에는 adobe.js를 실행하는 프로세스와 자동 시작 설정이, 해당 실행 파일의 분석에는 WindowsUpdate라는 로그온 작업을 만드는 명령이 기록돼 있다. 서로 다른 이름으로 나타난 이 흔적들은 어디까지 하나의 작동 구조로 설명할 수 있을까. CTX Threat Intelligence 자료를 검토한 CTX Team은 스크립트가 생성한 실행 파일의 내용 동일성, 스크립트와 실행 파일에 각각 연결된 로그온 실행 설정, 일부 설정 주소와 일치하는 네트워크 관찰을 확인했다. 핵심은 악성코드 이름이나 탐지 건수가 아니라 이 관계들이다. 해시는 두 파일 분석을 직접 연결하고, 프로세스 트리와 명령은 각 구성 요소의 역할을 보여 준다.