upWire의 방화벽 규칙 삭제 명령, 별도 파일의 서비스 이름과 겹쳐

upWire 표본의 샌드박스 분석에서 Windows 방화벽 규칙 두 개를 삭제하도록 지시한 명령이 기록됐다. 대상 이름은 upWire와 wire였다. 이 명령은 방화벽 전체를 끄려는 시도였을까, 아니면 특정 소프트웨어의 네트워크 설정을 정리하는 동작이었을까. 차이는 중요하다. 삭제 대상이 허용 규칙인지 차단 규칙인지에 따라 실제 통신에 미치는 영향부터 달라지기 때문이다. CTX Threat Intelligence가 검토한 기록에서 가장 구체적으로 확인되는 것은 높은 무결성 수준의 netsh.exe 프로세스가 특정 이름의 방화벽 규칙 삭제 명령으로 생성됐다는 사실이다. 별도 wire.exe 표본에는 wire 서비스 경로가 보고됐고, 두 파일에는 같은 발급 대상의 코드 서명 인증서가 기록돼 있다. 따라서 규칙 이름은 다른 파일의 서비스 흔적과 대조할 수 있는 단서다. 다만 이 관계가 곧 두 파일의 공동 실행이나 방화벽 무력화를 뜻하지는 않는다.