엑셀이 실행한 파일, 이름 바꿔 Run 값에도 연결

엑셀 문서를 실행한 샌드박스에서 EXCEL.EXE의 자식으로 사용자 Templates 폴더의 실행파일이 나타났다. 그 하위 프로세스 트리에는 이름이 다른 Hjimages.exe가 있었지만, 기록된 해시는 두 실행파일의 내용이 같음을 보여 줬다. 같은 분석 자료에는 실행파일을 요청한 웹 주소와 별도의 원격 접속 설정도 남았다. 문서에서 시작된 실행은 어디로 이어졌으며, 두 원격 호스트는 각각 어떤 역할을 했을까. CTX Threat Intelligence가 검토한 기록은 이 질문에 서로 다른 강도의 답을 제공한다. www.bagsrad.com에는 실행파일 경로를 대상으로 한 HTTP GET 요청이 있었다. 반면 mirrowingviewnet.ydns.eu:5203은 메모리에서 추출한 Warzone 설정에 포함됐고, 해당 이름의 DNS 응답과 같은 주소·포트로 향하는 트래픽까지 확인됐다. 전자는 실행파일 제공처 후보이며, 후자는 설정과 실제 통신 관찰이 맞물리는 원격 엔드포인트다.