큰 설치 파일이 남긴 update.exe, 자식 프로세스로도 확인

setup.exe의 자식으로 update.exe가 실행되고, 그 아래에는 임시 폴더의 update.tmp가 나타났다. 이름만 보면 설치 프로그램이 업데이트를 처리하는 모습이다. 그러나 샌드박스가 기록한 update.exe의 내용은 별도로 분석된 다른 setup.exe 표본과 정확히 같았다. 여기서 질문은 두 파일이 비슷한 이름을 쓰는지에서, 한 설치 프로그램이 다른 설치 프로그램을 어떤 관계로 실행했는지로 바뀐다. CTX Threat Intelligence 자료를 검토한 CTX Team은 파일 생성 기록과 같은 보고서의 부모·자식 프로세스 관계를 통해 이 연결을 확인했다. 더 큰 실행 파일은 더 작은 실행 파일을 update.exe라는 이름으로 기록했고, 해당 경로는 자식 프로세스로도 등장했다. 작은 파일을 따로 실행한 분석에서는 큰 파일의 실행 중 나타난 것과 내용이 같은 임시 실행 파일까지 확인됐다.