DLL 함수 호출 옆에 남은 로깅 값 변경, 작성 주체는 불명

DLL을 시험한 샌드박스 보고서에 Windows 로깅 관련 레지스트리 값이 0으로 설정된 기록이 남았다. 같은 보고서의 프로세스 트리에는 분석용 로더 아래에서 해당 DLL의 여러 함수를 지정한 rundll32.exe 프로세스가 나타난다. DLL 실행과 로깅 설정 변경은 어떤 관계일까. 이 둘을 연결할 수 있다면 단순한 파일 분류를 넘어 시스템 관측 기능에 영향을 주는 행동을 설명할 수 있다. CTX Threat Intelligence가 검토한 자료에서 확실한 것은 DLL을 호출한 부모·자식 프로세스 관계와 로깅 관련 레지스트리 쓰기가 각각 기록됐다는 점이다. 다만 레지스트리를 쓴 프로세스는 식별돼 있지 않다. CTX Team은 이를 로깅 기능에 대한 간섭 여부를 조사할 구체적인 단서로 평가한다. DLL이 로깅을 껐다는 결론과는 구별된다. 이 사례의 핵심은 의심스러운 사건의 수보다, 어떤 사건끼리 실제로 연결되는지에 있다.