AppData의 bin.exe 경로, 사용자 Run 값과 일치

사용자 데이터 폴더에 기록된 bin.exe의 경로가 레지스트리 Run 값에도 들어 있었다. 한 샌드박스에서는 폴더명이 C1DC2400, 다른 보고서에서는 D74ACD95였지만, 각 보고서 안에서는 파일 기록 위치와 자동 실행 설정의 대상이 맞물렸다. 이 관계는 무엇을 보여 주는가. 단순히 파일을 남긴 것인지, 다음 로그온을 위한 실행 지점을 마련한 것인지가 이 표본을 이해하는 첫 번째 질문이다. CTX Threat Intelligence가 확보한 분석 자료는 후자의 해석을 뒷받침한다. 세 샌드박스 보고서에서 사용자별 AppData 아래 실행 파일 기록과 그 경로를 가리키는 Run 값이 함께 확인됐다. 같은 표본의 네트워크 기록에는 두 .pw 도메인의 동일한 URL 경로로 향하는 HTTP POST 요청도 있었다. 핵심은 자동 실행 설정과 외부 요청이 구체적인 경로로 남았다는 점이다.