AAct 실행 사슬에서 확인된 자기 경로 Defender 제외 시도

실행 중인 파일이 Windows 관리 도구를 호출해 자기 경로를 Defender 검사 제외 대상으로 지정했다. CTX Threat Intelligence가 검토한 CAPE 샌드박스 기록에는 program.exe가 cmd.exe를 실행하고, 그 아래에서 WMIC.exe가 제외 경로 추가를 요청하는 관계가 남아 있다. 단순히 보안 제품에 탐지된 파일이 아니라, 자신의 실행 환경에서 보안 설정을 바꾸려 한 파일이라는 점이 중요하다. 이 기록에 원격 관리 소프트웨어의 서비스 흔적까지 더해지면 질문은 커진다. 검사 제외와 원격 관리가 하나의 배포 과정으로 연결된 것일까. 현재 근거가 보여 주는 답은 그보다 구체적이고 제한적이다. AAct 관련 표본에서는 Defender 제외 시도가 프로세스 관계로 확인되며, 이번 비교 목록에 추가된 Remote Manipulator System 파일에서는 서비스 기반 원격 관리 역할을 뒷받침하는 제품 정보와 자동 시작 관련 흔적이 확인된다.