실행 파일의 DLL 참조, 다른 DLL의 임포트로 이어져

한 실행 파일이 요구하는 DLL 이름이 다른 파일의 임포트 목록에서도 반복된다. 제출명 spoolsrv.exe인 표본은 coli-0.dll과 trch-1.dll, tucl-1.dll의 함수를 참조하고, coli-0.dll이라는 이름으로 제출된 DLL 역시 뒤의 두 모듈을 참조한다. 이 관계는 비슷한 탐지명이 붙은 파일들의 단순한 집합보다 구체적이다. 그렇다면 이들은 함께 작동하는 도구의 부품일까, 실제로 함께 실행된 공격 도구일까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 DLL 이름과 함수 단위로 드러나는 의존 관계다. 실행 파일과 여러 DLL이 공유 모듈을 이용하도록 구성됐다는 해석을 뒷받침한다. 그러나 실행 기록이 입증하는 범위는 그보다 좁다. 임포트에 적힌 DLL 이름이 분석 대상 파일의 제출명과 일치한다는 사실과, 해당 DLL의 특정 해시가 실제 프로세스에 로드됐다는 사실은 다르다.