같은 경로로 보낸 POST, 한 응답은 도메인 판매 페이지로

sw.dewbooks.com/b3/order.php로 보낸 HTTP POST 요청에 돌아온 것은 명령이 아니라 도메인 판매 페이지로 이동하라는 응답이었다. 같은 파일을 분석한 다른 기록에는 shatteredwow.com의 동일한 경로로 향하는 POST가 남아 있다. 외부 주소를 반복해서 호출하는 실행 파일과, 그 요청을 받아 다른 곳으로 돌려보내는 서버. 이 조합은 어디까지 악성코드의 통신을 보여 주며, 어디서부터는 목적지가 더 이상 기대한 역할을 하지 않는 흔적일까. CTX Threat Intelligence가 검토한 자료에서 중요한 것은 이 네트워크 요청과 함께 기록된 로컬 시작 설정이다. Lastline 보고서에는 AdobeAcrobat이라는 이름의 Run·RunOnce 항목 쓰기가 나타난다. CTX Team은 이를 외부 통신을 시도하면서 로그온 시 실행과 관련된 설정도 남기는 표본으로 평가한다. 다만 두 관찰이 입증하는 범위는 다르다.