같은 형식의 POST 받은 두 호스트, 실행파일 요청은 S3로

같은 실행파일의 샌드박스 분석에서 os.baixakialtcdn.com과 os2.baixakialtcdn.com을 향한 HTTP POST 요청이 확인됐다. 두 호스트에는 경로와 질의 매개변수가 일치하는 요청이 각각 기록됐다. 그런데 실행파일을 가져오려는 GET 요청은 이 두 곳이 아니라 별도의 S3 주소를 향했다. 두 호스트는 무엇을 제공하는 서버였을까. CTX Threat Intelligence가 검토한 기록은 이들을 설치 프로그램 동작에 수반된 통신 대상으로 연결한다. 같은 분석에는 임시 실행파일을 진행 표시 인자와 함께 호출한 명령, 설치파일 형태의 로컬 파일 쓰기, 광고 스크립트 요청도 있다. 이를 함께 보면 원격 주소 하나로 설명되는 단순한 다운로드가 아니라, 소프트웨어 요청과 설치 관련 통신, 웹 자원 요청이 구분되는 구조가 드러난다. 다만 두 POST 대상이 명령을 내렸다는 증거는 없다.