제거 요청의 식별자, 로컬 ComMaster 값과 일치

uninst.exe의 샌드박스 분석에서 s.ludashi.com/pc_all로 향하는 HTTP GET 요청이 기록됐다. 요청은 type=uninstall, action=start, app=c_disk_clean을 담고 있었다. 제거 프로그램이라는 파일명과 맞아떨어지는 내용이다. 그러나 이 통신을 이해하는 데 더 중요한 단서는 별도로 있었다. URL의 mid2 매개변수가 같은 분석 보고서에 기록된 ComMaster\m2 레지스트리 값과 정확히 일치했다. 제거 시작을 알리는 요청에 로컬 상태를 연결할 수 있는 값이 포함된 것이다. 이 관계는 한 보고서에만 나타나지 않았다. 서로 다른 샌드박스 보고서에서 식별자 값과 DNS 응답 주소는 달랐지만, 각 보고서 안에서는 레지스트리 값과 요청 매개변수의 대응이 유지됐다. 그렇다면 이 통신은 원격 명령을 받는 채널인가, 제품의 제거 동작을 보고하는 기능인가.