문서 이름으로 남은 PE, 실행파일과 해시 일치

엑셀 문서를 분석한 샌드박스에서 System.doc라는 파일이 기록됐지만, 실제 형식은 워드 문서가 아니라 윈도 실행파일이었다. 같은 보고서에는 사용자 프로필 아래 .templates 폴더에서 동작하는 System Manager.exe 프로세스와 offlineearthquake.com으로 향하는 HTTP 요청도 남았다. 문서처럼 보이는 파일, 실행 중인 프로그램, 외부 도메인은 어디까지 하나의 동작으로 연결할 수 있을까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 파일 이름이 아니라 내용의 일치다. 엑셀 분석 중 드롭된 파일의 SHA-256은 별도로 분석된 System Manager 실행파일과 정확히 같았다. 그 실행파일의 독립 분석에서도 동일한 도메인의 /download 경로로 요청한 기록이 확인됐다. CTX Team은 이를 문서와 실행파일 사이의 배치 관계, 그리고 두 분석에서 공통으로 사용된 네트워크 목적지를 보여 주는 근거로 평가한다.