AppData에 배치된 동일 해시 파일, 예약 작업 실행과 연결

Windows 작업 스케줄러 서비스를 실행하는 svchost.exe 아래에서 사용자 프로필의 synchost.exe가 실행됐다. CAPE Sandbox가 기록한 이 부모·자식 관계는, 해당 파일이 단순히 디스크에 남은 실행파일인지 아니면 예약 작업과 연결된 실행 대상인지를 묻게 한다. 다른 샌드박스 기록은 여기에 중요한 연결을 더한다. 그 경로에 기록된 파일의 SHA-256이 별도로 분석된 또 다른 표본과 정확히 일치했다. CTX Threat Intelligence가 검토한 자료는 두 실행파일의 관계를 파일 배치, 예약 작업 관련 실행, HTTP 통신이라는 세 측면에서 설명한다. 한 표본의 분석에서 다른 표본과 내용이 같은 실행파일이 생성됐고, 배치 경로는 작업 스케줄러 관련 기록에도 등장했다. 두 표본에서 추출된 설정의 HTTP 주소는 실제 샌드박스 POST 요청과도 일치했다.