dayroc가 드롭한 파일, 별도 분석서 재실행 설정 확인

임시 폴더에 기록된 실행파일 하나가 별도 분석에서는 C:\Windows\rss\csrss.exe라는 경로와 연결됐다. 그 경로는 프로세스 실행 기록뿐 아니라 예약 작업의 실행 대상, 사용자 로그온 설정, 방화벽 허용 명령에도 반복해서 등장한다. 단순히 시스템 프로세스와 비슷한 이름을 쓴 파일일까, 아니면 같은 실행 대상을 계속 유지하려는 구성일까. CTX Threat Intelligence가 검토한 기록은 두 번째 해석을 뒷받침한다. dayroc.exe로 식별된 표본의 VMRay 보고서에는 별도 분석 대상과 SHA-256이 같은 실행파일이 드롭돼 있으며, 그 드롭 경로의 프로세스도 기록돼 있다. 별도 파일의 이벤트에서는 비정상적인 Windows 하위 경로의 실행파일을 다시 시작하도록 하는 설정이 확인된다. 네트워크 쪽에서는 dayroc 표본의 통신 목적지가 다른 표본의 Stealc 추출 설정 및 요청·응답 탐지와 겹친다.