텔레그램 시작 보고 요청에 로그온 재실행 설정까지

한 Windows 실행 파일의 샌드박스 기록에 텔레그램으로 향하는 메시지 전송 요청이 남았다. 내용은 [CLIPPER STARTED]라는 시작 알림과 실행 환경 정보였다. 같은 분석 보고서에는 이 프로그램을 로그온 때 다시 실행하도록 설정하는 레지스트리 쓰기와 예약 작업 생성 명령도 기록됐다. 단순히 외부 서비스에 접속한 프로그램인가, 아니면 자신의 시작을 알리고 다음 실행까지 준비하는 프로그램인가. CTX Threat Intelligence가 검토한 자료에서 가장 구체적으로 드러나는 것은 후자에 가깝다. 표본 #87b45bdb940b는 텔레그램 봇 API에 시작 상태를 보고하는 요청을 내보냈으며, 로컬에서는 로그온 실행 설정과 방화벽 변경, 이벤트 로그 삭제를 시도했다. 다만 메시지에 적힌 ‘클리퍼’라는 자기 설명과 실제 클립보드 조작은 구분해야 한다. 제공된 기록이 직접 보여 주는 것은 클립보드 탈취가 아니라 외부 상태 보고와 지속 실행을 위한 로컬 설정 행동이다.