‘.cln’으로 실행된 파일, PangYa 업데이터 표본과 해시 일치

updater_signed.exe가 실행한 자식 프로세스는 .exe가 아니라 updater_signed.cln이었다. 낯선 확장자의 별도 프로그램을 실행한 것일까, 같은 코드를 다른 이름으로 실행한 것일까. CTX Threat Intelligence가 검토한 프로세스 생성 기록은 이 질문에 구체적인 답을 준다. 실행된 .cln 파일의 SHA-256은 분석 대상인 PangYa 업데이터 표본과 같았다. 확장자는 달랐지만, 기록된 자식 프로세스의 파일 내용은 이미 식별된 업데이터와 일치했다. 이 관계만 보면 실행을 감추려는 동작처럼 보일 수 있다. 그러나 별도의 샌드박스 보고서에는 같은 표본이 패치 호스트에 업데이트 목록과 압축 파일을 요청하고, PangYa 런처 설정을 기록한 흔적도 있다. CTX Team의 판단은 이 두 관찰을 함께 읽어야 한다는 것이다. 자료는 비표준 확장자를 통한 실행과 구체적인 패치 요청 기능을 뒷받침한다.