메모리 속 C2 주소와 실제 POST 경로 일치…다른 파일은 설정만

196.251.107.130으로 향한 HTTP POST가 서로 다른 샌드박스 보고서에 기록됐다. 요청 경로는 모두 /16b022998f754137b60a.php였고, 한 보고서에는 HTTP 200 응답도 남았다. 그런데 다른 실행파일에서 추출한 설정에도 같은 IP가 등장한다. 경로는 /api.php로 다르다. 두 파일은 같은 서버를 사용하는 한 공격의 구성요소일까, 아니면 주소만 겹치는 별개의 사례일까. CTX Threat Intelligence가 검토한 자료에서 가장 강하게 확인되는 사실은 한 파일의 메모리에서 추출한 통신 목적지가 실제 POST 요청의 주소·포트·경로와 일치한다는 점이다. 다른 파일은 같은 호스트를 설정에 포함하고 있으며, 별도로 자동 시작 설정과 예약 작업 생성 명령이 관찰됐다. 두 파일을 연결하는 구체적인 인프라 단서는 있지만, 한 파일이 다른 파일을 내려받거나 실행했다는 연결은 없다. 이 차이는 조사 범위를 바꾼다.