DLL 분석의 TCP 목적지, 추가 URL의 네 IP와 일치

DLL을 실행한 Zenbox 분석 보고서에는 94.72.104.77:13724 등 네 목적지로 향한 TCP 트래픽이 기록돼 있다. 네 IP는 이번 비교에서 추가된 URL 항목들의 주소와 정확히 겹친다. URL에는 /api/auth.revoke, /api/admin.emoji.list처럼 특정 서비스의 관리 기능을 연상시키는 경로가 붙어 있다. 그렇다면 이 DLL이 해당 API를 호출한 것일까. 기록이 뒷받침하는 답은 그보다 좁지만 중요하다. 파일의 실행을 관찰한 보고서에서 해당 주소들을 향한 트래픽이 확인됐으며, URL 경로 자체를 요청했다는 증거는 아직 없다. CTX Threat Intelligence가 검토한 자료에서 이 연결은 단순히 파일과 의심 주소를 함께 나열한 것보다 강하다. rundll32.exe가 DLL을 호출한 프로세스 트리와 구체적인 목적지 IP·포트가 한 Zenbox 보고서에 담겼기 때문이다.