공통 C2 설정 가진 세 파일, 같은 로그온 실행 경로 지정

윈도 자동 실행 항목에 기록된 이름은 Synaptics Pointing Device Driver였지만, 실행 대상으로 지정된 곳은 C:\ProgramData\Synaptics\Synaptics.exe였다. 이 설정은 서로 다른 세 파일의 샌드박스 이벤트에서 반복됐다. 그중 두 파일의 기록에는 Remote Data라는 서비스 이름 아래 .txt 파일을 인수로 받는 프로세스도 등장한다. 장치 드라이버를 연상시키는 이름과 텍스트 확장자는 실제 동작을 얼마나 설명해 주는가. CTX Threat Intelligence가 검토한 자료에서 세 파일을 연결하는 근거는 이름뿐이 아니다. 메모리 덤프에서 추출한 설정에 동일한 명령제어(C2) 호스트와 다운로드 주소들이 들어 있었고, 호스트 이벤트에서는 같은 자동 실행 경로가 확인됐다. CTX Team은 이를 통신 설정을 공유하는 파일군에서 로그온 실행 설정과 서비스 관련 동작이 함께 나타난 사례로 평가한다.