AppData 자식 파일 실행 확인, 다운로드 출처는 미확인

7,168바이트짜리 .NET 실행파일의 샌드박스 기록에서, 사용자 AppData 아래에 저장된 별도 실행파일이 원본의 자식 프로세스로 나타났다. 그 자식은 임시 폴더의 .tmp 파일을 다시 자식 프로세스로 두고 있었다. 같은 분석 보고서에는 AdsShow.exe를 요청하는 웹 통신도 담겼다. 작은 프로그램이 다른 실행파일로 작업을 넘겼다는 것은 확인할 수 있지만, 웹에서 요청한 파일이 바로 그 자식이었을까. CTX Threat Intelligence가 검토한 기록은 이 두 질문에 서로 다른 수준의 답을 준다. 디스크에 남은 PE 실행파일과 실제 자식 프로세스는 경로로 연결된다. 반면 다운로드 URL의 응답 내용과 자식 파일을 잇는 증거는 없다. 이 사례의 핵심은 완성된 다운로드·실행 사슬이 아니라, 별도 실행파일로 이어지는 프로세스 관계는 확인됐고 그 파일의 공급 경로는 아직 분리돼 있다는 점이다. 이를 구분하면 최초 파일뿐 아니라 무엇을 함께 조사해야 하는지도 구체적으로 달라진다