‘wire’ 서비스 흔적과 방화벽 규칙 삭제 명령이 맞물려

wire와 upWire라는 이름의 Windows 방화벽 규칙을 삭제하도록 지시한 명령이 샌드박스 기록에 남았다. 별도 파일 기록에는 wire 서비스의 레지스트리 위치가 보고됐다. 같은 이름이 서비스와 방화벽 양쪽에 등장하는 이유는 무엇일까. 이 자료에서 가장 구체적으로 드러나는 것은 특정 서버와의 통신보다, Windows의 서비스 구성과 네트워크 접근 규칙에 관여하는 소프트웨어의 역할이다. CTX Threat Intelligence가 제공한 기록에서 방화벽 명령은 upWire.exe로 제출된 파일의 분석에, 서비스 위치는 wire.exe로 제출된 다른 파일의 분석에 속한다. 두 파일은 같은 코드 서명 인증서를 사용했다. 이 연결은 함께 살펴볼 소프트웨어 맥락을 제공하지만, 하나가 다른 하나를 설치하거나 실행했다는 뜻은 아니다. 핵심은 이름과 서명이 알려 주는 관계를 실제 프로세스 이벤트가 보여 주는 행동과 구분하는 데 있다.