이름 달라도 내용 같은 C# 소스, MSBuild 아래 크롬 실행

윈도 .NET 빌드 도구인 MSBuild.exe 아래에서 크롬이 실행됐다. 명령줄에는 화면 없이 동작하는 --headless, 원격 디버깅 포트 9223, 기존 크롬 사용자 데이터 경로와 Default 프로필을 지정하는 옵션이 함께 있었다. 샌드박스에서 분석된 실행 파일은 왜 빌드 도구를 호출하고, 그 도구 아래에 브라우저를 실행했을까. CTX Threat Intelligence가 검토한 기록은 이 질문을 단순한 의심 프로세스 탐지보다 구체적으로 좁혀 준다. 분석 대상은 C# 소스 파일을 생성하고 .NET 컴파일러를 호출했다. 별도의 네트워크 증거에서는 메모리에서 추출한 명령제어(C2) 설정의 IP·포트와 실제 트래픽 목적지가 일치했다. 다른 호스트에서는 실행 파일 경로에 대한 HTTP 요청과 200 응답도 기록됐다. 핵심은 이들을 하나의 완성된 공격 순서로 묶는 데 있지 않다.