엑셀 자식 실행 파일 확인…웹 요청과 C2 통신은 별개

엑셀 문서를 분석한 샌드박스에서 실행 파일을 요구하는 HTTPS 요청과 TCP 5203번 포트로 향하는 통신이 함께 기록됐다. 요청 대상은 www.bagsrad.com의 .exe 경로였지만, 메모리에서 추출한 악성코드 설정은 다른 호스트인 mirrowingviewnet.ydns.eu:5203을 가리켰다. 두 목적지는 각각 어떤 역할을 했을까. 둘을 모두 ‘악성 서버’로 묶으면, 파일을 가져오려는 요청과 실행된 코드의 제어용 통신을 구분하는 핵심 증거가 사라진다. CTX Threat Intelligence가 검토한 기록에서 두 번째 목적지는 설정에만 존재하지 않았다. CAPE와 VMRay 보고서 각각에 해당 호스트의 DNS 응답과, 그 응답 주소의 5203번 포트로 향하는 TCP 트래픽이 남았다. 반면 www.bagsrad.com에서는 실행 파일 경로에 대한 GET 요청이 확인되지만, 제공된 자료에는 응답 본문이나 내려받은 파일의 해시가 없다.