설정 속 두 도메인, 샌드박스 POST 요청 대상으로 확인

악성코드에서 추출한 설정에 들어 있던 두 도메인이 샌드박스의 HTTPS POST 요청 대상에도 나타났다. 같은 파일을 분석한 다른 보고서에서는 파일명에 붙은 문자열이 안내문 이름, 아이콘 파일, 윈도 파일 연결 레지스트리에 반복됐다. 외부 통신과 호스트 변경은 각각 무엇을 말해 주며, 어디까지 하나의 작동 방식으로 연결할 수 있을까. CTX Threat Intelligence가 검토한 자료는 이 파일의 통신 대상과 랜섬웨어성 호스트 변경을 구체적으로 뒷받침한다. 두 도메인은 단순히 실행 파일에 남아 있는 문자열에 그치지 않았다. 로컬 흔적 역시 낯선 확장자를 가진 파일 몇 개가 아니라, 해당 확장자의 표시 방식까지 함께 설정한 관계로 나타났다. 다만 외부에서 받은 명령이 파일 변경을 일으켰다는 인과관계까지 기록된 것은 아니다. 이 사례의 핵심은 그 빈틈을 가상의 공격 순서로 메우는 대신, 서로 맞물리는 관찰을 통해 각 요소의 역할을 밝히는 데 있다.