Serviceamd10, 별도 XMRig 실행·동봉 드라이버 로드 확인

C:\Windows\Serviceamd10\ 아래에 실행파일과 WinRing0x64.sys, config.json이 함께 놓였고, 그 실행파일이 분석 대상의 자식 프로세스로 시작됐다. 이름만 보면 하나의 프로그램이 설치되는 모습이지만, 파일 내용과 실행 관계를 대조하면 역할이 갈린다. 처음 실행한 파일은 32비트 Visual Basic 실행파일이고, 새 경로에서 시작된 파일은 별도의 64비트 XMRig 실행파일이다. 함께 배치된 드라이버는 단순히 디스크에 남은 것일까, 실제로 로드되기도 했을까. CTX Threat Intelligence가 검토한 자료는 이 질문에 상당 부분 답한다. Serviceamd10 표본은 XMRig 실행파일을 배치하고 시작하는 런처로 동작했으며, 같은 표본의 분석 자료에는 함께 배치된 WinRing0와 내용이 일치하는 드라이버 로드 이벤트도 있다. 핵심은 ‘채굴기’라는 탐지명보다 구체적인 이 연결이다.