같은 파일 가리킨 Run 값, 표본 분석서 외부 HTTP 요청 확인

svchost.exe라는 이름으로 실행된 파일의 내용은 분석 대상 실행 파일과 같았고, 로그온 실행을 지정하는 레지스트리 값은 그 파일의 경로를 가리켰다. 같은 표본을 다룬 샌드박스 보고서에는 185.215.113.10으로 향하는 HTTP 요청도 남았다. 이 주소는 단순히 평판이 나쁜 서버인가, 아니면 호스트에 실행 기반을 남긴 파일과 실제 통신 관계가 있는가. CTX Threat Intelligence가 검토한 기록은 두 번째 해석을 뒷받침한다. 숫자로 된 디렉터리 아래에서 Windows 서비스 프로세스처럼 이름 붙은 실행 파일, 그 위치를 지정한 Run 값, 해당 표본의 분석에서 관찰된 외부 요청이 함께 확인된다. 다만 이 연결이 보여 주는 것은 악성 행위 분석과 결부된 접속 대상이라는 역할이다. 서버가 명령을 보냈거나 파일이 이를 받아 실행했다는 결론까지 나아갈 응답 내용은 없다. 핵심은 주소의 평판보다 연결의 구체성에 있다.