원본과 같은 PCSuite.exe, 자동 시작 경로는 달랐다

PCSuite.exe라는 이름으로 저장된 파일의 내용은 분석 대상 실행 파일과 같았다. 하지만 같은 표본의 샌드박스 기록에는 내용이 서로 다른 sta-css.exe와 stat-cpe.exe도 남았다. 하나의 실행 파일이 이름만 바꿔 존재하는 것일까, 아니면 다른 구성요소로 실행을 확장하는 것일까. 이 사례의 핵심은 파일 개수가 아니라, 그 파일들이 실행 명령과 자동 시작 설정에 어떻게 연결되는지에 있다. CTX Threat Intelligence가 확보한 기록은 두 방향의 확장을 보여 준다. 원본과 같은 내용의 PCSuite.exe가 기록되고, 사용자 로그인 시 해당 이름의 프로그램을 실행하도록 하는 레지스트리 값이 설정됐다. 다른 한편으로는 별도 실행 파일, rundll32.exe가 호출하는 로컬 DLL, 임시 배치 파일을 실행하는 명령 셸이 확인됐다. CTX Team은 이를 원본 실행 파일 하나에 머물지 않는 구성요소 배치와 지속 실행 지향의 구조로 평가한다.