‘wifi support’ 서비스가 가리킨 임시 파일의 목적지

임시 폴더의 실행 파일을 Windows 시스템 디렉터리로 옮기는 명령과, 그 목적지를 자동 시작 서비스에 등록하는 명령이 한 표본의 분석 기록에서 함께 발견됐다. 서비스 표시 이름은 wifi support였다. 무선 네트워크 지원 기능처럼 보이는 이 이름은 실제로 어떤 파일을 실행하도록 설정됐을까. 서로 다른 샌드박스 보고서를 비교하면, 표시 이름보다 중요한 것은 임시 파일·이동 목적지·서비스 실행 경로가 맞물리는 관계다. CTX Threat Intelligence가 확보한 기록에서 표본은 시스템 디렉터리 아래 실행 파일을 배치하고 이를 서비스로 구동하려는 패턴을 반복했다. 한 보고서에는 해당 실행 파일이 services.exe의 자식으로 실행된 사실도 남아 있다. 이는 단순히 서비스 관련 문자열을 포함한 파일이 아니라, 분석 환경에서 서비스 기반 실행 구조를 구성한 표본이라는 판단을 뒷받침한다. 네트워크 기록은 그보다 좁은 결론을 허용한다.