원본에서 갈라진 두 실행파일, 해시로 추적한 배치 경로

한 실행파일을 분석한 CAPE 샌드박스에서 임시 폴더의 1.exe와 2.exe가 각각 자식 프로세스로 나타났다. 그런데 두 파일의 활동은 같은 이름으로 끝나지 않았다. 1.exe 아래에는 TiWorker.exe 프로세스가 기록됐고, 2.exe가 생성한 파일은 svhost.exe였다. 이들은 서로 다른 기능을 맡은 구성요소일까, 아니면 이름만 바뀐 같은 파일일까. CTX Threat Intelligence가 검토한 기록은 파일 해시와 프로세스 관계를 통해 이 질문의 상당 부분에 답한다. 원본 실행파일은 내용이 다른 두 실행파일을 임시 경로에 배치했다. 한쪽은 시스템 프로세스를 연상시키는 이름으로 실행됐고, 다른 쪽은 별도 분석에서 사용자 시작프로그램 폴더에 동일한 내용으로 배치돼 그 경로의 프로세스까지 관찰됐다. 핵심은 의심스러운 이름의 개수가 아니라, 두 종류의 파일 내용이 어떤 경로와 실행 관계로 이어지는지에 있다.