설정된 sa1atik.cn, DNS 조회와 목적지 트래픽에서도 확인

메모리에서 추출한 접속 설정에 있던 sa1atik.cn이 샌드박스의 DNS 조회에도 나타났다. 같은 CAPE 보고서에는 이 이름으로 조회된 IP를 향한 TCP 443번 포트 트래픽이 기록돼 있다. 설정 속 주소가 실제 네트워크 활동과 맞닿는 지점이다. 그렇다면 이 파일은 설정된 명령제어 서버와 통신한 것일까, 아니면 아직 주소를 찾고 접속하는 단계의 흔적만 남긴 것일까. CTX Threat Intelligence 자료를 검토한 결과, sa1atik.cn은 이 표본에서 설정과 실행 관찰이 가장 구체적으로 연결되는 호스트다. 메모리 덤프에서 나온 설정에는 네 호스트에 걸쳐 다섯 HTTPS 엔드포인트가 들어 있지만, 제공된 기록에서 설정된 이름과 DNS 응답, 목적지 IP·포트를 함께 대조할 수 있는 것은 이 호스트다. 다른 이름들은 인증서나 포트 구성으로 관련성을 더 살펴볼 수 있으나, 같은 수준의 통신 증거를 갖춘 것은 아니다. 이 차이는 단순히 확신의 정도를 나누는 문제가 아니다.