실행 파일 아래 모인 복구 도구들, 삭제·설정 변경 시도 확인

분석 대상 실행 파일이 띄운 cmd.exe 아래에 윈도 복구 도구들이 모였다. CAPE 샌드박스의 프로세스 트리에는 섀도 복사본 삭제를 요청하는 vssadmin과 WMIC, 부팅 복구 설정을 바꾸는 bcdedit, 백업 카탈로그 삭제를 요청하는 wbadmin이 같은 명령 셸의 자식으로 기록됐다. 중요한 질문은 악성코드가 어떤 이름으로 탐지됐느냐보다 구체적이다. 이 도구들의 조합은 시스템의 어떤 복구 경로를 겨냥했으며, 실행 파일과는 어떻게 연결되는가. CTX Threat Intelligence가 확보한 자료는 그 연결을 프로세스 관계로 보여 준다. 분석 대상은 복구 방해 명령을 담은 셸을 직접 자식으로 두고 있으며, 셸 아래에서는 명령에 대응하는 도구들이 실제로 시작됐다. 같은 CAPE 보고서에는 분석 대상의 경로를 가리키는 로그인 실행 설정과, 해당 프로세스가 생성한 Restore-My-Files.txt도 있다.