Open Bullet.exe의 자식 Setup.exe, 로그온 시작 파일 남겼다

Open Bullet.exe의 자식 프로세스로 임시 폴더의 Setup.exe가 실행됐다. 도구가 설치 보조 프로그램을 띄운 것처럼 보일 수 있는 기록이다. 그러나 이 자식 파일의 해시를 별도 분석 결과와 대조하면 질문이 달라진다. 도구 이름을 내건 실행파일이 실제로 함께 실행한 것은 무엇인가. CTX Threat Intelligence가 검토한 샌드박스 기록에서, 해당 Setup.exe는 explorer.exe라는 실행파일을 남기고 Windows를 연상시키는 이름의 스크립트와 실행파일을 로그온 시 시작하도록 설정했다. 외부 호스트에 대한 HTTP 요청과 네트워크 트래픽도 기록됐다. 핵심은 파일 이름의 유사성이 아니다. 부모·자식 프로세스 관계, 드롭된 파일의 해시, 레지스트리가 가리키는 경로가 서로 다른 분석 기록을 구체적으로 연결한다는 점이다. 이 사례는 2020년 샌드박스 분석을 통해 확인한 전달·실행 구조다.