AEDT.zip에서 나온 실행파일, 별도 분석 EXE와 해시 일치

AEDT.exe의 샌드박스 분석에서 서로 다른 IP 주소를 향한 HTTPS POST 요청 세 건이 기록됐다. 목적지는 443이 아닌 5938·9785·2221번 포트였고, 요청 경로는 앱 삭제나 대화 설정 변경을 가리키는 API처럼 보였다. 그러나 제시된 세 응답은 모두 HTTP 502였다. 이 기록은 무엇을 뜻하며, 별도로 분석된 AEDT.zip과는 어떻게 연결될까. CTX Threat Intelligence가 확보한 자료에서 가장 강한 연결은 이름이 아니라 파일 내용과 실행 관계다. ZIP을 분석한 Zenbox 보고서에는 압축 해제로 생성된 실행파일의 해시, 그 파일을 시작한 프로세스, 별도 실행파일 분석과 겹치는 네트워크 목적지가 함께 남았다. CTX Team은 이를 같은 실행파일의 포장 형태와 실행 시 관찰을 연결하는 근거로 평가한다. 반면 API처럼 보이는 경로와 서버 응답만으로 명령 수행이나 데이터 수신 성공까지 입증되지는 않는다.