설치파일이 만든 ‘.Und’, PowerShell 호출 입력으로 확인

Amnesias.Und라는 파일을 읽는 PowerShell 명령이 설치 프로그램 형식의 실행파일 아래에서 발견됐다. 명령은 파일 내용을 하나의 문자열로 가져오고, 그 안에서 세 글자를 골라 호출 이름으로 사용한 뒤 전체 내용을 인수로 넘기는 구조였다. 낯선 확장자의 파일은 단순히 설치 과정에서 풀린 데이터였을까, 아니면 실행을 이어받는 코드였을까. CTX Threat Intelligence가 확보한 기록은 후자를 뒷받침한다. 한 CAPE Sandbox 분석에서 실행파일이 생성한 Amnesias.Und의 해시는 별도로 분석된 PowerShell 표본과 일치했다. 같은 보고서의 프로세스 트리에는 실행파일의 자식으로 해당 파일을 읽어 호출하는 PowerShell이 기록됐다. 이 스크립트를 독립적으로 실행한 다른 분석에서는 PowerShell이 바탕화면에 Explorer.EXE라는 실행파일을 생성했다. 핵심은 두 관찰의 연결 방식이다.