드롭 파일의 해시 일치로 확인한 두 악성 표본의 전달 관계

한 실행 파일을 분석한 샌드박스에서 C:\uflt72e\ba4q0elt.exe가 드롭됐고, 그 파일의 SHA-256은 별도로 분석된 다른 악성 표본과 일치했다. 두 표본의 분석에서는 같은 HTTP 주소로 보내는 POST 요청도 기록됐다. 단순히 의심스러운 서버 하나를 공유하는 파일들일까, 아니면 한쪽이 다른 쪽의 코드를 전달하는 관계일까. CTX Threat Intelligence가 검토한 자료는 후자에 더 구체적인 근거를 제공한다. 두 샌드박스가 첫 표본에서 동일한 내용의 두 번째 표본이 드롭됐다고 기록했다. 두 번째 표본에서는 메모리에서 추출한 C2 설정과 실제 HTTP 요청의 전체 URL이 맞아떨어졌고, 임시 디렉터리의 실행 파일을 로그온 시 시작하도록 지정하는 레지스트리 변경도 확인됐다. 이 사례의 핵심은 악성코드 이름의 유사성이 아니라, 파일 내용의 동일성으로 확인한 전달 관계에 통신과 실행 유지 설정이 더해진다는 점이다.