원본과 같은 update.exe, 재지정된 시작프로그램 폴더에 놓여

사용자 프로필 아래 AppData\Local\Start\update.exe가 기록됐다. 이름만 보면 업데이트용 실행 파일처럼 보이지만, Zenbox 분석에서 이 파일의 SHA-256은 분석 대상 실행 파일과 같았다. 같은 표본에 대한 별도의 레지스트리 이벤트에는 사용자의 시작프로그램 폴더를 AppData\Local\Start로 바꾸는 동작이 남아 있다. 왜 원본과 내용이 같은 파일이 놓인 디렉터리를 시작프로그램 위치로 지정했을까. CTX Threat Intelligence가 검토한 자료는 이 조합이 로그온 시 실행을 겨냥한 지속성 구성일 가능성을 뒷받침한다. 핵심은 Start라는 이름이나 update.exe라는 명칭 자체가 아니다. 파일이 놓인 위치와 운영체제가 시작프로그램 위치로 참조하도록 설정된 경로가 맞물린다는 점이다. 여기에 탐색기의 숨김 파일·확장자 표시 설정을 바꾸는 기록도 있다. 파일의 존재, 실행 위치의 지정, 화면에서의 표시 방식이 서로 다른 증거로 드러나는 사례다