낯선 확장자의 파일, DLL과 같은 해시로 확인

regsvr32.exe의 실행 대상은 .dll이 아니라 fgjgjgv.tsu였다. 그러나 샌드박스가 기록한 이 파일의 SHA-256은 분석 대상 DLL과 같았다. 낯선 확장자의 파일이 별도 구성요소였을까, 아니면 같은 내용이 다른 경로에서 실행 대상으로 쓰였을까. CTX Threat Intelligence가 검토한 기록은 두 번째 해석을 뒷받침한다. 중요한 단서는 파일 이름이 아니라, 내용의 동일성과 그 파일을 인자로 받은 명령의 결합이다. 네트워크에서도 단순한 주소 목록보다 구체적인 관찰이 나왔다. 서로 다른 두 샌드박스 보고서에 165.22.61.235를 향한 HTTPS GET 요청과 HTTP 200 응답이 남았다. 로컬에서는 같은 DLL 내용이 서로 다른 경로의 실행 대상으로 등장했고, 통신에서는 같은 IP가 별도 보고서에 반복됐다. 이 두 관계가 이 표본을 이해하는 핵심이다. 다만 두 관계를 곧바로 하나의 공격 순서로 이을 수는 없다.