같은 파일 가리킨 로그인 실행·Defender 제외 설정

%WINDIR%\rss\csrss.exe라는 경로가 파일 기록, 로그인 실행 설정, 보안 검사 예외 항목에 거듭 등장한다. Windows 시스템 프로세스를 연상시키는 이름이지만, 분석 기록이 주목한 것은 이름 자체보다 rss라는 하위 디렉터리와 그곳을 가리키는 설정들이다. 이 파일은 단지 시스템 파일처럼 보이려 한 것일까, 아니면 그 위치를 지속적인 실행 거점으로 삼으려 한 것일까. CTX Threat Intelligence가 검토한 샌드박스 자료는 후자의 해석을 뒷받침한다. 해당 경로에 놓인 실행 파일은 분석 대상 표본과 SHA-256이 같았고, 사용자 Run 값은 그 경로를 실행 대상으로 지정했다. 별도의 규칙 일치 이벤트에는 같은 파일을 로그온 때 실행하도록 예약 작업을 만드는 명령이 남았다. Defender 검사 제외 설정을 겨냥한 레지스트리 쓰기에도 rss 경로와 csrss.exe 이름이 나타났다.