임시 실행파일, 실행 설정과 자식 프로세스로 이어져

bofuv.exe가 만든 임시 실행파일은 자식 프로세스로 실행됐고, 같은 경로가 레지스트리의 Windows\Run 값에도 기록됐다. CAPE Sandbox에서는 fofog.exe, Zenbox에서는 zapyb.exe가 이 자리를 차지했다. 이름이 다른 파일들이 무엇을 하는지 이해하려면 파일명보다 관계를 봐야 한다. 최초 실행파일이 만든 구성요소와 실행한 구성요소, 실행 설정이 가리키는 구성요소가 각 분석 안에서 일치하는지가 핵심이다. CTX Threat Intelligence가 검토한 기록은 이 관계가 세 샌드박스 보고서에서 반복됨을 보여 준다. 두 보고서에서는 임시 실행파일이 다시 다른 실행파일을 생성하고 실행한 관계까지 확인된다. 네트워크에서도 단순한 주소 목록보다 구체적인 연결이 있다. 추출된 설정에서 명령제어(C2) 대상으로 분류된 두 IP가 실제 샌드박스 TCP 트래픽의 목적지와 일치했다.