DLL 오류 보고와 별개로 세 COM 등록 값에 경로 기록

바탕화면의 funoictl.dll을 가리키도록 세 개의 COM 등록 값이 설정됐다. 같은 샌드박스 보고서에는 이 DLL을 호출한 rundll32.exe의 오류 보고 흔적도 남았다. 그렇다면 DLL은 시스템 설정을 바꾼 것인가, 아니면 오류로 실행에 실패한 것인가. CTX Threat Intelligence가 검토한 기록은 두 관찰이 양립할 수 있음을 보여 준다. 등록 값을 쓴 프로세스와 오류 보고가 연결된 프로세스가 서로 달랐기 때문이다. 핵심은 ‘실행 성공’이나 ‘실패’라는 단일 판정이 아니라, 어느 호출이 어떤 결과를 남겼는지다. CTX Team은 프로세스 트리와 레지스트리 이벤트를 대조해 DLL 경로가 실제로 등록 값에 기록된 사실을 확인했다. 반면 기존 구성요소를 밀어낸 COM 하이재킹이나 이후의 자동 실행까지 입증된 것은 아니다. 이 구분은 서명된 소프트웨어 구성요소에서 지속성 관련 경보와 실행 오류가 함께 나타났을 때, 무엇을 호스트 변경으로 남겨야 하는지 알려 준다.