실행파일이 남긴 VBS, 내용 일치로 확인된 스크립트 연결

실행파일을 분석한 샌드박스에서 시작프로그램 폴더의 lRDdN.vbs가 발견됐다. 이 파일의 해시는 별도로 분석된 스크립트 표본과 같았다. 실행파일 아래에는 해당 이름의 스크립트를 여는 wscript.exe 프로세스도 기록됐다. 그렇다면 이 실행파일의 역할은 어디까지이고, 함께 나타난 스크립트는 무엇을 이어받았을까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결고리는 악성코드 분류명이 아니라 파일 내용의 동일성과 구체적인 실행·설정 기록이다. 연결된 VBS 표본의 분석에서는 windows.js가 여러 경로에 놓이고, 그중 한 경로가 로그온 실행 설정에 지정됐다. 네트워크 측면에서도 실행파일에서 추출한 설정의 호스트·포트가 별도 샌드박스의 HTTP 요청과 일치했다. 실행파일 하나를 조사 대상으로 삼는 것과, 그것이 남긴 스크립트와 실행 설정까지 함께 보는 것 사이에 실질적인 차이가 있는 사례다.