서로 다른 이름의 압축 파일·PE, 해제 크기로 일곱 쌍 대응

압축 데이터로 분류된 launch.exe의 해제 크기는 176,386바이트다. 별도로 등록된 Windows 실행 파일 ntmstart.exe의 크기도 정확히 같다. 다른 압축 파일 att.dll은 해제 크기가 235,266바이트로, 별도 DLL인 NtProcMon.dll과 일치한다. 서로 다른 이름의 파일들이 압축 전후의 형태로 연결되는 것일까. CTX Threat Intelligence 자료에서 이처럼 ZLIB 압축 해제 크기와 별도 PE 파일 크기가 맞아떨어지는 대응은 일곱 쌍에서 확인된다. 압축 객체에는 각각 자식 파일 하나와 PE 헤더가 보고돼 있다. CTX Team은 이를 단순히 비슷한 이름을 가진 파일들의 집합보다 구체적인, 압축 객체와 실행 가능한 구성 요소 사이의 대응 후보로 평가한다. 다만 실제 배포·설치 관계까지 확인된 것은 아니다. 이 사례의 핵심은 파일 수를 세는 데서 벗어나, 같은 구성 요소가 서로 다른 형태와 이름으로 표현됐을 가능성을 구분하는 데 있다.