설정 속 C2 주소, 별도 분석에서 POST 요청 대상으로 확인

샌드박스에 남은 HTTP 요청은 host-host-file8.com의 루트 경로를 향했다. 요청 방식은 POST였고, 헤더의 본문 길이는 366바이트로 표시됐다. 이 주소는 다른 실행파일에서 추출한 설정에도 명령제어(C2) 대상으로 들어 있었다. 설정 속 주소가 실제 통신에 쓰였는지, 아니면 사용 여부를 알 수 없는 문자열에 머물렀는지를 가르는 단서다. CTX Threat Intelligence가 검토한 자료에서는 이 질문에 구체적인 답을 얻을 수 있다. 한 파일의 설정에 있는 정확한 URL이 다른 파일의 행동 분석에서 HTTP 요청 대상으로 관찰됐다. 그 행동 보고서에는 호스트의 DNS 해석 결과와 해당 IP의 80번 포트로 향한 TCP 트래픽도 함께 기록돼 있다. 따라서 이 주소는 설정에만 존재하는 후보가 아니라, 적어도 해당 분석에서 실제 요청 대상으로 쓰인 엔드포인트다. 다만 두 파일이 한 실행 과정의 앞뒤 단계였다는 뜻은 아니다.