로더가 만든 두 파일, 해시와 실행 관계로 역할 드러나

Loader by Sexsoldier.exe를 분석한 샌드박스에서 svchost.exe와 conhost.exe가 함께 생성됐다. 두 이름은 윈도 구성요소를 연상시키지만, 실행이 기록된 곳은 시스템 디렉터리가 아니라 Windows Error Reporting(WER) 임시 디렉터리였다. 이들은 단순히 수상한 이름을 가진 파일일까, 아니면 로더가 전달한 뒤 실행과 자동 시작에 사용하는 별도 구성요소일까. CTX Threat Intelligence가 검토한 기록은 두 파일의 역할을 내용 식별값과 실행 관계로 좁혀 준다. 로더의 분석 보고서에는 서로 다른 두 실행 파일을 생성한 프로세스가 명시돼 있다. 다른 관찰에서는 이 파일들이 로더의 자식 프로세스로 실행됐으며, svchost.exe는 사용자 AppData 경로의 실행 및 그 경로를 가리키는 Run 값과 연결된다. conhost.exe로 전달된 파일도 별도 분석에서 다른 윈도식 이름으로 실행되고 자동 시작 설정의 대상이 됐다.