‘N.jpg’ 추출 명령이 드러낸 스크립트 실행 경로

N.jpg를 여는 프로그램은 이미지 뷰어가 아니라 Windows의 압축 해제 도구였다. 샌드박스의 프로세스 생성 기록에는 PowerShell이 tar -xf N.jpg -C $env:public을 호출한 흔적이 남아 있다. 사진처럼 보이는 이름의 파일을 왜 아카이브로 풀려고 했을까. CTX Threat Intelligence가 검토한 자료에서 같은 이름으로 제출된 파일은 JPEG가 아닌 POSIX TAR 아카이브였고, 내부 목록에는 PowerShell과 VBScript 파일이 포함돼 있었다. 이 사례의 핵심은 확장자와 실제 형식의 불일치에서 끝나지 않는다. 관련 실행 기록에는 N.vbs를 처리하는 WScript가 N.ps1을 실행하는 PowerShell을 자식으로 만드는 관계가 나타난다. 또 N.ps1 분석에서는 문자 코드로 명령 이름을 조립해 Microsoft Defender의 검사 제외를 요청하는 PowerShell 명령이 확인된다.