svchost 위장 드롭퍼, Tor 릴레이로 C2 통신

시스템 프로세스 이름을 그대로 베낀 실행 파일 한 개가 CTX Team의 이번 관측에서 가장 뚜렷한 신호를 남겼다. 문제의 바이너리(SHA256 0492c19f21fae3e2718a78444f2811d6b3524bdecc16a8dcbfe8b0e16df7a38e)는 VirusTotal 기준 47/77개 엔진에서 트로이목마로 탐지됐고, 위협 라벨은 trojan.dekimine, 대중 분류는 트로이목마·마이너·다운로더로 걸려 있다. 이 파일이 눈에 띄는 이유는 단순한 탐지율 수치가 아니라, 실행부터 은폐, 정찰, 그리고 명령제어(C2)까지 하나로 이어지는 행위 사슬이 비교적 온전하게 재구성된다는 점이다. 파일은 자신을 %APPDATA%\pwo6\svchost.exe라는 경로에 심어두고, 동시에 임시 폴더에 xrshgetw.exe, klyhinav.exe라는 이름의 사본을 남긴다.