Amadey 설정 URL, 샌드박스 POST·응답과 일치

메모리에서 추출한 서버 주소가 실제 HTTP 요청의 목적지와 경로까지 일치했다. 한 실행파일의 설정에는 http://185.156.72.8/rob75u9v/index.php가 들어 있었고, 샌드박스는 바로 그 주소로 보낸 POST 요청과 서버의 HTTP 200 응답을 기록했다. 이 IP는 단순히 악성 평판이 붙은 주소가 아니라, 특정 파일이 설정에 따라 접촉한 엔드포인트였다. 그렇다면 함께 제시된 다른 IP와 실행파일도 같은 통신 흐름의 일부일까. CTX Threat Intelligence가 검토한 자료는 두 개의 구별되는 연결을 보여 준다. Amadey로 식별된 파일은 위 HTTP 경로에 접촉했고, RedLine으로 식별된 다른 파일은 62.60.226.191:1912로 TCP 트래픽을 발생시켰다. 첫 번째 IP에는 별도 파일의 의심스러운 POST 관련 경보도 연결돼 있다.