윈도 방화벽 끄기 명령과 보안 알림·UAC 설정 변경 포착

윈도 방화벽을 끄는 명령이 실행 파일의 자식 프로세스에서 포착됐다. Tencent HABO 샌드박스의 프로세스 트리는 이름이 가려진 ****.exe 아래에 netsh.exe를 두고, 명령줄에 netsh firewall set opmode disable을 기록했다. 같은 보고서에는 보안 센터의 알림 설정과 사용자 계정 컨트롤(UAC) 정책 값을 바꾼 기록도 있다. 이 조합은 단순히 수상한 프로그램이 실행됐다는 사실보다 구체적인 질문을 던진다. 프로그램은 호스트의 어떤 보호 장치를 바꾸려 했으며, 기록은 그 결과까지 보여 주는가. CTX Threat Intelligence가 검토한 자료에서 가장 강한 발견은 보호 기능과 보안 상태 알림을 약화하려는 시도다. 방화벽 비활성화 명령은 프로세스의 부모·자식 관계로 뒷받침되고, 레지스트리 기록은 변경 대상이 무엇이었는지 드러낸다. 다만 보호 기능의 설정을 건드리는 행위와 실제로 보호가 해제된 상태는 다르다.