같은 실행파일이 두 도메인의 TXT 정보를 조회했다

한 Windows 실행파일의 샌드박스 기록에서 tyui54345.xyz와 zxcv56745.xyz 아래 이름을 조회하는 HTTP 요청이 확인됐다. 요청을 받은 곳은 두 도메인의 서버가 아니라 dns.alidns.com과 그 주소였다. 이 차이는 중요하다. 겉으로는 외부 DNS 서비스에 대한 접속이지만, 요청 내용을 보면 실행파일이 어떤 이름의 정보를 찾고 있었는지 드러난다. 두 도메인은 단지 등록 정보가 닮은 이름들인가, 아니면 같은 프로그램의 동작에 함께 등장하는가. 이번 기록은 후자를 직접 뒷받침한다. CTX Threat Intelligence가 검토한 표본은 SHA-256 접두부가 #b7d5134b1652인 실행파일이다. 이 파일의 분석에서는 두 도메인에 대한 조회뿐 아니라, 별도 실행파일을 Windows 시스템 경로에 생성한 사실과 그 파일의 실행도 확인된다. 또 다른 호스트인 down.zhangyaping.top의 이름 해석 결과와 해당 IP로 향한 통신도 기록됐다.