HTTP 요청은 404, 동일 실행 파일은 두 경로에 자동 실행 설정

Zenbox에 기록된 두 IP 대상 HTTP 요청 여섯 건은 모두 ‘404’를 돌려받았지만, 같은 샌드박스 보고서에는 실행 파일을 두 위치에 배치하고 각각을 자동 실행 대상으로 등록한 흔적이 남았다. 서버에서 원하는 내용을 받지 못했다면 이 프로그램은 아무것도 하지 못한 것일까. CTX Threat Intelligence가 검토한 기록은 그렇게 보기 어렵다는 점을 보여 준다. 원격 요청의 결과와 로컬 시스템에 남긴 실행 기반은 별개의 문제였다. 이 사례의 핵심은 winakrosvsa.exe라는 파일명 자체가 아니다. 사용자 프로필과 Windows 디렉터리에 기록된 파일의 해시가 분석 대상과 같고, Run 레지스트리 값은 그 두 경로를 가리킨다. 다른 한편으로 185.215.113.66과 91.202.233.141은 단순히 파일 옆에 나열된 의심 주소가 아니라, 실제 HTTP 요청 대상으로 보고됐다. 다만 제공된 응답에서 명령이나 추가 실행 파일을 받아 온 정황은 확인되지 않는다.