한 파일의 C2 설정, 세 도메인 주소에서 네트워크 경보와 맞물려

한 실행파일의 설정에 들어 있던 도메인 세 곳의 DNS 주소가 네트워크 탐지 이벤트의 목적지 IP와 일치했다. 목적지 포트도 설정과 같은 443이었다. 서로 다른 이름의 도메인 11개를 담은 이 파일은 어떤 외부 서비스와 연결되도록 구성됐으며, 그중 어디까지 실제 통신 흔적이 뒷받침할까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 한 파일의 추출 설정, 도메인의 A 레코드, Remcos 관련 네트워크 규칙에 걸린 목적지 주소 사이에 나타났다. 설정은 11개 도메인을 명령·제어(C2) 대상으로 묶고, 네트워크 이벤트는 그중 세 도메인의 기록된 IP와 맞아떨어진다. 다만 이벤트에 호스트명이 없으므로, 이는 특정 도메인으로의 접속이 입증된 것과는 다르다. 이 차이가 조사 범위를 결정한다. 설정에 담긴 대상과 통신 관찰로 보강된 대상을 구분해야, 하나의 파일에서 출발한 분석이 근거 없는 전체 인프라 귀속으로 번지지 않는다.