WinAuthority의 ‘실행 보고’ 요청, 응답·캐시 흔적으로 확인

WinAuthority.exe의 샌드박스 분석에서 외부 서버로 향한 GET 요청에 action=run, app=winauth, 버전 번호와 식별자처럼 보이는 값들이 함께 실렸다. 서로 다른 세 분석 보고서에 같은 요청 형식이 남아 있다. 이 프로그램은 실행 사실을 알리는 것일까, 아니면 외부에서 지시를 받아오는 것일까. 요청과 응답, 로컬 파일을 연결해 보면 이 질문에 답할 수 있는 범위가 좁혀진다. CTX Threat Intelligence 자료에서 가장 강하게 뒷받침되는 해석은 WinAuthority가 실행 활동을 보고하는 성격의 요청을 보냈다는 것이다. 두 보고서는 요청 호스트의 DNS 응답과 그 주소로 향한 TCP 트래픽까지 함께 기록했다. 한 보고서에는 HTTP 200 응답과 해당 프로세스에 귀속된 텍스트 파일도 있다. 단순히 실행 파일 안에서 도메인 문자열을 발견한 사례보다 연결 근거가 구체적이다.