AAct, 자기 경로와 관련 도구 경로를 Defender 검사 제외 대상으로 요청

실행 중인 프로그램이 Windows 관리 도구를 호출해 자신의 경로를 Microsoft Defender 검사 제외 대상으로 지정했다. CTX Threat Intelligence가 검토한 AAct 표본의 샌드박스 기록에는 실행 파일에서 cmd.exe, 다시 WMIC.exe로 이어지는 부모·자식 관계가 남아 있다. 제외 요청은 자기 자신에 그치지 않았다. 작업 폴더와 그 안의 KMSSS.exe, 시스템 디렉터리의 실행 파일과 DLL도 대상으로 등장했다. 이 기록이 던지는 질문은 단순히 “정품 인증 도구가 탐지됐는가”가 아니다. 이 프로그램은 어떤 파일을 Defender의 검사 범위 밖에 두려 했으며, 그 대상으로 적힌 파일을 별도로 분석된 KMS 에뮬레이터와 어디까지 연결할 수 있을까. CTX Team은 이 사례의 핵심을 실행 파일이 자신의 경로뿐 아니라 관련 도구 경로까지 검사 제외 대상으로 추가하려 한 행위로 판단한다.