확장자 다른 두 파일, 해시는 같고 실행 명령에도 각각 등장

regsvr32.exe가 가리킨 파일은 바탕화면의 .dll.ocx와 Windows 시스템 디렉터리 아래의 .bcb였다. 이름과 확장자만 보면 서로 다른 구성요소처럼 보인다. 그러나 VMRay 샌드박스 보고서에 기록된 두 파일의 SHA-256은 같았다. 여기서 질문은 “두 번째 악성파일이 무엇인가”에서 “같은 내용이 서로 다른 경로에서 어떻게 실행 대상으로 쓰였는가”로 바뀐다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적으로 연결되는 것은 이 파일의 내용, regsvr32.exe 명령, 그리고 별도로 관찰된 외부 요청 목적지다. 특히 149.56.128.192:443은 파일에 연관된 인프라 항목에만 등장하는 주소가 아니다. 세 샌드박스 보고서에 이 IP를 향한 요청이 기록됐고, 그중 VMRay에는 해당 포트로 향한 TCP 트래픽도 남았다.