1. 이상 징후
한 고객 PC 점검 중 다음이 눈에 띄었습니다. (PC·사용자 식별 정보는 비공개)
| 항목 | 상태 | 의미 |
|---|---|---|
| 바탕화면 | 비어 있음 | 비정상적으로 깨끗함 |
| 휴지통 | 비어 있음 | 지나치게 깨끗함 |
| USB 연결 후 즉시 재부팅 | 4분 후 | 흔적 정리 정황 |
2. 조사 당일 이벤트 타임라인
| 시각 | 이벤트 | 비고 |
|---|---|---|
| 10:03 | V3 Lite 다운로드/설치 | |
| 10:07 | V3 설치 완료, 재부팅 | |
| 10:55 | 복원 지점 생성 | 백신 설치가 트리거(Windows 자동) |
| 11:12 | Windows Update 재부팅 | |
| 11:41 | Wireshark 다운로드 | |
| 11:43 | Wireshark 설치 | |
| 12:09 | 재부팅 | |
| 12:25 | Orange Manager 설치 | |
| 13:36 | SanDisk USB 연결 | D: 드라이브 |
| 13:40 | 재부팅 | USB 연결 4분 후 |
USB 연결 직후 재부팅, 그리고 백신·패킷캡처(Wireshark) 설치가 같은 날 몰려 있는 점이 "흔적 정리 + 점검 대비" 정황을 시사했습니다.
3. 의심 파일 추적
UserAssist·문서 폴더에서 사용자가 직접 실행한 통합드라이버.exe(EasyDrv7) 기록을 발견했습니다.
| 구분 | 내용 |
|---|---|
| USB 연결 | SanDisk 3.2Gen1 — 2025-04-29 09:49 |
| 파일 실행 | EasyDrv7(Win10.x64).exe — 2025-04-29 14:51 |
| 파일 위치 | 문서 폴더 (정상 설치 파일이 있을 자리가 아님) |
| 유입 경로 추정 | 인터넷 다운로드가 아닌 USB에서 직접 복사 후 실행 |
Orange The Client로 해당 파일을 수집해 VirusTotal로 분석:
SHA256: 0f4b771064cee0214725993ba0bae60d1c771c70384602d6b8347f9395fb5a49
탐지: 72개 백신 엔진 중 8개
판정: 채굴 프로그램 자체는 아니나, 다른 악성코드를 다운로드하는 기능(드로퍼)
즉 외부 명령에 따라 언제든 코인 채굴기 등 추가 악성코드를 받아 실행할 수 있는 상태였습니다. 단일 백신이었다면 72:8 비율로 놓쳤을 가능성이 큽니다.
4. UserAssist로 실행 이력 복원
실행 이력은 레지스트리 HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist에 남습니다. 사용자가 탐색기로 실행한 프로그램·실행 횟수·마지막 실행 시각·포커스 시간이 기록됩니다. 핵심 항목을 시간순으로 복원:
| 마지막 실행 | 프로그램 | 실행 |
|---|---|---|
| 2025-04-29 15:34 | 문서\감종드라이버설치\통합드라이버.exe | 1 |
| 2025-04-29 15:00 | 문서\정품인증.BAT | 1 |
| 2025-04-29 14:51 | 문서\EasyDrv7\EasyDrv7(Win10.x64).exe | 1 |
| 2025-04-29 14:54 | mmc.exe | 4 |
| 2025-04-29 09:51 | powershell.exe | 1 |
| (이력) | Wireshark.exe | 4 |
| (이력) | cmd.exe / Command Prompt | 14 |
| (이력) | Task Scheduler | 1 |
"불법 드라이버 통합 설치(통합드라이버.exe/EasyDrv7) + 정품인증 우회(정품인증.BAT)"를 위해 USB로 들여온 도구가, 실제로는 악성 드로퍼였던 전형적 유입 경로입니다. PowerShell·cmd·작업 스케줄러 실행 기록은 추가 조작 가능성을 시사합니다.
5. 시사점
- 출처 불명 드라이버·정품인증 도구는 USB로 들어오는 경우가 많고, 백신 단독으로는 드로퍼를 놓치기 쉽습니다(72:8).
- 파일 자체 진단만으로는 부족합니다. 실행 이력(UserAssist) · USB 연결 기록 · 시스템 변경 타임라인을 결합해야 유입 경로와 의도가 드러납니다.
- Orange The Client는 의심 파일 수집·해시화·외부 평판(VirusTotal) 조회와 레지스트리/이벤트 타임라인 복원을 한 흐름으로 지원해, "무엇이 언제 어떻게 들어와 실행됐는지"를 사후에 재구성합니다.
Orange Platform이 수집한 데이터를 기반으로 작성한 분석 리포트입니다. 고객·사용자 식별 정보는 비공개 처리했습니다.