'Work Product Inc.' 위장 인증서로 서명된 OneBrowser 트로이목마, 통신사 표적 이중 신뢰 우회 캠페인

GoGetSSL이 발급하고 DigiCert 체인으로 검증되는 코드 서명 인증서(일련번호 0E F9 0B 20 6A 1B 07 82 E0 D0 FD 33 88 24 EC 42)가 'Work Product Inc.'라는 이름의 실체 불명 법인에 발급된 뒤, 불과 사흘 만에 트로이목마 설치 파일에 찍혔다. 이 인증서로 서명된 두 개의 PE32 실행 파일은 Chromium 브라우저 설치 관리자를 완벽하게 흉내 낸 파일명(chrmstp.exe, 버전 137.0.7151.69)과 경로 구조를 갖추고 통신 서비스 분야 표적에게 유포됐다. 그리고 그로부터 47일 뒤, 전혀 다른 서명자 정체성 — 실존 소프트웨어 벤더 'Flexxible IT USA, LLC'의 유효한 코드 서명 인증서 — 을 달고 76개 엔진 전체에서 탐지 0건을 기록한 47MB짜리 난독화 .NET 에이전트가 등장했다.