PayPal 검증 도구로 위장한 3단 페이로드, ConfuserEx로 탐지 우회

'PayPal Valid Email Checker [v1.0].exe'라는 이름의 실행 파일이 자격증명 거래 커뮤니티를 겨냥한 침투 경로로 활용되고 있다. CTX Team이 추적해 온 이 캠페인은 단순한 Amadey 배포 사례가 아니다 — ConfuserEx Mod 난독화를 세 가지 기능적으로 상이한 페이로드 패밀리에 일괄 적용하고, reflective in-memory loading으로 디스크 기록을 회피하며, 모든 명령제어(C2) 트래픽을 도메인 레이어 없이 단일 IPv4 노드(176.111.174.140, AS212136 NUBES LLC, 러시아)로 집중시키는 구조다. 이 C2 호스트가 제시하는 TLS 인증서는 FortiGate 장비 인증서(시리얼 266ee6e, 주체 CN FG100FTK23078935, 발급자 fortinet-subca2001)로, 상용 C2 노드에서는 보기 드문 인프라 이상 징후를 남긴다.