인텔 드라이버로 위장한 셸코드 로더, APT28 증거는 단 하나뿐

이번에 CTX Team이 들여다본 위협 묶음은 파일 해시 24건과 IP 주소 1건으로 구성된, 표면적으로는 제법 규모 있는 캠페인처럼 보이는 데이터셋이었다. 그러나 실제로 VirusTotal 탐지 정보와 샌드박스 행위 기록이 채워진 대상은 단 하나, 'Inteldriver.exe'라는 이름의 서명되지 않은 Win32 바이너리(sha256 12e522…6fa521)뿐이었다. 나머지 23개 해시는 인디케이터 목록에 이름만 올라 있을 뿐 탐지 비율, 서명자, 태그 어느 것도 확인되지 않는다. 즉 이 기사가 다룰 수 있는 실체는 사실상 이 한 개의 파일이 보여주는 정교한 회피 공학이며, 그 이상을 "캠페인"이라 부르기에는 아직 근거가 얇다. 이 단일 아티팩트가 흥미로운 이유는 규모가 아니라 완성도에 있다.