정상 서명된 EarnApp 설치파일 속 PBot 스틸러 발견

번들형 대역폭 공유 프로그램 EarnApp의 정식 설치 파일과 업데이트 컴포넌트가 실제로는 세 개의 서로 다른 빌드 경로에서 나온 파일임이 확인됐다. 세 샘플 모두 Bright Data Ltd 명의로 서명돼 있고 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인을 그대로 물고 있어, 사용자가 눈으로 보기엔 정품 EarnApp 클라이언트와 구분할 방법이 거의 없다. 그런데 이 세 파일 중 정확히 하나 — net_updater.exe라는 이름으로 EarnApp 설치 경로(Program Files (x86)\EarnApp\net_updater32.exe) 아래에 놓인 컴포넌트 — 만이 샌드박스 C2AE에서 STEALER 계열, 구체적으로 PBot이라는 이름으로 악성 판정을 받았다. 나머지 두 개는 같은 브랜드, 같은 서명자를 달고도 샌드박스에서 harmless/undetected로 읽힌다.