Zalo 인증서 하나로 묶인 정상 설치파일과 HijackLoader

베트남 국민 메신저 Zalo의 정식 코드 서명 인증서를 가진 파일이 두 개 있다. 하나는 133MB짜리 정상 설치 프로그램이고, 다른 하나는 772KB짜리 소형 실행파일이다. 그런데 이 둘은 완전히 동일한 인증서 일련번호 03 3B 74 44 B0 D9 C6 40 37 83 62 0B CC 5F 4C AF(발급자 VNG GROUP JSC, DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1, 유효기간 2026-03-04~2026-12-09)를 공유한다. 문제는 후자가 CAPE Sandbox에서 HijackLoader로 명명되고, 크라우드소스 YARA 룰 HijackLoaderStub가 두 차례 발화했다는 점이다. VirusTotal 탐지율은 겨우 3/75. 정상 서명 뒤에 로더가 숨어 있는, 신뢰를 가로챈 위장이 이번 캠페인의 핵심 그림이다. 두 파일 모두 2026-07-20에 처음 관측됐다는 사실도 눈에 띈다.