APT27, 18개 변이 페이로드로 이탈리아 겨냥한 7년짜리 스파이 캠페인

이탈리아를 겨냥한 스파이 캠페인에서 단일 빌드 환경이 찍어낸 18개의 9KB PE32 바이너리가 포착됐다. 외형상 동일한 이 파일들은 imphash 706cc522e8bfff8088fbe700175fce5b와 vhash 093056655d05551063z12z19045z2025z1031zcfz를 공유하면서도 TLSH와 ssdeep 값은 샘플마다 제각각이다. 해시 기반 탐지를 무력화하기 위해 배포 단위로 바이트 수준의 변이를 자동 적용한 흔적이다. 여기에 IPVanish 상용 VPN 업체의 EV 코드 서명 인증서를 무단 전용한 564KB 드로퍼가 더해지고, 6개의 .ru 도메인 전체에 /kanorgate.php?g=-1267643179라는 동일한 C2 게이트 경로가 박혀 있다.