십 년 묵은 깨진 바이너리, 여전히 엔진 13개 우회

VirusTotal 기준 45/58개 엔진이 악성으로 판정하면서도 13개 엔진이 여전히 놓치는 Win32 실행 파일 한 점이 있다. 해시 14e9e0bee5f6…9bfaa9b, 최초 제출일은 2015-10-21로, 이미 십 년 넘게 위협 인텔리전스 생태계를 떠돌고 있는 샘플이다. 파일 자체는 신규성이 전혀 없다. 그런데도 이 샘플이 다시 주목받는 이유는 단순하다 — import 테이블이 완전히 비어 있고(import_count 0), .ext라는 이름의 섹션이 엔트로피 7.95를 기록하면서 실제로는 존재할 수 없는 크기(4,278,227,200바이트)로 기록돼 있다는 점이다. 정상적인 PE 링커가 만들어낼 수 없는 이 구조는 태그 corrupt, overlay로 분류돼 있으며, 여기에 via-tor 태그까지 붙어 있어 이 파일이 Tor 익명화 채널을 거쳐 유통·수집된 정황을 시사한다.