Discord CDN 악용 NullMixer, 5종 악성코드 번들로 4년째 운용

Discord의 파일 첨부 기능을 첫 번째 배포 채널로 삼은 NullMixer 기반 캠페인이 단일 가짜 설치 파일 안에 RedlineStealer, ClipBanker, SmokeLoader, StealBit, Upatre 등 다섯 개 악성코드 패밀리를 동시에 번들링한 채 유포되고 있다. Sectigo가 발급한 코드 서명 인증서를 부정 취득해 서명 기반 방어를 우회하고, 싱가포르 SingNet AS3758 내 동일 /23 서브넷에 배치된 세 개 노드를 명령제어(C2) 백엔드로 활용하는 이 캠페인은 최초 파일 버스트가 2021년 8월로 거슬러 올라가지만, 도메인 등록 이력과 TLS 인증서 갱신 흔적은 2025년 10월 이후까지 이어진다. CTX Team이 추적해 온 이 위협 클러스터는 현재도 활성 상태다. --- 이 캠페인의 가장 두드러진 특징은 단일 드로퍼가 실행되는 순간 여러 악성코드 패밀리가 동시에 풀린다는 점이다.