만료된 EV 인증서 두른 Ncat, 탐지엔진 74곳 눈속임

Windows 셸 구성요소를 사칭한 실행파일 하나가 VirusTotal 기준 76개 엔진 가운데 단 2곳(DrWeb, Jiangmin)에만 걸리며 조용히 순환하고 있었다. 이 파일은 사실 보안 진단·침투테스트에 널리 쓰이는 정품 네트워킹 도구 Ncat(Nmap 프로젝트의 확장판)이며, "Insecure.Com LLC"명의로 발급된 DigiCert EV 코드 서명 체인을 그대로 얹은 채 C:\ProgramData\nuldata..\ShellExperienceHost.exe라는 경로에 놓여 있었다. 대체 이름 목록에는 nmap-7.92/ncat.exe, bin/nmap/ncat.exe처럼 원래 배포 경로가 그대로 흔적으로 남아 있어, 이 파일이 정식 Nmap 배포판에서 추출돼 이름만 바뀐 상태로 재배포됐음을 보여준다. 정식 서명이 걸린 도구를 그대로 가져다 이름과 경로만 바꾸는 방식은 새로운 기법이 아니지만, 이 사례가 유독 눈에 띄는 이유는 서명 자체가 위조가 아니라는 점이다.