크롬 경로 위장한 수집 스크립트, VPN망 8개 ASN에 분산 C2

C2 서버로 지정된 IP 14개 가운데 10개가 VPN 태그를 달고 있다. M247 Europe SRL(AS9009), Host Universal Pty Ltd(AS136557), Al-hadatheh Lil-itisalat Wa Al-technologia(AS47887), EstNOC OU(AS206804), Gigabit Hosting Sdn Bhd(AS55720), Latitude.sh(AS396356), OVH SAS(AS16276) — 최소 8개 이상의 서로 다른 ASN에 걸쳐 상업용 VPN·VPS 리셀러 IP가 흩어져 있는 형태다. 이 인프라 뒤에서 확인되는 유일한 파일은 2KB짜리 자바스크립트 한 개(eb9e1d58c0fe11feafd319cb7599b9d70bdb64ffa2f7aac15f8d8beed451a8e1)로, C:\chrome\executors\200.js라는 경로명과 datacollector라는 자기 식별 라벨을 달고 있다.