인증서만 갈아탄 8개월 묵은 빌드, OneBrowser 재서명 흔적

Windows용 Chromium 기반 브라우저 "OneBrowser"로 위장한 애드웨어/PUA 배포망에서, 동일한 실행 파일이 8개월의 시차를 두고 서로 다른 인증기관 명의로 두 번 서명된 흔적이 확인됐다. CTX Team이 추적한 이번 표본군에서 chrome_proxy.exe, chrome_wer.dll, notification_helper.exe 등 16개 파일의 PE 컴파일 타임스탬프는 대부분 2025-05-30에 몰려 있는데, 실제 Authenticode 서명 일자는 2026년 1월 19일부터 3월 5일 사이에 분산돼 있다. 같은 바이너리가 만들어진 지 8개월도 더 지난 뒤에야 새 인증서로 재서명돼 재유통된 셈이다. 이 시차 자체는 새로운 코드가 개발됐다는 신호가 아니라, 오래된 빌드를 인증서만 갈아 끼워 배포를 이어가려는 운영 방식을 보여준다. 이 패턴이 흥미로운 이유는 단순한 재서명이 아니라 인증기관 전환과 겹쳐서 일어났다는 점이다.