폐기된 인증서 두른 AutoIt 디코이, NetWire 드로퍼와 짝짓다

두 개의 실행파일이 하나의 침투 체인을 이루고 있다. 하나는 2012년에 서명된 "AutoIt3.exe"라는 정상 런타임 이름을 달고 있고, 다른 하나는 서명 없이 패킹된 채로 2020년에 처음 관측된 "Krt.exe"다. 두 파일은 서로 다른 시대, 다른 서명 상태를 갖고 있지만 동일한 크라우드소스 YARA 룰 AutoIT_Compiled에 걸린다는 공통점으로 하나의 클러스터로 묶인다. CTX Team이 이 지표 집합을 분석한 결과, 겉모습은 정상 스크립트 런타임인데 실제로는 폐기된 인증서를 두른 디코이와, 3개 샌드박스 전원이 악성으로 판정하며 NetWire RAT를 지목한 드로퍼가 짝을 이루는 구조가 드러났다. 두 파일의 최초 관측 시점은 각각 2012년 1월과 2020년 7월로, 8년 넘는 제출 시차를 두고 있다. 그런데도 두 파일은 CPU 타이머를 직접 읽어 분석 환경을 판별하고, 디버거 부착 여부를 점검하며, 실행 전 장시간 대기하는 동일한 회피 루틴을 공유한다.