7년 관통한 하나의 빌더, imphash가 드러낸 재사용 파이프라인

윈도우 바이너리 15종을 놓고 교차 분석을 진행한 결과, 겉보기에는 전혀 무관한 크라임웨어 라벨들이 하나의 빌드 지문 아래 묶이는 정황이 확인됐다. 임포트 테이블 해시 f34d5f2d4577ed6d9ceec516c1f5a744를 공유하는 파일 네 개가 그 핵심이다. 2017년 12월 22일에 처음 관측된 c99340a6…(트로얀 msilheracles)부터 2023년 12월 22일의 2fcad226…(Amadey), 2024년 3월 22일의 737d0e06…(msilmamut), 2024년 11월 1일의 0de3cc45…(XWorm)까지 — VirusTotal이 매긴 위협 라벨은 제각각이지만 임포트 해시는 완전히 동일하다. 이는 단순한 우연이라기보다, 서로 다른 시기에 서로 다른 페이로드를 얹어 배포된 동일한 .NET/MSIL 빌더 스텁이 최소 7년째 재사용되고 있다는 뜻으로 읽힌다. 흥미로운 대목은 이 코호트 안에서도 다시 하위 계보가 갈린다는 점이다.