만료 인증서로 위장한 VPN 트로이 목마, 식음료 업계 겨냥 스파이 캠페인 포착

DigiCert가 발급한 코드 서명 인증서 하나가 세 개의 악성 PE32 실행 파일을 하나의 운영 단위로 묶고 있다. 인증서 일련번호 0C 8F 89 21 C5 36 49 3E 67 DF 84 FB 82 23 B0 92는 이미 2026년 4월 2일 만료됐지만, 그 서명은 VPNMaster.exe, Startup.exe, master_vpn-service.exe라는 이름으로 포장된 트로이 목마 번들 전체에 여전히 박혀 있다. 이 세 파일은 C:\Program Files\VPNMaster 경로 아래 정품 VPN 소프트웨어 설치 구조를 그대로 모방하면서, 내부적으로는 디버그 환경 탐지 로직을 탑재해 Zenbox 샌드박스를 84~99% 신뢰도로 통과시켰다. 정적 분석 엔진 13~23개가 악성으로 분류하는 동안 샌드박스는 CLEAN 판정을 내린 이 간극이, 이 캠페인의 가장 날카로운 운영 신호다.