C:\Windows에 위장한 가짜 exe, KerrDown 로더의 정체

요르단과 루마니아의 정부 부문을 겨냥한 것으로 표시된 한 침투 경로에서, 실제로는 PE32 DLL인 파일 하나가 C:\Windows\intkxqhf.exe라는 실행파일 이름으로 시스템 경로에 놓여 있었다는 사실이 확인된다. 해당 파일(70db041f…, VirusTotal 기준 50/76 탐지)은 Malpedia가 배포하는 YARA 룰 win_kerrdown_auto에 매칭돼 KerrDown 로더 계열로 식별되며, cometer, fjuc, aabf라는 이름으로도 탐지 엔진들에 등록돼 있다. 이 로더가 호출하는 도메인 cortanasyn.com은 자기 이름이 아닌 *.value-domain.com이라는 낯선 와일드카드 인증서를 내걸고 있었고, 확인된 지표 범위에서는 이 파일과 도메인 어느 쪽도 다른 사례와 임포트해시·인증서 계열·A 레코드를 공유하지 않는다.