GlobalSign 인증서 하나로 묶인 악성 PE 20개, 중국 CDN 뒤에 숨어 자격증명 탈취

GlobalSign이 중국 법인 沧州句号网络科技有限公司에 발급한 코드 서명 인증서 하나(일련번호 74 8A E7 40 52 3E E3 39 FF 9C AE 7C)가 2025년 5월부터 9월에 걸쳐 생산된 악성 PE 파일 20개 전체를 단일 서명 앵커로 묶고 있다. GoodZip-WIN助手, WinAssist, WIN-Clear, WIN-GameBox 등 중국어권 사용자에게 익숙한 유틸리티 소프트웨어 브랜드를 사칭한 이 파일들은 VirusTotal 기준 26~47/77의 정적 탐지율을 기록하면서도, Zenbox·C2AE·Yomi Hunter 등 샌드박스에서는 예외 없이 악성 판정 0건을 받았다. 코드 서명 신뢰 채널을 통한 EDR 우회와 동적 분석 무력화가 동시에 작동하는 이 구조는, 단순한 PUA 배포를 넘어 자격증명 수집 기능(DeepData 계열 YARA 룰 매칭)까지 포함한 다층 위협으로 분류된다.