일곱 개 악성코드 이름표, 실은 하나의 스틸러 체인

VirusTotal 탐지 라벨만 보면 이 사건은 서로 다른 일곱 개 악성코드 패밀리가 우연히 겹친 잡탕처럼 보인다. StealC v2, TinyNuke, PowerLoader, Carberp, Vidar, RedLine, 그리고 MaskGramStealer — 벤더 엔진들은 열한 개 파일을 이렇게 제각각 분류했다. 그런데 CTX Team이 크로스 IOC 축으로 다시 묶어본 결과는 전혀 다른 그림을 그린다. 여섯 개의 독립적인 YARA 룰셋과 다섯 개의 IDS 시그니처가 이름이 다른 파일들에서 동시에 발화하며, 이 표면적 다양성이 실제로는 하나의 로더-스틸러 체인과 하나의 C2 프로토콜을 감싸는 포장지에 불과했음을 드러낸다. 서명 정보가 있는 파일은 열한 개 중 두 개뿐이고 네 개 IP 가운데 두 개는 ASN 정보조차 없는, 증거가 얇은 캠페인이다. 하지만 얇은 인프라와 두꺼운 룰 매칭 증거가 만나는 지점에서, 이 캠페인이 실제로 얼마나 응집돼 있는지가 드러난다.