동일 서명, 극단적 탐지 격차…31대4 설치파일의 진실

두 개의 Win32 설치파일이 완전히 동일한 코드 서명 인증서를 공유하면서도, 탐지 스펙트럼의 정반대 끝에 서 있는 사례가 확인됐다. 하나는 VirusTotal 76개 엔진 가운데 31개가 애드웨어·다운로더로 탐지했고(34278d6fd8874bc12cd7498d…), 다른 하나는 동일한 서명자·동일한 인증서 일련번호를 물고 있으면서도 76개 중 4개만 반응했다(c1e0bf25484a1dacced5e782…). 여기에 더해 고탐지 쪽 빌드는 원래 이름을 버리고 RustDesk, Lenovo Vantage, 그리고 정체가 불분명한 'Maple' 패키지 이름으로 재배포되고 있었다. CTX Team은 이 조합을 코드 서명 신뢰의 악용과 소프트웨어 위장, 분석 환경 회피가 한 세트로 엮인 사례로 분류했다. 표면적으로는 흔한 PUP(불필요 프로그램) 번들링처럼 보이지만, 데이터를 뜯어보면 이야기가 조금 더 복잡해진다.