만료 인증서 그대로 걸친 설치 파일, 1년 뒤 포착된 'orcinius'

소매업 환경을 노린 PUP(potentially unwanted program) 계열 설치 파일 한 건이 VirusTotal에 처음 제출된 시점은 2015년 12월 13일이다. 그런데 이 파일에 걸려 있는 코드 서명 체인을 열어 보면 이상한 지점이 하나 나온다. "Premium Installer"라는 이름으로 발급된 리프(leaf) 인증서의 유효 기간은 2013년 7월 13일 오전 1시부터 2014년 8월 3일 오전 12시 59분까지였다. 다시 말해 이 설치 파일이 VirusTotal 레이더에 처음 걸린 시점은 서명 인증서가 유효기간을 넘긴 지 이미 1년 4개월이 지난 뒤였고, VirusTotal의 서명 검증 문자열은 이를 그대로 드러낸다 — "현재 시스템 시계 또는 서명된 파일의 타임스탬프를 기준으로 검증할 때 필요한 인증서가 유효 기간 내에 있지 않다