DigiCert 코드서명 4중 위장·UnionPay TLS로 무장한 IcedID 캠페인 19개월 지속

중국 법인 4곳이 각각 취득한 DigiCert G4 코드 서명 인증서로 서명된 17개의 윈도우 실행 파일이 시스템 최적화·보안 유틸리티를 사칭해 유포되고 있다. 이 페이로드들이 통신하는 백엔드 IP 10개는 예외 없이 UnionPay International의 와일드카드 TLS 인증서(*.unionpayintl.com)를 제시해 C2 트래픽을 금융 결제망 HTTPS로 위장한다. 엔드포인트에서는 합법적 코드 서명으로 EDR 화이트리스트를 통과하고, 네트워크 레이어에서는 금융 브랜드 TLS로 인스펙션을 우회하는 이중 신뢰 남용 구조다. CTX Team이 추적한 이 캠페인의 빌드 윈도우는 2024년 10월부터 2026년 5월까지 19개월에 걸쳐 있으며, 인프라 규모는 같은 기간 확장 추세를 보이고 있다. --- 이 캠페인의 가장 두드러진 특징은 단일 인증서를 재사용하는 것이 아니라 네 개의 별개 중국 법인을 통해 DigiCert G4 코드 서명 인증서를 각각 취득해 운용한다는 점이다.