정상 EV 인증서로 위장한 애드웨어, 저장성 CDN 뒤에 은신

중국 신설 법인 명의로 발급된 EV(Extended Validation) 코드 서명 인증서 두 건이, 각각 30건 이상의 백신 엔진에서 트로이목마·PUA로 탐지되는 설치파일에 그대로 걸려 있는 사례가 확인됐다. 브라우저 설치 프로그램으로 가장한 JiSuSetup.exe(SHA256 359a0b45…18, VirusTotal 탐지 37/75)와 AI 브라우저를 사칭한 GptChrome(SHA256 8c6d24d1…4c, 탐지 31/75)은 각각 Sectigo와 GlobalSign의 정규 EV 체인을 통해 완전한 유효 서명을 갖추고 있다. CTX Team이 이번 명령제어(C2) 레코드를 들여다본 결과, 이 두 설치파일과 연결된 7개 IP·2개 도메인은 항저우(Hangzhou)·원저우(Wenzhou)·진화(Jinhua) 세 지역의 Chinanet IDC 블록에 걸쳐 있으면서도, 상용 CDN 인증서를 공유하는 방식으로 공격 인프라의 존재감을 지우고 있다는 정황이 드러났다.