PANMAP.DLL, 서명 없이 마이크로소프트 위장

CTX Team이 추적한 이번 레코드의 핵심은 파일 하나(SHA256 f1386b51c6f0…67ddb1)에 있다. 이 Win32 실행파일은 내부 이름을 'PANMAP', 원래 이름을 'PANMAP.DLL'로 내세우고, 제품 문자열에 'Microsoft® Windows® Operating System'을, 저작권 표시에 '© Microsoft Corporation. All rights reserved.'를 그대로 박아 넣었다. 그런데 이 파일에는 유효한 코드 서명이 없다. 진짜 마이크로소프트 시스템 구성요소라면 반드시 있어야 할 서명 체인이 통째로 빠져 있는 채, 이름과 저작권 문구만으로 정통성을 흉내 낸 셈이다. 이는 전형적인 위장(T1036) 패턴으로, 파일명·제품 문자열이라는 '외양'과 서명 부재라는 '실체'가 정면으로 충돌하는 지점에서 이 파일의 정체가 드러난다. 이 판단은 단일 필드가 아니라 두 층위의 증거가 겹쳐야 성립한다.