위장 PDF·압축 설치파일, 두 개의 상용 인증서로 병행 유통

윈도우용 PDF 리더·압축 유틸리티·사진 뷰어로 위장한 실행파일 18종을 들여다본 결과, 이 캠페인은 하나의 서명자가 아니라 서로 무관한 두 개의 상용 코드 서명 인증서 체인을 동시에 굴리고 있었다. 하나는 沧州句号网络科技有限公司(창저우쥐하오네트워크과학기술유한공사) 명의로 GlobalSign GCC R45 CodeSigning CA 2020 체인을 타는 13개 파일 군집이고, 다른 하나는 Chengdu Aishang Office Technology Co., Ltd.(청두아이샹) 명의로 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인을 쓰는 3개 파일 군집이다. 두 군집 모두 정식으로 발급된 유효한 인증서를 달고 있고, 두 군집 모두 정확히 같은 대본 — PDF 리더·압축 도구·사진 뷰어 브랜드를 흉내 낸 설치파일 — 을 따른다.