services.exe 위장한 20년 전 메일웜, 최신 IDS 룰과 충돌

이번에 확보된 위협 지표 묶음에서 가장 눈에 띄는 사실은 화려한 신형 악성코드가 아니라, 정작 완전한 형태로 분석 가능한 파일이 단 하나뿐이라는 점이다. 35개 파일 해시 가운데 34개는 파일 형식조차 특정되지 않은 빈 레코드로 남아 있고, 유일하게 전체 분석이 가능한 샘플(bf316f51…6653c)은 2006년 7월 처음 관측된 mydoom/agentwdcr 계열의 메일웜이다. 이 샘플은 %WINDIR%\services.exe라는 이름으로 자신을 위장하며, UPX로 패킹된 8KB 남짓의 소형 PE32 실행파일이다. 흥미로운 대목은 이 낡은 웜이 보이는 행위 패턴과, 그 위에 붙은 최신 IDS 룰 히트가 서로 어긋난다는 점이다 — 이 어긋남 자체가 이번 지표 묶음의 성격을 규정하는 핵심 신호다.