다른 트로이 두 개, 같은 크립터 지문으로 묶이다

이번 주기에 새로 관측된 인디케이터는 정확히 두 개의 파일뿐이지만, 그 둘이 서로를 가리키는 방식이 흥미롭다. 하나는 CMSTP COM 인터페이스를 악용해 UAC 프롬프트 없이 권한을 끌어올리는 스틸러형 트로이(8cf4ae00…6cd, 이하 'UAC 우회 스틸러')이고, 다른 하나는 자신의 PE 버전 정보를 SearchIndexer와 lsass.exe로 위장한 드롭퍼(8851510c…ad6, 이하 'lsass 위장 드롭퍼')다. VirusTotal 위협 라벨은 각각 trojan.stealer/bypassuac와 trojan.phil/mint로 서로 다르고 imphash도 다르다. 그런데 두 파일 모두 크라우드소스 YARA 룰 SUSP_XORed_Mozilla_Oct19을 동시에 발화시키고, PE 컴파일 타임스탬프가 2026-05-20로 완전히 일치하며, PE 헤더의 머신 타입 값도 34404로 같다.