단일 어필리에이트 태그로 6개 악성코드 동시 투하한 PPI 캠페인 포착

pub=mixseven. 세 개의 C2 URL에 반복적으로 등장하는 이 쿼리 파라미터 하나가 이번 캠페인의 척추를 드러낸다. cleaner-partners.ltd/check.php?pub=mixseven, cleaner-partners.ltd/stats/save.php?pub=mixseven, 그리고 194.145.227.161/dlc/sharing.php?pub=mixseven — 서로 다른 도메인과 IP를 경유하면서도 동일한 어필리에이트 식별자를 공유하는 이 구조는, 'mixseven'이라는 단일 PPI(Pay-Per-Install) 운영자가 GCleaner, SmokeLoader, PrivateLoader라는 세 개의 로더 계층을 통해 Socelars, Fabookie, RedLine Stealer, FFDroider, Glupteba, Nitol을 동시에 배포하고 있음을 시사한다. 단일 어필리에이트 채널에서 이처럼 넓은 패밀리 스택이 동시에 관측되는 것은 흔치 않다.