Bright Data 서명 훔친 가짜 VPN 업데이터, 스틸러 심었다

VirusTotal에서 22/75 엔진만이 탐지한 한 실행 파일이, 실제로는 상업용 프록시 SDK 업체 Bright Data Ltd의 유효한 코드 서명 인증서를 그대로 지니고 있다. 파일명은 net_updater.exe, 그러나 설치 경로는 C:\Program Files (x86)\Bright VPN\net_updater32.exe와 C:\Program Files (x86)\DriverHub\net_updater32.exe 두 갈래로 갈라진다 — 하나는 VPN 업데이터, 하나는 드라이버 관리 유틸리티로 위장한 동일 바이너리다. 이 파일을 샌드박스는 malicious로 판정하며 악성코드 패밀리명을 'PBot', 분류를 STEALER로 명시했다. 정상 서명과 스틸러 판정이 한 파일에 공존하는 이 구조가 이번 캠페인에서 CTX Team이 주목한 핵심 신호다. 이 사건은 특정 행위자의 이름값이나 대규모 인프라 스케일로 뉴스가 되는 캠페인이 아니다.