라자루스 라벨 뒤 41개 파일, 실체 있는 건 웜 1건뿐

CTX Team이 이번에 들여다본 인디케이터 묶음은 파일 41건, IP 7건, 도메인 8건으로 구성돼 있고 전체가 'Lazarus Group'이라는 행위자 라벨과 '에스피오나지(espionage)' 동기 태그를 달고 있다. 그러나 실제로 탐지·샌드박스·룰 매칭 데이터를 갖춘 항목은 파일 41건 가운데 단 1건뿐이다. 나머지 40개 파일 행은 해시값만 존재하고 그 외 필드는 비어 있으며, IP·도메인 15건은 VirusTotal 기준 0/89 혹은 1/89라는 사실상 무해 수준의 탐지율에 머문다. 이 한 건의 파일이 특별한 것은 라벨의 무게가 아니라, 그 안에 담긴 구체적인 은닉·전파 기법 조합이 지금도 유효한 위협 지형의 한 단면을 보여준다는 점이다. 이번 분석은 그 단일 샘플이 어떻게 작동하는지, 그리고 그 주변을 감싼 인프라 소음이 왜 캠페인의 실체로 오독되기 쉬운지를 함께 짚는다.