폐기 인증서 단 mimikatz 드라이버, 6년째 그대로 유통

VirusTotal에 누적된 46개 파일 묶음을 들여다보면 눈에 띄는 것은 새로운 악성코드가 아니라 낡은 도구의 재활용이다. mimikatz의 커널 드라이버 mimidrv.sys와 라이브러리 mimilib.dll 네 종은 지금도 Benjamin Delpy(gentilkiwi)의 원본 코드 서명 체인을 그대로 달고 유통되고 있는데, 그 인증서는 이미 발급기관이 명시적으로 폐기(revoke)한 상태다. 32비트 빌드 02ebf848fa618eba27065db366b15ee(mimidrv.sys)는 GlobalSign CodeSigning CA-G2 체인으로 서명돼 있고, VirusTotal 서명 검증 결과는 "A certificate was explicitly revoked by its issuer"로 명확히 나온다.