5년 전 매크로 문서, Emotet 이름 달고 최신 인프라 곁에 재등장

Attachment-5598.doc라는 이름으로 유통된 MS 워드 문서(6d52566b89a5b92fa269622283544ea520f7c2b92f3afa5eade2cb849c473ddd) 한 건이, 2026년까지 이어지는 현재 추적 구간 안에서 가장 뚜렷한 실행 증거를 남기고 있다. VirusTotal 기준 탐지율은 44/77로 절반을 넘기지만, 이 파일이 흥미로운 이유는 탐지 수치 자체가 아니라 행위 태그의 구성이다. "auto open", "creates OLE objects", "contains office macros", "runs a file it drops to disk"라는 네 개의 태그가 나란히 붙어 있는데, 이는 문서를 열자마자 매크로가 자동 실행되고 그 매크로가 디스크에 파일을 떨어뜨려 곧바로 구동시키는 전형적인 2단계 다운로더 구조를 그대로 드러낸다.