만료 인증서 드라이버·크랙 RedLine… 조합형 크라임웨어 툴킷 포착

탐지 라벨상으로는 전혀 무관한 악성코드 세 개—바인더 계열의 darkylock, 파일평판 기반의 stealc 계열, 트로이목마 계열의 agentb—가 동일한 XOR 난독화 문자열 하나로 서로 엮이는 정황이 이번 업데이트에서 확인됐다. 세 샘플 모두 Florian Roth가 작성한 YARA 룰 SUSP_XORed_Mozilla_Oct19에 동시에 걸렸고, 그중 두 개는 CMSTP COM 인터페이스를 악용한 UAC 우회 탐지 룰(INDICATOR_SUSPICIOUS_EXE_UACBypass_CMSTPCOM, T1218.003)까지 나란히 발화했다. 여기에 서명은 됐지만 이미 유효기간이 지난 Microsoft WHCP 드라이버 인증서로 보안 프로세스를 강제 종료하는 BYOVD 페이로드까지 같은 지표 묶음에 섞여 있다.