서로 다른 Bright SDK 파일, 같은 서비스 이름 공유

Bright Data가 서명한 한 net_updater.exe의 자동 시작 관련 기록에 서로 다른 세 이름이 등장한다. epicpen_com, brightvpn_com, drvhub_net으로 끝나는 Windows 서비스 경로다. 같은 파일에는 한 샌드박스가 내린 ‘PBot·정보탈취형 악성코드’ 판정도 붙어 있다. 여러 제품을 가리키는 서비스 이름과 유효한 서명, 악성 판정은 이 업데이트 프로그램의 역할을 어디까지 설명할까. CTX Threat Intelligence 자료에서 가장 구체적으로 확인되는 것은 서로 다른 Bright SDK 업데이트 파일들이 동일한 서비스 이름을 공유한다는 관계다. 이는 파일명만 같은 경우보다 분명한 조사 단서다. 다만 서비스 경로가 보고됐다는 사실과 실제 서비스 생성·실행, 정보 탈취는 각각 다른 수준의 증거다. 이 사례를 이해하는 핵심은 서명과 탐지 판정 중 하나를 택하는 것이 아니라, 파일과 서비스의 연결을 먼저 좁혀 보는 데 있다.