KMSPico 위장 악성코드, 1년짜리 C2 도메인으로 공격 사슬 완성

2017년 10월 19일, Silver Domain Names LLC(IANA ID 2880)를 통해 조용히 등록된 도메인 하나가 2015년부터 유통되던 KMSPico 위장 악성 인스톨러 클러스터의 C2 체크인 엔드포인트로 확인됐다. idyllicdownload.com — 등록 후 약 1년 만에 redemptionPeriod 상태로 전환되고 현재는 NXDOMAIN으로 소멸한 이 도메인은 — 두 개의 NSIS 패키징 인스톨러(3836bacc, b4c9edd9)가 실행 직후 발신하는 아웃바운드 체크인 트래픽의 목적지였다. Proofpoint Emerging Threats Open 룰셋의 ET ADWARE_PUP Downloader.NSIS.OutBrowse.b Checkin과 Snort 등록 사용자 룰 PUA-ADWARE Win.Adware.OutBrowse variant outbound connection detected가 두 샘플 모두에서 동시에 발화하며 이를 확인해준다.