인보이스 위장 JScript, 잠들었다 깨어나 외부IP부터 확인

7월 초 관측된 이 다운로더 웨이브에서 가장 먼저 눈에 들어오는 것은 파일명이 아니라 행동이다. 확인된 UTF-16 인코딩 JScript 파일(threat_label trojan.hdjsfn/htjs, VirusTotal 탐지 30/74)은 'Comprobante de pago.js', 'cotización___pdf.js', 'Orden de compra_27463.js' 같은 스페인어 상거래 문서명으로 반복 제출됐다 — 결제확인서, 견적서, 구매주문서라는 세 가지 다른 포장지를 두른 동일한 페이로드라는 뜻이다. 그리고 이 파일에는 long-sleeps, idle이라는 태그가 명시적으로 붙어 있다. 즉 실행 직후 바로 악성 행위를 드러내지 않고 의도적으로 대기 상태에 머무는 로직이 내장돼 있다는 것이 데이터로 확인된다. 이 지연 실행은 단순한 우연이 아니라 시간 기반 샌드박스 회피(T1497.003)로 읽을 수 있는 설계다.