10년 전 파이어폭스 위장 로더, 최신 C2망에서 재등장

VirusTotal에서 20/54개 엔진에 걸리는 한 Win32 실행파일이 있다. 크기는 139KB, 제품명과 내부 이름, 저작권 문구까지 전부 "Firefox" 40.0.3을 사칭하고 있지만 서명은 없다. 그런데 이 파일이 처음 관측된 시점은 2015년 12월 10일이고, 이번에 이 파일이 물려 들어온 C2 서버 세트의 관측 구간은 2026년 2월부터 8월까지다. 약 10년 안팎의 시간 차를 두고, 낡은 몸통 하나가 최신 인프라 옆에 다시 모습을 드러낸 셈이다. 이 파일에 딸려 있는 여덟 개의 IP는 불가리아, 우크라이나, 몰도바, 미국(등록지는 라트비아), 한국, 세르비아에 걸쳐 흩어져 있고, 그중 단 하나의 쌍만이 같은 통신사 블록을 공유한다. CTX Team이 이번에 들여다본 것은 정교하게 조직된 캠페인이 아니라, 두꺼운 아티팩트 한 건과 얇고 흩어진 인프라 조각들이 뒤섞인 비대칭적인 증거 세트다. 이 표본에는 waledac이라는 계열명이 붙어 있다.