APT28, 크랙 설치파일 위장한 PPI형 유통망 가동

rabbitsbird.info라는 도메인의 /pe/build.php 경로에 title 파라미터를 base64로 인코딩해 전달하면(title=V29uZGVyc2hhcmUgRmlsbW9yYQ%3D%3D, 디코딩 시 "Wondershare Filmora"), 서버는 /pe/output/setup_7743481.exe처럼 요청마다 고유 번호가 매겨진 실행 파일을 즉석에서 내려준다. 이는 정적으로 미리 만들어 둔 악성 파일을 서버에 올려두는 방식이 아니라, 클릭 한 번마다 페이로드를 새로 찍어내는 빌더-서비스 백엔드에 가깝다. 실제로 확보된 샘플(17cbc0cd…c144b907)의 파일명이 정확히 "Wondershare Filmora.exe"이고, 경로 상에는 "Wondershare Filmora v15.2.5.17803 (x64) Crack 2026 New"라는 크랙 릴리스명이 그대로 남아 있다 — 네트워크 인프라와 페이로드의 위장 정체성이 정확히 맞물리는 지점이다.