XWorm V5.6, 18개 플러그인 완전무장 — 단일 빌드·단일 Azure IP로 운영

XWorm V5.6의 메인 실행 파일 하나가 18개의 전용 플러그인 DLL을 거느리고 실제 배포 환경에서 작동 중인 것이 확인됐다. 단순히 RAT 샘플이 발견됐다는 수준의 이야기가 아니다. 18개 DLL 전체가 동일한 imphash(dae02f32a21e03ce65412f6e56942daa)를 공유하고 PE 타임스탬프가 2024년 3월 6일에 집중돼 있다는 사실은, 이 플러그인 세트가 단일 빌드 파이프라인에서 일괄 생산됐음을 의미한다. HVNC, 키로거, 브라우저 자격증명 탈취, 랜섬웨어, CMSTP UAC 우회, Windows Defender 무력화까지 — 공격 사이클 전 단계를 커버하는 기능이 하나의 패키지로 묶여 있다. 이 완성도가 이번 캠페인을 단순한 상용 RAT 유포 사건과 구분 짓는 핵심이다. C2 인프라 역시 같은 논리로 구성돼 있다.