청두 서명키 하나, 벤더 탐지명 일곱 개로 갈라졌다

업스트림 위협 피드는 이번 파일 묶음에 TA428(별칭 ThunderCats)이라는 행위자명과 ncctrojan·ghost라는 백도어 계열 패밀리, 그리고 "espionage"라는 동기를 붙여 놓았다. 그런데 열여섯 개 파일을 하나씩 열어보면 그 라벨이 가리키는 그림과 실제 파일들이 보여주는 그림이 서로 다른 방향을 향하고 있다는 사실이 곧바로 드러난다. VirusTotal에서 확인되는 위협 라벨은 하나같이 polarwind, ludashi, jaik, gencbl, misc/cert 같은 애드웨어·PUP(불필요 프로그램) 계열이고, ncctrojan이나 ghost라는 문자열은 어느 파일의 어떤 필드에도 등장하지 않는다.