5년 묵은 Phorpiex 드로퍼, 값싼 도메인 위서 여전히 활동

VirusTotal에 처음 포착된 지 5년이 넘은 Phorpiex 계열 드로퍼(5d9b6c49a8c8…)가 2025년 11월까지도 계속 제출되고 있다. 이 파일은 여전히 CPU 타이머를 직접 읽어 분석 환경 여부를 판별하고, 실행을 장시간 지연시키는 전형적인 샌드박스 회피 루틴(T1497.003)을 그대로 유지한 채 svchost.exe·DriveMgr.exe 같은 정상 시스템 프로세스로 위장(T1036)한다. 더 눈에 띄는 건 이 오래된 드로퍼가 최근까지 활성 상태를 유지하는 두 개의 명령제어(C2) 도메인 — trik.ws, trikhaus.top — 과 함께 관측된다는 점이다. 두 도메인은 전용 인프라를 구축하는 대신 남의 인증서와 값싼 등록기관을 빌려 HTTPS 위장막을 두르는 방식으로 운영 비용을 최소화하고 있다. 새로운 무기가 아니라, 오래된 무기가 값싼 인프라 위에서 얼마나 오래 버틸 수 있는지를 보여주는 사례다. 이번 레코드에는 특정 행위자 이름이 붙어 있지 않다.