정품 서명 두 장 뒤에 숨은 RAT, PC 최적화 프로그램의 두 얼굴

중국계 PC 최적화 프로그램 'WinOptimize' 계열 설치 파일에 포함된 두 개의 DLL이 샌드박스 분석에서 'PubNubRAT'라는 이름의 원격제어 악성코드로 판정됐다. 문제는 이 DLL들이 애드웨어치고는 이례적으로 정상적인 코드 서명을 달고 있었다는 점이다. privacy.dll이라는 이름으로 배포된 DLL(82c06ae2…f0928)은 정적 탐지 25/76에 불과했지만 C2AE 샌드박스는 이를 명확히 'RAT' 범주로 분류하며 악성코드 이름을 PubNubRAT로 특정했다. scarctrl.dll(f66ff607…3ab88)도 동일한 이름의 RAT로 지목됐는데, 같은 파일을 본 Zenbox 샌드박스는 오히려 '무해'로 판정했다. CTX Team이 이번 사례를 주목하는 이유는 바로 이 간극에 있다 — 정품처럼 보이는 애드웨어 유통망이 실제로는 원격 접근 도구를 실어 나르는 통로로 쓰이고 있다는 정황이 데이터로 확인됐기 때문이다.