단일 빌더로 찍은 다섯 개 변종, 인도 피해자 문서 폴더 두 차례 탈취

%TEMP%\1.exe부터 %TEMP%\5.exe까지 순번이 붙은 다섯 개의 9KB PE32 실행 파일이 인도 지역 피해자 시스템에 투하됐다. 외형은 제각각이다. TLSH 퍼지 해시를 비교하면 T1B9122A…, T1FF122A…, T14312294… 등 값이 서로 다르다. 그러나 imphash를 들여다보는 순간 이 다섯 개는 하나의 출처로 수렴한다 — 706cc522e8bfff8088fbe700175fce5b. vhash(093056655d05551063z12z19045z2025z1031zcfz), rich PE header hash(f4dba0448f29af5043926a31c5ec6054), PE 컴파일 타임스탬프(2018-04-10), 진입점(8969)까지 다섯 샘플 모두 동일하다. Malpedia 기반 YARA 룰 win_godzilla_loader_auto도 다섯 개 전부에서 발화한다. 이것이 이 캠페인의 핵심 트레이드크래프트다.