9일 만에 C2 도메인 2개 추가…템플릿화된 인프라 확장 포착

이전 보도(이전 보도)에서 CTX Team은 ORYON TECH LIMITED 명의의 Sectigo EV 코드 서명 인증서로 묶인 'AW Manager' 애드웨어 설치 체인을 추적했다. 이번 관측 주기에서 확인된 가장 큰 변화는 페이로드가 아니라 인프라다. 2026년 5월 12일부터 21일 사이 단 9일 간격으로 두 개의 신규 C2 도메인이 동일한 템플릿 워크플로우로 프로비저닝됐고, 이와 별개로 Omegatech LTD(ASN 202412) 소속의 원시 IP 엔드포인트 158.94.209.95가 페이로드 전달 채널로 새롭게 등장했다. 파일 지표 10개가 추가됐고, 그 중에는 CryptOne 패킹 기반의 고탐지율 세컨더리 드로퍼와 모든 AV 엔진을 우회하는 암호화 DLL이 포함돼 있다. 이전 보도가 다룬 EV 서명 애드웨어 체인은 그대로 유지된 채, 그 위에 더 공격적인 페이로드 레이어가 얹혔다.