conhost 위장한 vjw0rm, LNK로 시작해 5년 뒤 재등장

바로가기(.lnk) 파일 한 장이 배치 스크립트를 부르고, 그 배치 스크립트가 AutoIT로 컴파일된 실행 파일을 떨어뜨리는 3단 드롭 체인이 태국 제조업 표적 환경에서 재구성됐다. CTX Team이 확인한 9건의 파일 지표는 각기 다른 시점에 제출됐지만, 하나로 이어 붙이면 vjw0rm 계열 웜의 전형적인 감염 경로를 그대로 복원해 낸다. 특히 최종 페이로드는 자신을 정상 Windows 프로세스인 conhost.exe로 위장시키는데, 실제 드롭된 파일명은 conhostHost.exe이고 리소스 경로는 .rsrc/RCDATA/CONHOSTHOST.MP4로 기록돼 있다. 미디어 파일처럼 보이는 리소스 이름 뒤에 실행 파일을 숨기고, 프로세스명은 정상 시스템 유틸리티와 거의 구분되지 않게 만든 것이다. 이 클러스터의 배후로는 TA2541(별칭 Operation Layover)이 지목돼 있다.