13개월 재사용된 서명 인증서, 中 애드웨어를 '신뢰 게시자'로

VirusTotal 탐지 엔진 76개 가운데 35개가 악성으로 표시한 파일(8822a1a1d1d5…)과, 같은 서명자·같은 인증서 체인을 쓰면서도 16개 엔진만 걸어낸 파일(a3d00237fffb…)이 같은 뿌리에서 나왔다. 두 파일 모두 성도(成都) 소재 기업 명의의 DigiCert Trusted G4 코드 서명 인증서로 서명돼 있고, 시리얼 넘버까지 완전히 동일하다. CTX Team이 이번에 정리한 지표군은 하나의 서명 계정이 13개월에 걸쳐 계속 새 빌드를 서명해 배포한 흔적을 촘촘하게 남기고 있다 — 그리고 그 서명 신뢰를 발판으로 삼은 것은 스파이웨어나 랜섬웨어가 아니라, 시스템 최적화·정리 유틸리티로 위장한 중국계 애드웨어/PUA 계열이다. 업스트림 피드는 이 레코드에 APT29(코드네임 Cozy Bear 등)와 'glasses', 'radrat' 패밀리, 그리고 espionage 동기를 태그로 붙여 놓았다.