라벨은 11개, 몸통은 하나 — 스틸러 뒤엔 같은 로더

VirusTotal이 서로 다른 패밀리로 갈라놓은 세 개의 파일이, 사실은 같은 코드 조각을 공유하고 있었다. 10.5MB 크기의 EmailCheckerPro 2.0.exe(f7903f76ad3c…, 56/76 탐지)와 253KB의 WindowsHost.exe(2e309c9c67e7…, 55/75 탐지), 그리고 333KB의 무명 실행파일(e1743a2f00c3…, 42/76 탐지)은 각각 threat_label이 trojan.stealc/marte, trojan.clipbanker/tedy, trojan.mikey/bank로 완전히 다르게 매겨져 있다. 그런데 세 파일 모두에서 YARA 룰 INDICATOR_SUSPICIOUS_ReflectiveLoader와 ReflectiveLoader가 동시에 발화한다. 안티바이러스 엔진들은 이들을 별개의 위협으로 분류했지만, 실제로는 동일한 리플렉티브 로딩 스텁이 서로 다른 "브랜드"의 페이로드를 감싸고 있는 셈이다.