15년 된 웜 Sality, XMRig 채굴 배송관으로 재활용

2010년 7월 25일 VirusTotal에 처음 제출된 Sality 계열 드로퍼(df83a0d6…484a3c)가, 16년이 지난 지금도 Abuse.ch의 Suricata JA3 지문 룰셋에서 "SSLBL: Malicious JA3 SSL-Client Fingerprint detected (Tofsee)" 경보를 그대로 터뜨리고 있다. 이 파일 하나가 지금까지 281건의 제출, 46곳의 서로 다른 소스에서 관측됐다는 사실은 이 웜 계보가 폐기되지 않고 여전히 유통되고 있음을 보여준다. 그런데 이번 캠페인 스냅샷에서 눈에 띄는 것은 이 낡은 웜이 혼자가 아니라는 점이다. 같은 수집 창 안에서 XMRig 기반 채굴 실행파일과 그 설정파일(config.json)이 짝을 이뤄 함께 잡혔고, 여기에 이미지 파일로 위장한 저탐지 마이크로 페이로드 두 개가 다리 역할을 하듯 얹혀 있다.