Phorpiex, 페이로드 3종 교체로 탐지 초기화…C2 인프라는 유지

이전 보도(Phorpiex, 세 개의 페이로드를 교체하며 C2 인프라를 유지) 이후에도 이 캠페인은 조용히 지속되고 있다. 달라진 것은 인프라가 아니라 바이너리다. 이번 관측 시점에서 캠페인에 등록된 파일 IOC 3종이 모두 새것으로 교체됐고, 그 가운데 두 개는 VirusTotal에 메타데이터가 전혀 없다 — 제출 기록도, 탐지 이력도, 파일 유형 정보도 없다. 나머지 하나는 'long-sleeps' 태그가 붙은 28KB짜리 패킹된 PE32로, 유일하게 돌아간 샌드박스(C2AE)에서 UNKNOWN_VERDICT를 받아냈다. C2 IP 두 개와 tsrv2.top 경로 네 개는 이전 관측과 동일하다. CTX Team이 추적해 온 이 캠페인은 카자흐스탄과 파키스탄의 통신 서비스 사업자를 표적으로 삼고 있으며, 지금 보이는 것은 운영 중단의 신호가 아니라 탐지 커버리지를 의도적으로 초기화하는 성숙한 운영 위생의 흔적이다.