EV 인증서 한 장, 백신 44개 탐지 무력화시키다

지난 4월 23일 오전 8시 36분(현지 표기 기준), 서로 다른 이름을 가진 네 개의 실행파일이 정확히 같은 순간에 서명됐다. AdvancedWindowsManager.exe, Windows Updater.exe, Installer_1.0.0.exe, 그리고 e78a2.msi — 파일명은 제각각이지만 서명자는 모두 'ORYON TECH LIMITED'이고, 서명 체인은 Sectigo Public Code Signing CA EV R36을 거쳐 동일한 타임스탬프를 공유한다. CTX Team이 이번 캠페인을 들여다보며 가장 먼저 주목한 지점은 행위자의 정체가 아니라 이 서명 한 장이 실제로 무엇을 해내고 있는가였다. VirusTotal 기준 이 네 개 파일은 각각 24/74, 39/75, 40/75, 44/75의 정적 탐지율을 기록하며 microleaves·jatif·legion·onlineguard 계열 트로이목마·어드웨어로 명확히 분류돼 있다.