폐기된 서명 인증서, 2018년 뱅커 체인 되살리다

리비전이 취소된 코드 서명 인증서 하나가 서로 다른 두 실행 단계에 똑같이 찍혀 있다. CTX Team이 확인한 이번 파일 코호트에서, NSIS 설치 파일과 최종 단계에서 실행되는 뱅커 DLL은 시리얼 넘버 00 8E 3E 9A 2F E7 3C 91 98 5B 4F 90 D5 95 77 CD 6C, 서명자 MASTER LIM LTD, 상위 체인 COMODO RSA Code Signing CA·Sectigo(구 Comodo CA)로 이어지는 완전히 동일한 인증서 체인을 공유한다. VirusTotal 코드 서명 검증 결과는 두 파일 모두 "발급 기관에 의해 명시적으로 폐기된 인증서"로 판정한다. 이 인증서는 2018년 12월 24일부터 2019년 10월 19일까지만 유효했던 것으로, 이미 6년 넘게 지난 신뢰 사슬이 지금도 탐지 파이프라인에 재등장하고 있는 셈이다.