FileZilla 사칭 .cc 도메인, 콩고 겨냥 2단계 드로퍼 체인 배포

2025년 12월 24일, NICENIC INTERNATIONAL GROUP CO., LIMITED를 통해 등록된 도메인 하나가 조용히 활성화됐다. 이름은 filezilla.cc — 전 세계 수백만 명이 사용하는 오픈소스 FTP 클라이언트 FileZilla의 공식 도메인(filezilla.org)과 한 글자 TLD 차이다. 이 도메인의 /Updater.exe 경로는 가짜 소프트웨어 업데이트 설치 파일을 제공하는 초기 접근 거점으로 기능했다. 피해자가 해당 URL에 접근하는 순간, 4KB짜리 경량 드로퍼가 실행되고, 이어서 583KB 바인더 페이로드가 %TEMP%\main\extracted\ 경로에 풀린다. 두 파일 모두 서명이 없고, 디버거 환경 탐지와 장시간 슬립을 통해 샌드박스 분석을 회피하며, 실행 후에는 pool.hashvault.pro로 CoinMiner JA3 TLS 핑거프린트를 통해 암호화폐 채굴 풀에 비콘을 전송한다.