FILE회원 전용

만료 인증서인데도 살아있는 신뢰 체인, 네 얼굴의 번들러

정상 유틸리티 네 개의 이름을 뒤집어쓴 동일 바이너리가 2년 가까이 순환 유통되며, 리프 인증서가 만료된 뒤에도 상위 체인이 살아있다는 이유만으로 계속 '서명됨'으로 실행 허가를 받고 있다. 별개로 관측된 저비용 크립토 스캠 도메인 묶음과 세 개의 APT 라벨은 실제 증거와 뚜렷한 간극을 보인다.

2026년 7월 23일 21:51 (UTC+9)최근 관측2026년 7월 23일심각도100글CTX Team행위자PatchworkChinastratsIOC12MITRE8

핵심 요약

Resource Hacker, XMEye VMS, KeyTweak, glogg 등 네 개 정상 유틸리티 이름으로 위장 유포된 동일 바이너리는 만료된 코드서명 리프 인증서를 상위 체인의 유효성만으로 계속 신뢰받으며 11,721건 제출, 2년 가까이 순환 유통되고 있다. 디버거 탐지·긴 슬립 등 회피 태그로 정적 탐지(35/75)와 동적 샌드박스(0/2) 사이 격차를 벌리며, 별도로 관측된 Hostinger 임대 VPS와 89일짜리 Let's Encrypt 인증서 기반 크립토 스캠 도메인군은 이 파일과 직접적 지표 연결고리가 없다. Patchwork·APT28·APT15 세 APT 라벨과 espionage 동기 태그는 실제 아티팩트(상업적 PUA 번들러, 저비용 스캠 인프라)와 부합하지 않아 라벨 오염 가능성이 제기된다.

Resource Hacker 5.2.8, XMEye VMS 2.0.1.18, KeyTweak 2.3.1, glogg 1.1.4 — 서로 아무 관련이 없는 네 개의 정상 유틸리티 설치파일 이름을 뒤집어쓴 동일한 바이너리 한 개가 CTX Team의 관측 대상에 걸렸다. 해시 4bc69acd…788bb3c60a로 식별되는 이 파일은 resource-hacker-5.2.8-installer_s-xLCW1.exe, xmeye-vms-2.0.1.18-installer_oSJXm-1.exe, keytweak-2.3.1-installer_0-uzqM1.exe, glogg-1.1.4-installer_Xw-tXh1.exe라는 네 가지 파일명으로 동시에 유포되며, 위협 라벨은 adware.bundler/cppinstaller로 분류돼 있다.

회원 전용

회원 전용 기사

이 기사는 비공개로 분류되어 로그인한 회원만 본문과 IOC를 열람할 수 있습니다.

로그인하고 본문 보기

Source: CTX Threat Intelligence