임포트 해시 하나로 묶인 세 악성코드, 'Black Atlas'의 실체

MSIL(닷넷) 실행파일 세 개가 서로 다른 탐지 라벨을 달고 있다. 하나는 jalapeno, 하나는 agenttesla, 하나는 zusy — 이름만 보면 완전히 별개의 악성코드로 보인다. 그런데 이 세 파일, pctool.exe(9cde8e9e…), Loweringly.exe(f71062ef…), gsdfgsdfsd.exe(d12662f6…)는 임포트 해시(imphash) f34d5f2d4577ed6d9ceec516c1f5a744를 정확히 공유한다. 임포트 해시는 실행파일이 어떤 API를 어떤 순서로 불러오는지를 지문화한 값이라, 이 값이 완전히 일치한다는 것은 세 파일이 서로 다른 개발자가 독립적으로 작성한 코드가 아니라 같은 빌더 혹은 크립터 서비스를 거쳐 나왔다는 뜻으로 읽힌다. VirusTotal 탐지율을 보면 pctool.exe는 62/78, Loweringly.exe는 57/77, gsdfgsdfsd.exe는 52/76을 기록했다.