다섯 개 악성코드 이름표, 알고 보니 하나의 C2 패널

VirusTotal 라벨만 놓고 보면 이번 유출 표본군은 서로 무관한 다섯 개의 사건처럼 보인다. trojan.amadey/lumma, trojan.stealc/marte, trojan.clipbanker/cerbu, trojan.kasidet/fragtor, trojan.barys/misc — 엔진마다 붙이는 이름이 다르고, 파일 크기도 26KB짜리 소형 트로이부터 51,250KB에 달하는 비대한 번들까지 제각각이다. 그런데 이 표본들이 실제로 통신하는 명령제어 인프라를 들여다보면 이야기가 완전히 달라진다. Stealc로 분류된 로더(0215f734…, 767KB)와 Amadey/Lumma 다운로더(5258a241…, 516KB), Barys 트로이(2da25c8689…, 26KB)가 모두 같은 IDS 룰 "POLICY-OTHER HTTP request by IPv4 address attempt"에 걸린다.