iMesh 설치파일에 숨은 이중 애드웨어 엔진, Armadillo로 샌드박스 우회

2000년대 초반 P2P 전성기를 풍미했던 iMesh 클라이언트의 설치파일이 Cydoor와 SaveNow라는 두 개의 애드웨어 엔진을 함께 배포하는 트로이목마 래퍼로 재활용되고 있다. CTX Team이 추적한 이번 캠페인에서 핵심 페이로드 세 개는 모두 PEiD 패커 시그니처를 공유하며 동일한 빌드 파이프라인에서 생성된 것으로 확인됐다 — 그러면서도 각각 서로 다른 imphash를 유지해 해시 기반 탐지를 분산 회피하는 구조를 취하고 있다. 더 눈에 띄는 것은 방어 회피의 수준이다. CD_Load.exe와 SaveNow.exe는 Armadillo 프로텍터와 디버거 환경 감지 로직을 탑재해 Zenbox 샌드박스에서 CLEAN 판정을 받아냈다 — AV 탐지율이 46/77, 45/77에 달함에도 불구하고.