KMSpico 위장 악성 패키지, 10년짜리 자가서명 인증서로 LummaStealer 유포

KMSpico 소프트웨어 불법 복제 도구로 위장한 악성 설치 패키지가 케냐 기술 분야를 표적으로 유포되고 있다. 겉으로는 흔한 윈도우 인증 우회 도구처럼 보이지만, 그 내부에는 단일 자가서명 인증서로 묶인 4개의 실행 파일, Dotfuscator 난독화, WinDivert 패킷 캡처 드라이버, Formbook 계열 안티훅 우회 코드가 층층이 쌓여 있다. 그리고 이 KMS 설치 체인의 끝에는 2025년 5월 25일 처음 관측된 LummaStealer 드로퍼 두 개가 자리 잡고 있으며, 이들은 .top TLD 기반 C2 도메인 6개에 TLS 암호화 채널로 비콘을 전송하고 있다. 전형적인 크랙 도구 캠페인이라 보기에는 지나치게 정교한 회피 계층 — 이것이 이번 분석의 출발점이다. CTX Team은 이 캠페인을 심각도 44, 신뢰도 85로 분류된 위협 클러스터(CTXyftd6jnlwf)로 등록했다. 이 캠페인의 가장 뚜렷한 지문은 코드 서명 인증서다.