30년짜리 자가서명 인증서로 위장한 KMSpico, 4겹 탐지 우회 구조 확인

토렌트와 소프트웨어 불법 복제 채널을 통해 유포되는 KMSpico 설치 패키지가 단순한 해킹 툴 이상의 무언가를 품고 있다는 사실이 CTX Team의 분석을 통해 확인됐다. 이 캠페인의 핵심 페이로드 — Service_KMS.exe, AutoPico.exe, KMSELDI.exe — 는 2015년 8월 9일 자가 발급된 '@ByELDI Certificate Authority' 루트 인증서(시리얼 44 0F EC E1 E0 E0 E4 95 42 EA BC 3A 4A 36 E0 3D)로 서명돼 있으며, 유효 기간은 2045년까지 30년에 걸쳐 있다. 인증서 체인은 신뢰할 수 없는 루트에서 종료되고 해지 상태는 오프라인으로 확인 불가능한 상태임에도, 네 개의 바이너리 모두 Authenticode 'signed' 태그를 달고 있어 파일 속성을 피상적으로 확인하는 사용자나 단순 신뢰 검사를 수행하는 보안 도구를 기만할 수 있는 구조다.