Google 서명 위장 macOS 악성코드, 76개 백신 전부 탐지 실패

Apple Silicon과 Intel Mac을 동시에 겨냥한 166KB짜리 Mach-O 유니버설 바이너리 두 개가 엔지니어링·정부 부문 표적을 향해 유포되고 있다. 파일명은 com.google.Chrome.helper — Chrome 브라우저가 정상적으로 생성하는 서브프로세스 이름을 그대로 모방했다. 두 샘플 모두 유효한 Google LLC 코드 서명 인증서(일련번호 B4 A9 AB 6D DC DB 7B, Apple Inc. 발급)를 달고 있지만, 필수 Info.plist 번들이 없어 Gatekeeper의 완전한 유효성 검사를 통과하지 못하는 MissingPlist 상태다. 그럼에도 VirusTotal에 등록된 76개 엔진 전체가 이 파일을 탐지하지 못했다. 서명의 구조적 결함이 탐지를 막는 게 아니라, 오히려 그 결함 자체가 공격자의 의도된 설계라는 점이 이 캠페인의 핵심이다. CTX Team은 이 캠페인을 심각도 100, 신뢰도 80으로 분류된 위협으로 공식 등록했다.