Kimsuky, '주문서' 위장 Guloader로 폴란드·독일·호주 겨냥

폴란드어로 '주문서(Zamówienie)'라고 적힌 실행 파일 하나가 2026년 5월 18일 처음 위협 피드에 등장했다. 파일명은 Zamówienie_Nr.2605011793800182.exe — 실제 구매 발주 번호처럼 보이도록 정교하게 꾸며진 숫자열까지 붙어 있다. 그러나 이 326KB짜리 Win32 실행 파일의 진짜 정체는 Guloader를 품은 NSIS 자가 압축 해제 드로퍼였다. 더 눈길을 끄는 것은 파일 자체보다 그것을 감싸고 있는 위장의 층위다. 'Brittlewort'라는 이름의 자가서명 인증서, 실제 컴파일 시점보다 거의 6년 앞선 PE 타임스탬프, 샌드박스 환경에 따라 극단적으로 갈리는 분석 결과, 그리고 정적 분석을 완전히 무력화하는 제로 탐지 2차 페이로드까지 — 이 캠페인의 핵심은 Guloader라는 도구 자체가 아니라, 자동화된 탐지 파이프라인을 겨냥해 정밀하게 설계된 회피 기법의 조합이다.