Chrome으로 위장한 WinosStager, Tor 전용 C2로 10개국 침투

서명되지 않은 PE 바이너리 하나가 Google Chrome의 외피를 두르고 화학·제조·정부 기관 시스템의 시작 프로그램 폴더에 자리를 잡았다. 파일명은 chrome.exe, 버전 정보에는 "Copyright (C) 2026 Google LLC"가 새겨져 있지만, 내부 이름은 networkmonitor이고 코드 서명 인증서는 없다. 이 바이너리가 외부와 통신하는 경로는 클리어넷이 아니다 — 명령제어(C2) 트래픽 전체가 Tor 네트워크를 통해 DGA 스타일의 .onion 은닉 서비스 두 곳으로만 흘러들어간다. 방어자가 네트워크 계층에서 차단하거나 싱크홀로 유도할 수 있는 클리어넷 인프라는 이 캠페인에 존재하지 않는다. CTX Team이 추적해 온 이 활동은 과암, 인도, 이탈리아, 말레이시아, 파나마, 페루, 폴란드, 루마니아, 엘살바도르, 터키 등 10개국에 걸쳐 화학, 컨설팅, 정부·행정, 제조업 분야를 표적으로 삼고 있다.