서로 다른 이름의 압축 파일·PE, 해제 크기로 일곱 쌍 대응
ZLIB 객체 일곱 개의 압축 해제 크기가 각각 별도 PE 파일의 크기와 맞아떨어진다. 이는 서로 다른 이름으로 기록된 파일들이 같은 구성 요소일 가능성을 좁혀 주지만, 자식 파일 해시와 압축 해제·설치 기록이 없어 내용 동일성이나 배포 관계는 확인되지 않았다.
서로 다른 Bright SDK 파일, 같은 서비스 이름 공유
Bright Data가 서명한 한 net_updater.exe의 자동 시작 관련 기록에 서로 다른 세 이름이 등장한다. epicpen_com, brightvpn_com, drvhub_net으로 끝나는 Windows 서비스 경로다. 같은 파일에는 한 샌드박스가 내린 ‘PBot·정보탈취형 악성코드’ 판정도 붙어 있다. 여러 제품을 가리키는 서비스 이름과 유효한 서명, 악성 판정은 이 업데이트 프로그램의 역할을 어디까지 설명할까. CTX Threat Intelligence 자료에서 가장 구체적으로 확인되는 것은 서로 다른 Bright SDK 업데이트 파일들이 동일한 서비스 이름을 공유한다는 관계다. 이는 파일명만 같은 경우보다 분명한 조사 단서다. 다만 서비스 경로가 보고됐다는 사실과 실제 서비스 생성·실행, 정보 탈취는 각각 다른 수준의 증거다. 이 사례를 이해하는 핵심은 서명과 탐지 판정 중 하나를 택하는 것이 아니라, 파일과 서비스의 연결을 먼저 좁혀 보는 데 있다.
같은 파일 가리킨 로그인 실행·Defender 제외 설정
%WINDIR%\rss\csrss.exe라는 경로가 파일 기록, 로그인 실행 설정, 보안 검사 예외 항목에 거듭 등장한다. Windows 시스템 프로세스를 연상시키는 이름이지만, 분석 기록이 주목한 것은 이름 자체보다 rss라는 하위 디렉터리와 그곳을 가리키는 설정들이다. 이 파일은 단지 시스템 파일처럼 보이려 한 것일까, 아니면 그 위치를 지속적인 실행 거점으로 삼으려 한 것일까. CTX Threat Intelligence가 검토한 샌드박스 자료는 후자의 해석을 뒷받침한다. 해당 경로에 놓인 실행 파일은 분석 대상 표본과 SHA-256이 같았고, 사용자 Run 값은 그 경로를 실행 대상으로 지정했다. 별도의 규칙 일치 이벤트에는 같은 파일을 로그온 때 실행하도록 예약 작업을 만드는 명령이 남았다. Defender 검사 제외 설정을 겨냥한 레지스트리 쓰기에도 rss 경로와 csrss.exe 이름이 나타났다.
원본과 같은 PCSuite.exe, 자동 시작 경로는 달랐다
PCSuite.exe라는 이름으로 저장된 파일의 내용은 분석 대상 실행 파일과 같았다. 하지만 같은 표본의 샌드박스 기록에는 내용이 서로 다른 sta-css.exe와 stat-cpe.exe도 남았다. 하나의 실행 파일이 이름만 바꿔 존재하는 것일까, 아니면 다른 구성요소로 실행을 확장하는 것일까. 이 사례의 핵심은 파일 개수가 아니라, 그 파일들이 실행 명령과 자동 시작 설정에 어떻게 연결되는지에 있다. CTX Threat Intelligence가 확보한 기록은 두 방향의 확장을 보여 준다. 원본과 같은 내용의 PCSuite.exe가 기록되고, 사용자 로그인 시 해당 이름의 프로그램을 실행하도록 하는 레지스트리 값이 설정됐다. 다른 한편으로는 별도 실행 파일, rundll32.exe가 호출하는 로컬 DLL, 임시 배치 파일을 실행하는 명령 셸이 확인됐다. CTX Team은 이를 원본 실행 파일 하나에 머물지 않는 구성요소 배치와 지속 실행 지향의 구조로 평가한다.
C&C회원 전용2026년 10월 12일 07:19 (UTC+9)방화벽 규칙 삭제 대상, 서비스 이름과 일치
netsh.exe에 전달된 삭제 대상은 upWire와 wire라는 두 방화벽 규칙이었다. upWire 표본의 샌드박스 분석 보고서에는 이 이름을 각각 지정한 명령 실행이 기록돼 있다. 별도로 보고된 서비스 레지스트리 위치에도 같은 이름이 등장한다. 단순한 ‘방화벽 변경’ 경보보다 구체적인 질문을 던지는 조합이다. 이 명령은 보안 장벽을 낮추려는 동작이었을까, 아니면 관련 소프트웨어 구성요소를 정리하는 작업이었을까. CTX Threat Intelligence 자료에서 가장 분명하게 확인되는 것은 두 이름을 겨냥한 방화벽 규칙 삭제 시도와, 그 이름에 대응하는 서비스 흔적이다. CTX Team은 이 대응 관계가 서비스 중심으로 구성된 소프트웨어의 유지관리라는 해석을 뒷받침한다고 평가한다. 다만 삭제 명령의 목적이나 결과까지 정해 주지는 않는다. 이 사례의 핵심은 악성 여부를 하나의 경보로 판정하는 데 있지 않다.
#방화벽규칙삭제시도#서비스레지스트리#프로세스생성#netsh#코드서명#샌드박스분석행위자Space Pirates · WebwormIOCf19 · i17 · d6 · u2MITRE19
C&C회원 전용2026년 10월 11일 15:50 (UTC+9)upWire 분석서 ‘wire’ 방화벽 규칙 삭제 명령 확인
Windows 방화벽 전체를 끄는 명령은 아니었다. upWire 파일의 샌드박스 분석에 포함된 프로세스 생성 기록에는 netsh advfirewall firewall delete rule 명령이 두 건 남아 있었고, 삭제 대상으로 지정된 이름은 각각 upWire와 wire였다. 이 이름들은 소프트웨어 구성요소를 가리키는 것일까, 아니면 보안 통제를 제거하려는 흔적일까. 답을 가르는 것은 경고의 심각도가 아니라, 명령이 겨냥한 대상과 다른 호스트 기록 사이의 관계다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적으로 확인되는 것은 이름이 지정된 방화벽 규칙을 삭제하도록 netsh가 실행됐다는 사실이다. 별도의 wire.exe 파일 자료에는 Windows 서비스 레지스트리 위치가 보고돼 있다. 두 관찰은 Wire 관련 소프트웨어를 단순한 실행 파일이 아니라 서비스와 방화벽 설정에 관계된 구성요소로 살펴볼 이유를 제공한다.
#윈도우방화벽#방화벽규칙삭제#netsh#윈도우서비스#프로세스생성#코드서명#Sysmon행위자Space Pirates · WebwormIOCf16 · i18 · d21 · u6MITRE18
C&C회원 전용2026년 10월 11일 00:28 (UTC+9)서로 다른 목적지로 향한 두 유틸리티의 유사한 활동 보고
UninstallerTray.exe의 샌드박스 기록에는 같은 웹 경로로 보내는 두 종류의 요청이 남아 있다. 하나는 type=operate&action=run, 다른 하나는 type=autoitem&action=nowork라는 값을 담았다. 프로그램 이름만 보면 제거 도구의 구성요소지만, 네트워크에서는 자신의 동작 상태를 표현하는 듯한 값을 외부에 전달한 것이다. 이 요청은 단순한 도메인 연관 정보일까, 아니면 다른 프로그램에서도 확인되는 보고 방식의 일부일까. CTX Threat Intelligence가 검토한 자료에서는 후자에 무게를 실을 구체적인 비교점이 확인된다. UninstallerTray와 WinAuthority는 서로 다른 호스트에 접속했지만, 애플리케이션 이름·모듈 버전·식별자 형태의 값·활동 상태를 담는 유사한 HTTP 요청을 보냈다. 두 실행 파일의 코드 서명에는 같은 발행자 인증서가 사용됐다.
#UninstallerTray#WinAuthority#활동보고#HTTP통신#DNS조회#코드서명#인터넷캐시#LSASS경보행위자Group123 · Venus 121IOCf10 · i3 · d2 · u1MITRE52
FILE회원 전용2026년 10월 10일 23:23 (UTC+9)PNG 이름의 DLL, 원격 데스크톱 서비스 로딩 대상으로 지정
윈도 원격 데스크톱 서비스의 DLL 경로에 이미지처럼 보이는 파일이 지정됐다. 샌드박스 기록에서 TermService의 ServiceDLL 값은 C:\Windows\branding\mediasrv.png를 가리켰다. 같은 실행 파일을 분석한 다른 기록에서는 그 경로에 생성된 파일의 내용이 실제로 64비트 윈도 DLL임을 해시로 확인할 수 있다. 왜 원격 데스크톱 서비스가 PNG 확장자의 파일을 불러오도록 설정됐을까. CTX Threat Intelligence가 확보한 분석 기록은 단순한 파일 위장을 넘어, 원격 데스크톱 관련 서비스의 구성을 바꾸려는 시도를 보여 준다. 실행 파일은 PowerShell을 통해 임시 디렉터리의 스크립트를 호출했고, 그 PowerShell 아래에서 서비스 시작 명령들이 실행됐다. 별도 분석에서는 서비스 DLL 경로와 RDP 포트 설정이 변경됐다. 핵심은 악성코드 분류명이 아니라 파일 배치, 스크립트 실행, 서비스 설정이 가리키는 공통된 목적이다.
#윈도#원격데스크톱서비스#DLL위장#서비스설정변경#PowerShell#RDP포트변경#샌드박스분석행위자TA505 · Hive0065IOCf10 · i2 · d3 · u8
APT회원 전용2026년 10월 10일 23:13 (UTC+9)사용자 폴더 실행 파일, 로그인 실행 대상으로 등록
사용자 폴더에 기록된 실행 파일과 로그인 시 실행하도록 등록된 명령이 같은 경로를 가리켰다. Windows 실행 파일을 분석한 Rising MOVES 샌드박스 보고서에는 C:\Users\<user>\daxixreameam.exe 파일 쓰기와, 이 경로를 대상으로 한 사용자 Run 레지스트리 값 설정이 함께 남았다. 이 관계는 단순히 수상한 파일 이름을 발견한 것과 다르다. 디스크에 기록된 파일이 다음 로그인 때 실행할 대상으로도 지정됐다는 뜻이다. 그렇다면 이 표본은 시스템에 돌아올 자리를 마련하는 데 그쳤을까, 아니면 외부와 통신하는 역할도 드러냈을까. CTX Threat Intelligence가 확보한 자료에는 같은 표본의 별도 분석에서 여러 목적지의 TCP 25번 포트로 향한 통신도 기록돼 있다. CTX Team은 이를 사용자 로그인에 연결된 실행 설정과 메일 서비스 포트를 향한 외부 통신이 함께 나타난 사례로 평가한다.
#윈도실행파일#샌드박스분석#Run레지스트리#로그인실행설정#TCP25번포트#HTTP요청#DNS조회행위자Pinchy Spider · SodinokibiIOCf2 · i4 · d10 · u11지역DE · US산업소매·유통
C&C회원 전용2026년 10월 10일 07:26 (UTC+9)서비스 이름과 일치한 방화벽 규칙 삭제 명령
Windows 방화벽에서 upWire와 wire라는 이름의 규칙을 삭제하도록 지시한 프로세스가 샌드박스 기록에 남았다. 두 이름은 별도로 보고된 실행 파일의 서비스 레지스트리 경로에도 등장한다. 서비스와 방화벽 규칙의 이름이 맞아떨어지는 것은 무엇을 뜻할까. 프로그램이 자신의 네트워크 접근 설정을 바꾼 흔적일 수도 있지만, 그 결론에 도달하려면 이름의 일치와 실제 실행 관계를 구분해야 한다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적인 행동은 높은 무결성 수준으로 생성된 netsh.exe가 두 규칙의 삭제 명령을 받은 사실이다. CTX Team은 이를 wire·upWire 서비스 관련 흔적과 함께 살펴볼 근거로 평가한다. 다만 확인된 것은 이름이 연결하는 서비스·방화벽 설정의 관계다. 방화벽 전체가 꺼졌다거나, 두 실행 파일이 함께 작동해 통신을 열었다는 실행 과정은 아니다. 이 차이는 탐지 경보의 의미뿐 아니라 조사할 시스템 변경의 범위도 바꾼다.
#윈도우방화벽#방화벽규칙삭제#서비스경로#프로세스생성#넷시#디지털서명행위자Cactus · Cactus Ransomware GroupIOCf22 · i17 · d11 · u4MITRE16
APT회원 전용2026년 10월 10일 07:26 (UTC+9)같은 하위 도메인 이름, 서로 다른 CNAME 대상
서로 다른 두 도메인 아래에 같은 16자리 문자열의 하위 도메인이 등장한다. 69f335c8397887d4.tyui54345.xyz와 69f335c8397887d4.zxcv56745.xyz다. 두 도메인에는 yzzcommon이라는 하위 도메인 이름도 나란히 존재한다. 이처럼 반복되는 이름은 같은 목적지에 접근하는 대체 주소를 뜻할까, 아니면 이름을 정하는 방식만 공유한 것일까. CTX Threat Intelligence의 DNS 자료에서 확인되는 핵심은 이름의 대칭성과 목적지의 동일성이 다르다는 점이다. 두 도메인군은 공통된 명명 규칙을 사용했을 가능성을 뒷받침하지만, 기록된 별칭의 대상은 서로 다르다. 이 관계는 인프라를 함께 살펴볼 구체적인 이유를 제공한다. 다만 이를 하나의 서버나 실제 통신 경로로 합치면 자료가 보여 주는 범위를 벗어난다. 두 yzzcommon 하위 도메인은 비교의 출발점이다.
#DNS#CNAME#하위도메인#도메인인프라#위협인텔리전스#네임서버행위자Gold Evergreen · Business ClubIOCf5 · i1 · d7 · u2지역US산업소매·유통
FILE회원 전용2026년 10월 9일 15:34 (UTC+9)워드 문서의 다운로드 명령, 첨부 응답과 실행 파일로 확인
워드 문서를 분석한 샌드박스에서 웹 경로에 대한 GET 요청이 실행 파일 첨부 응답을 받았다. 같은 분석 보고서에는 PowerShell의 자식으로 실행된 프로그램도 남아 있다. 문서가 단지 의심스러운 명령을 담고 있었던 것인지, 실제로 외부 파일을 가져와 실행하는 역할까지 했던 것인지 가르는 대목이다. 응답에 붙은 파일명과 로컬 실행 파일명은 달랐지만, 두 이름으로 기록된 파일의 해시가 같다는 사실이 그 사이를 연결한다. CTX Threat Intelligence가 확보한 기록은 이 문서를 실행 파일 다운로드와 실행을 연결하는 다운로더로 해석할 근거를 제공한다. 더 중요한 점은 명령문이 의도한 동작과 샌드박스가 실제로 기록한 결과를 함께 볼 수 있다는 것이다. PowerShell 명령은 여러 URL에서 파일을 받아 일정 크기 이상이면 실행하도록 구성돼 있었다. 실행 기록에서는 그 후보 중 한 곳의 응답, 로컬 파일, 자식 프로세스가 확인된다.
#워드문서#다운로더#PowerShell#실행파일다운로드#샌드박스분석#파일해시행위자Emotet Group · TA542IOCf4 · i0 · d5 · u3지역AU산업기술·IT
C&C회원 전용2026년 10월 9일 15:34 (UTC+9)CUAssistant·Chrome 경로의 파일, 실행 표본과 해시 일치
CUAssistant의 실행 파일과 Chrome 설치 프로그램 경로에서 같은 내용의 파일이 기록됐다. 이름과 위치는 달랐지만, 두 파일의 SHA-256은 분석에 투입한 실행 파일과 정확히 일치했다. 익숙한 소프트웨어 이름 아래 놓인 파일을 해당 제품의 구성 요소로 보아도 될까. 이 사례에서 해시와 파일 생성 기록을 함께 읽으면, 서로 다른 프로그램처럼 보이는 경로가 사실은 같은 실행 파일의 여러 배치 위치였다는 점이 드러난다. CTX Threat Intelligence가 검토한 샌드박스 자료의 가장 강한 발견은 이처럼 하나의 실행 파일 내용이 여러 소프트웨어 디렉터리에서 확인됐다는 것이다. 같은 보고서에는 입력 파일과 내용이 다른 임시 실행 파일도 있었고, 별도 분석에서는 Ground.exe 쓰기와 Ground 레지스트리 값 설정이 관찰됐다. 이 관계는 단순한 악성코드 분류명보다 표본의 역할을 구체적으로 보여 준다.
#윈도실행파일#샌드박스분석#파일쓰기#해시일치#소프트웨어디렉터리#레지스트리설정#Ground행위자Salty Spider · KuKuIOCf41 · i4 · d3 · u1MITRE17지역ID
- 발행 기사
- 663
- 분석 IOC
- 22,206
- 주요 공격자
- 468
- MITRE 기법
- 211
- 표적 지역
- 157
- 표적 산업
- 32