CTX Threat News — by SANDS Lab

실시간 위협 인텔리전스LIVE

APT회원 전용2026년 11월 7일

DLL 함수 호출 옆에 남은 로깅 값 변경, 작성 주체는 불명

샌드박스 보고서에는 로더가 DLL의 여러 함수를 호출한 프로세스 관계와 Windows 로깅 관련 레지스트리 값을 0으로 쓴 기록이 함께 남았다. 그러나 쓰기를 수행한 프로세스와 변경 후 로거 상태는 확인되지 않아, DLL의 로깅 중단으로 단정할 수 없다.

행위자SafePay지역PKIOC12

FILE회원 전용

DLL 분석의 TCP 목적지, 추가 URL의 네 IP와 일치

DLL을 실행한 Zenbox 분석 보고서에는 94.72.104.77:13724 등 네 목적지로 향한 TCP 트래픽이 기록돼 있다. 네 IP는 이번 비교에서 추가된 URL 항목들의 주소와 정확히 겹친다. URL에는 /api/auth.revoke, /api/admin.emoji.list처럼 특정 서비스의 관리 기능을 연상시키는 경로가 붙어 있다. 그렇다면 이 DLL이 해당 API를 호출한 것일까. 기록이 뒷받침하는 답은 그보다 좁지만 중요하다. 파일의 실행을 관찰한 보고서에서 해당 주소들을 향한 트래픽이 확인됐으며, URL 경로 자체를 요청했다는 증거는 아직 없다. CTX Threat Intelligence가 검토한 자료에서 이 연결은 단순히 파일과 의심 주소를 함께 나열한 것보다 강하다. rundll32.exe가 DLL을 호출한 프로세스 트리와 구체적인 목적지 IP·포트가 한 Zenbox 보고서에 담겼기 때문이다.

#윈도DLL#Zenbox#rundll32#TCP트래픽#URL지표

2026년 11월 7일SafePayIOC 12MITRE 13

C&C회원 전용

upWire의 방화벽 규칙 삭제 명령, 별도 파일의 서비스 이름과 겹쳐

upWire 표본의 샌드박스 분석에서 Windows 방화벽 규칙 두 개를 삭제하도록 지시한 명령이 기록됐다. 대상 이름은 upWire와 wire였다. 이 명령은 방화벽 전체를 끄려는 시도였을까, 아니면 특정 소프트웨어의 네트워크 설정을 정리하는 동작이었을까. 차이는 중요하다. 삭제 대상이 허용 규칙인지 차단 규칙인지에 따라 실제 통신에 미치는 영향부터 달라지기 때문이다. CTX Threat Intelligence가 검토한 기록에서 가장 구체적으로 확인되는 것은 높은 무결성 수준의 netsh.exe 프로세스가 특정 이름의 방화벽 규칙 삭제 명령으로 생성됐다는 사실이다. 별도 wire.exe 표본에는 wire 서비스 경로가 보고됐고, 두 파일에는 같은 발급 대상의 코드 서명 인증서가 기록돼 있다. 따라서 규칙 이름은 다른 파일의 서비스 흔적과 대조할 수 있는 단서다. 다만 이 관계가 곧 두 파일의 공동 실행이나 방화벽 무력화를 뜻하지는 않는다.

#윈도방화벽#방화벽규칙삭제#서비스경로#코드서명#샌드박스분석

2026년 11월 6일Cactus · Cactus Ransomware GroupIOC 63MITRE 20

APT회원 전용

DLL 오류 보고와 별개로 세 COM 등록 값에 경로 기록

바탕화면의 funoictl.dll을 가리키도록 세 개의 COM 등록 값이 설정됐다. 같은 샌드박스 보고서에는 이 DLL을 호출한 rundll32.exe의 오류 보고 흔적도 남았다. 그렇다면 DLL은 시스템 설정을 바꾼 것인가, 아니면 오류로 실행에 실패한 것인가. CTX Threat Intelligence가 검토한 기록은 두 관찰이 양립할 수 있음을 보여 준다. 등록 값을 쓴 프로세스와 오류 보고가 연결된 프로세스가 서로 달랐기 때문이다. 핵심은 ‘실행 성공’이나 ‘실패’라는 단일 판정이 아니라, 어느 호출이 어떤 결과를 남겼는지다. CTX Team은 프로세스 트리와 레지스트리 이벤트를 대조해 DLL 경로가 실제로 등록 값에 기록된 사실을 확인했다. 반면 기존 구성요소를 밀어낸 COM 하이재킹이나 이후의 자동 실행까지 입증된 것은 아니다. 이 구분은 서명된 소프트웨어 구성요소에서 지속성 관련 경보와 실행 오류가 함께 나타났을 때, 무엇을 호스트 변경으로 남겨야 하는지 알려 준다.

#COM등록#레지스트리변경#InprocServer32#DLL호출#오류보고

2026년 11월 6일Infy · Prince of PersiaIOC 30

최신 기사9건