C&C회원 전용2026년 11월 6일 17:41 (UTC+9)upWire의 방화벽 규칙 삭제 명령, 별도 파일의 서비스 이름과 겹쳐
upWire 표본의 샌드박스 분석에서 Windows 방화벽 규칙 두 개를 삭제하도록 지시한 명령이 기록됐다. 대상 이름은 upWire와 wire였다. 이 명령은 방화벽 전체를 끄려는 시도였을까, 아니면 특정 소프트웨어의 네트워크 설정을 정리하는 동작이었을까. 차이는 중요하다. 삭제 대상이 허용 규칙인지 차단 규칙인지에 따라 실제 통신에 미치는 영향부터 달라지기 때문이다. CTX Threat Intelligence가 검토한 기록에서 가장 구체적으로 확인되는 것은 높은 무결성 수준의 netsh.exe 프로세스가 특정 이름의 방화벽 규칙 삭제 명령으로 생성됐다는 사실이다. 별도 wire.exe 표본에는 wire 서비스 경로가 보고됐고, 두 파일에는 같은 발급 대상의 코드 서명 인증서가 기록돼 있다. 따라서 규칙 이름은 다른 파일의 서비스 흔적과 대조할 수 있는 단서다. 다만 이 관계가 곧 두 파일의 공동 실행이나 방화벽 무력화를 뜻하지는 않는다.
#윈도방화벽#방화벽규칙삭제#서비스경로#코드서명#샌드박스분석#프로세스생성행위자Cactus · Cactus Ransomware GroupIOCf19 · i25 · d17 · u2MITRE20
C&C회원 전용2026년 11월 6일 01:37 (UTC+9)서로 다른 네트워크의 두 IP, 인증서·JARM 일치
서로 다른 네트워크에 속한 두 IP에서 같은 HTTPS 인증서와 같은 JARM 서비스 지문이 확인됐다. 101.198.2.228과 101.91.111.170이 제시한 인증서는 모두 *.browser.360.cn을 대상으로 한다. 두 주소를 하나의 인프라로 묶어도 될까. CTX Threat Intelligence가 확보한 기록은 두 주소의 TLS 서비스 특성을 연결하지만, 같은 악성 운영자가 통제하는 서버라는 결론까지 뒷받침하지는 않는다. 핵심은 인증서의 이름만 비슷한 것이 아니라 인증서 자체와 서비스 지문이 함께 일치한다는 점이다. 이는 국가나 통신사업자가 같다는 사실보다 구체적인 연결 근거다. 다만 연결되는 대상은 관측된 HTTPS 서비스의 외부 특성이다. 자료 속 다른 주소 쌍과 비교하면, 이 구분이 왜 중요한지 더 분명해진다. 첫 번째 주소는 AS23724, 두 번째는 AS4811에 속한다.
#CTXThreatIntelligence#TLS#HTTPS인증서#JARM#SNI#네트워크인프라IOCf1 · i12 · d0 · u0MITRE29
C&C회원 전용2026년 11월 5일 09:39 (UTC+9)같은 파일 가리킨 Run 값, 표본 분석서 외부 HTTP 요청 확인
svchost.exe라는 이름으로 실행된 파일의 내용은 분석 대상 실행 파일과 같았고, 로그온 실행을 지정하는 레지스트리 값은 그 파일의 경로를 가리켰다. 같은 표본을 다룬 샌드박스 보고서에는 185.215.113.10으로 향하는 HTTP 요청도 남았다. 이 주소는 단순히 평판이 나쁜 서버인가, 아니면 호스트에 실행 기반을 남긴 파일과 실제 통신 관계가 있는가. CTX Threat Intelligence가 검토한 기록은 두 번째 해석을 뒷받침한다. 숫자로 된 디렉터리 아래에서 Windows 서비스 프로세스처럼 이름 붙은 실행 파일, 그 위치를 지정한 Run 값, 해당 표본의 분석에서 관찰된 외부 요청이 함께 확인된다. 다만 이 연결이 보여 주는 것은 악성 행위 분석과 결부된 접속 대상이라는 역할이다. 서버가 명령을 보냈거나 파일이 이를 받아 실행했다는 결론까지 나아갈 응답 내용은 없다. 핵심은 주소의 평판보다 연결의 구체성에 있다.
#CTX위협인텔리전스#Phorpiex#윈도실행파일#Run자동실행#HTTP요청#보안정책변경#샌드박스분석IOCf8 · i2 · d0 · u13MITRE32지역PK
C&C회원 전용2026년 11월 4일 17:36 (UTC+9)DNS·TLS 지문은 맞았지만, 악성 파일의 통신은 확인 안 돼
reihtec.com의 DNS A 레코드는 174.138.186.11을 가리켰고, 도메인과 IP에 기록된 TLS 서비스 지문인 JARM도 일치했다. kalteng.net과 45.126.43.3에서도 같은 관계가 확인됐다. 두 쌍은 단순히 같은 자료에 등장한 주소가 아니라, 이름과 서비스 특성이 함께 맞물리는 조사 단서다. 그렇다면 이 연결은 어디까지 호스트의 역할을 설명할 수 있을까. CTX Threat Intelligence 자료를 대조한 CTX Team의 판단은 구체적이다. DNS와 지문은 각 도메인을 어느 주소의 서비스와 함께 조사해야 하는지 뒷받침한다. 그러나 함께 제공된 실행 파일이 그 서비스에 통신했다는 연결은 없다. 이 사례의 핵심은 주소 사이의 관계를 확인하는 것과 악성 통신의 목적지를 입증하는 것이 서로 다른 작업이라는 데 있다. A 레코드가 도메인과 IPv4 주소의 연결을 제공한다면, JARM 일치는 양쪽에 기록된 TLS 응답 특성이 같다는 정보를 더한다.
#위협인텔리전스#DNSA레코드#JARM#TLS인증서#공유인프라#Windows실행파일#네트워크행위분석행위자Pinchy Spider · SodinokibiIOCf2 · i9 · d13 · u9지역US
C&C회원 전용2026년 11월 4일 02:02 (UTC+9)서로 다른 Kryptex 접속 이름, 주소와 TLS 지문은 같았다
prl.kryptex.network와 prl-eu.kryptex.network는 이름이 다르지만, 기록된 목적지 주소는 23.88.2.85로 같았다. 두 이름에 연결된 HTTPS 인증서와 JARM 서비스 지문도 일치했다. 지역명이 붙은 도메인 하나를 별도 서버 하나로 세어도 될까. 이 일치는 함께 제시된 주소들을 단순한 서버 목록이 아니라, 이름과 접속 지점 사이의 관계로 읽어야 한다는 출발점이다. CTX Threat Intelligence가 검토한 자료에서 가장 뚜렷한 구조는 Kryptex 도메인 아래의 지역별 접속 이름이다. 일부 이름은 같은 주소를 공유하고, 다른 이름은 서로 다른 주소나 stratum이라는 이름이 포함된 별칭 대상으로 이어진다. 반면 함께 제시된 gleeze.com 및 ooguy.com 하위 도메인은 각각의 IP와는 연결되지만, 이 Kryptex 구조와 연결되는 관찰은 없다.
#Kryptex#채굴#DNS#TLS#JARM#접속지점#지역별도메인IOCf37 · i5 · d9 · u0지역AR · BE · BH · BN산업건설 · 교육·연구 · 기술·IT
C&C회원 전용2026년 11월 3일 09:38 (UTC+9)‘wire’ 서비스 흔적과 방화벽 규칙 삭제 명령이 맞물려
wire와 upWire라는 이름의 Windows 방화벽 규칙을 삭제하도록 지시한 명령이 샌드박스 기록에 남았다. 별도 파일 기록에는 wire 서비스의 레지스트리 위치가 보고됐다. 같은 이름이 서비스와 방화벽 양쪽에 등장하는 이유는 무엇일까. 이 자료에서 가장 구체적으로 드러나는 것은 특정 서버와의 통신보다, Windows의 서비스 구성과 네트워크 접근 규칙에 관여하는 소프트웨어의 역할이다. CTX Threat Intelligence가 제공한 기록에서 방화벽 명령은 upWire.exe로 제출된 파일의 분석에, 서비스 위치는 wire.exe로 제출된 다른 파일의 분석에 속한다. 두 파일은 같은 코드 서명 인증서를 사용했다. 이 연결은 함께 살펴볼 소프트웨어 맥락을 제공하지만, 하나가 다른 하나를 설치하거나 실행했다는 뜻은 아니다. 핵심은 이름과 서명이 알려 주는 관계를 실제 프로세스 이벤트가 보여 주는 행동과 구분하는 데 있다.
#Windows방화벽#방화벽규칙삭제#Windows서비스#프로세스생성#코드서명#DLL로딩행위자APT28 · StrontiumIOCf6 · i20 · d30 · u3MITRE32
C&C회원 전용2026년 11월 2일 17:42 (UTC+9)도메인과 별도 IP의 TLS 지문 일치, 접속 경로는 미확인
1818706573.cdn.123clouddisk.com과 IP 주소 61.174.8.171에서 같은 TLS 서비스 지문이 기록됐다. 그러나 이 도메인의 DNS 응답에 담긴 IP는 다른 주소였다. 같은 지문은 두 대상을 하나의 서버로 묶을 근거일까, 아니면 추가 비교를 위한 단서일까. CTX Threat Intelligence가 확보한 자료에서 직접 확인되는 관계는 도메인과 그 DNS 응답이다. 서비스 지문 일치는 별도의 비교 단서지만, 해당 IP가 이 도메인의 콘텐츠를 제공했다는 연결은 제시되지 않았다. 이 차이는 중요하다. 인프라의 기술적 유사성을 실제 접속 경로로 받아들이면, 조사 대상 호스트와 아직 역할이 확인되지 않은 주소를 같은 목적지로 취급하게 되기 때문이다. 도메인의 DNS 기록에는 v827dlink.cjjd16.com과 vip.123pan.cn.w.mingfucdn.com을 가리키는 CNAME 응답이 있다.
#DNS#CNAME#TLS지문#JARM#클라우드디스크#콘텐츠전달#IP주소행위자UAC-0063 · TAG-110IOCf0 · i2 · d1 · u3MITRE10
C&C회원 전용2026년 11월 2일 01:38 (UTC+9)‘Tofsee’ 지문 경보 목적지, 별도 보고서선 업데이트 호스트 주소
‘Tofsee’라는 이름이 붙은 TLS 지문 경보의 목적지 IP가, 같은 파일에 대한 별도 샌드박스 보고서에서는 armmf.adobe.com의 DNS 응답 주소로 나타났다. 그 보고서에는 해당 호스트에서 MSI 파일을 요청하고 HTTP 200 응답을 받은 기록도 있다. 악성코드 계열명이 붙은 경보를 이 주소가 명령제어(C2) 서버라는 증거로 받아들여도 될까. CTX Threat Intelligence가 검토한 파일 #df83a0d69406의 기록은 다른 해석을 요구한다. TLS 클라이언트 지문 일치, 목적지 주소, HTTP 요청 내용은 각각 다른 사실을 설명한다. CTX Team의 판단은 이 경보가 조사할 통신 특성을 제시하지만, 목적지의 악성 역할까지 확정하지는 않는다는 것이다. 이 사례에서는 오히려 DNS와 요청 내용을 함께 읽을 때 경보의 의미가 더 구체적으로 좁혀진다.
#TLS지문#JA3경보#DNS응답#MSI요청#HTTP응답#샌드박스분석#rundll32연결행위자Salty Spider · KuKuIOCf16 · i1 · d6 · u25지역TH산업통신
C&C회원 전용2026년 11월 1일 09:49 (UTC+9)은행 연상 도메인, 웹 주소와 메일 설정이 한 IP로 모여
spectratrustbank.com의 DNS에는 같은 IP 주소가 서로 다른 역할로 등장한다. A 레코드는 66.29.156.99를 가리키고, 메일 수신 서버를 지정하는 MX 레코드는 도메인 자신을 가리킨다. 발신 허용 정책인 SPF에도 이 IP가 명시돼 있다. 은행을 연상시키는 이름과 피싱 분류를 가진 이 도메인은 실제로 어떤 역할을 하는가. CTX Threat Intelligence가 검토한 기록은 주소 해석과 메일 설정이 한 IP로 모이는 구조를 보여 준다. 다만 설정된 역할과 실제 사용은 구분해야 한다. A 레코드는 도메인 이름을 IPv4 주소에 연결한다. 이 사례에서 MX 대상도 spectratrustbank.com이므로, 제공된 DNS 설정을 따라가면 메일 수신 대상으로 지정된 이름 역시 같은 IP로 해석된다. 서로 다른 서버 이름이 우연히 함께 등장한 것이 아니라, 도메인 자체를 메일 수신 대상으로 삼은 구성이다.
#피싱분류#은행연상도메인#DNS#MX레코드#SPF#TLS인증서#CTXThreatIntelligence행위자Cactus · Cactus Ransomware GroupIOCf0 · i20 · d123 · u14산업식음료
C&C회원 전용2026년 10월 31일 17:35 (UTC+9)Amadey 설정 URL, 샌드박스 POST·응답과 일치
메모리에서 추출한 서버 주소가 실제 HTTP 요청의 목적지와 경로까지 일치했다. 한 실행파일의 설정에는 http://185.156.72.8/rob75u9v/index.php가 들어 있었고, 샌드박스는 바로 그 주소로 보낸 POST 요청과 서버의 HTTP 200 응답을 기록했다. 이 IP는 단순히 악성 평판이 붙은 주소가 아니라, 특정 파일이 설정에 따라 접촉한 엔드포인트였다. 그렇다면 함께 제시된 다른 IP와 실행파일도 같은 통신 흐름의 일부일까. CTX Threat Intelligence가 검토한 자료는 두 개의 구별되는 연결을 보여 준다. Amadey로 식별된 파일은 위 HTTP 경로에 접촉했고, RedLine으로 식별된 다른 파일은 62.60.226.191:1912로 TCP 트래픽을 발생시켰다. 첫 번째 IP에는 별도 파일의 의심스러운 POST 관련 경보도 연결돼 있다.
#Amadey#RedLine#C2통신#HTTPPOST#TCP통신#샌드박스분석IOCf39 · i2 · d1 · u8MITRE57지역US
C&C회원 전용2026년 10월 30일 09:32 (UTC+9)확장자 다른 두 파일, 해시는 같고 실행 명령에도 각각 등장
regsvr32.exe가 가리킨 파일은 바탕화면의 .dll.ocx와 Windows 시스템 디렉터리 아래의 .bcb였다. 이름과 확장자만 보면 서로 다른 구성요소처럼 보인다. 그러나 VMRay 샌드박스 보고서에 기록된 두 파일의 SHA-256은 같았다. 여기서 질문은 “두 번째 악성파일이 무엇인가”에서 “같은 내용이 서로 다른 경로에서 어떻게 실행 대상으로 쓰였는가”로 바뀐다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적으로 연결되는 것은 이 파일의 내용, regsvr32.exe 명령, 그리고 별도로 관찰된 외부 요청 목적지다. 특히 149.56.128.192:443은 파일에 연관된 인프라 항목에만 등장하는 주소가 아니다. 세 샌드박스 보고서에 이 IP를 향한 요청이 기록됐고, 그중 VMRay에는 해당 포트로 향한 TCP 트래픽도 남았다.
#윈도우DLL#샌드박스분석#파일해시#regsvr32#시스템바이너리대리실행#HTTPS요청#명령제어행위자Emotet Group · TA542IOCf1 · i3 · d0 · u9MITRE27지역RO
C&C회원 전용2026년 10월 28일 11:10 (UTC+9)같은 실행파일이 두 도메인의 TXT 정보를 조회했다
한 Windows 실행파일의 샌드박스 기록에서 tyui54345.xyz와 zxcv56745.xyz 아래 이름을 조회하는 HTTP 요청이 확인됐다. 요청을 받은 곳은 두 도메인의 서버가 아니라 dns.alidns.com과 그 주소였다. 이 차이는 중요하다. 겉으로는 외부 DNS 서비스에 대한 접속이지만, 요청 내용을 보면 실행파일이 어떤 이름의 정보를 찾고 있었는지 드러난다. 두 도메인은 단지 등록 정보가 닮은 이름들인가, 아니면 같은 프로그램의 동작에 함께 등장하는가. 이번 기록은 후자를 직접 뒷받침한다. CTX Threat Intelligence가 검토한 표본은 SHA-256 접두부가 #b7d5134b1652인 실행파일이다. 이 파일의 분석에서는 두 도메인에 대한 조회뿐 아니라, 별도 실행파일을 Windows 시스템 경로에 생성한 사실과 그 파일의 실행도 확인된다. 또 다른 호스트인 down.zhangyaping.top의 이름 해석 결과와 해당 IP로 향한 통신도 기록됐다.
#Windows실행파일#샌드박스분석#DNSTXT조회#HTTP요청#PE파일생성#프로세스실행#이름해석행위자Gold Evergreen · Business ClubIOCf5 · i1 · d7 · u2지역US
C&C회원 전용2026년 10월 27일 09:11 (UTC+9)같은 형식의 POST 받은 두 호스트, 실행파일 요청은 S3로
같은 실행파일의 샌드박스 분석에서 os.baixakialtcdn.com과 os2.baixakialtcdn.com을 향한 HTTP POST 요청이 확인됐다. 두 호스트에는 경로와 질의 매개변수가 일치하는 요청이 각각 기록됐다. 그런데 실행파일을 가져오려는 GET 요청은 이 두 곳이 아니라 별도의 S3 주소를 향했다. 두 호스트는 무엇을 제공하는 서버였을까. CTX Threat Intelligence가 검토한 기록은 이들을 설치 프로그램 동작에 수반된 통신 대상으로 연결한다. 같은 분석에는 임시 실행파일을 진행 표시 인자와 함께 호출한 명령, 설치파일 형태의 로컬 파일 쓰기, 광고 스크립트 요청도 있다. 이를 함께 보면 원격 주소 하나로 설명되는 단순한 다운로드가 아니라, 소프트웨어 요청과 설치 관련 통신, 웹 자원 요청이 구분되는 구조가 드러난다. 다만 두 POST 대상이 명령을 내렸다는 증거는 없다.
#샌드박스분석#윈도실행파일#HTTPPOST#설치관련통신#S3실행파일요청#광고요청#DNS기록IOCf7 · i1 · d3 · u2MITRE34지역BR산업농업
C&C회원 전용2026년 10월 24일 10:13 (UTC+9)RedLine 설정 속 C2 주소, 요청·응답 탐지에서도 확인
83.97.73.131:19071은 한 실행파일의 추출 설정에서는 명령제어(C2) 주소로, 네트워크 탐지 기록에서는 송신 목적지와 응답 출발지로 등장했다. 같은 파일에 연결된 호스트 기록에는 임시 폴더의 실행파일 생성과 Windows Defender 정책 변경도 남았다. 이 주소는 단순한 악성 IP 목록의 한 항목인가, 아니면 파일의 통신과 로컬 동작을 함께 이해할 수 있는 단서인가. CTX Threat Intelligence가 검토한 자료는 후자를 뒷받침한다. 특히 RedLine 관련 설정과 네트워크 이벤트가 정확히 같은 IP·포트를 가리킨다는 점이 중요하다. 다만 통신 기록과 임시 폴더 프로세스를 하나의 실행 흐름으로 연결할 식별자는 부족하다. CTX Team의 분석은 이 차이에서 출발한다. 주소와 파일의 관계는 구체적이지만, 그 주소가 함께 제시된 모든 파일을 배포하거나 통제했다고 볼 근거는 없다.
#CTXThreatIntelligence#RedLine#Amadey#명령제어통신#Defender정책변경#예약작업#레지스트리변경행위자Tortoiseshell · Imperial KittenIOCf9 · i1 · d0 · u1MITRE3지역PK
C&C회원 전용2026년 10월 21일 04:50 (UTC+9)AppData에 배치된 동일 해시 파일, 예약 작업 실행과 연결
Windows 작업 스케줄러 서비스를 실행하는 svchost.exe 아래에서 사용자 프로필의 synchost.exe가 실행됐다. CAPE Sandbox가 기록한 이 부모·자식 관계는, 해당 파일이 단순히 디스크에 남은 실행파일인지 아니면 예약 작업과 연결된 실행 대상인지를 묻게 한다. 다른 샌드박스 기록은 여기에 중요한 연결을 더한다. 그 경로에 기록된 파일의 SHA-256이 별도로 분석된 또 다른 표본과 정확히 일치했다. CTX Threat Intelligence가 검토한 자료는 두 실행파일의 관계를 파일 배치, 예약 작업 관련 실행, HTTP 통신이라는 세 측면에서 설명한다. 한 표본의 분석에서 다른 표본과 내용이 같은 실행파일이 생성됐고, 배치 경로는 작업 스케줄러 관련 기록에도 등장했다. 두 표본에서 추출된 설정의 HTTP 주소는 실제 샌드박스 POST 요청과도 일치했다.
#샌드박스분석#드롭파일#작업스케줄러#예약작업#HTTP통신#C2설정IOCf52 · i4 · d0 · u4지역CA · DO · FR · US산업소매·유통
C&C회원 전용2026년 10월 20일 09:44 (UTC+9)Open Bullet.exe의 자식 Setup.exe, 로그온 시작 파일 남겼다
Open Bullet.exe의 자식 프로세스로 임시 폴더의 Setup.exe가 실행됐다. 도구가 설치 보조 프로그램을 띄운 것처럼 보일 수 있는 기록이다. 그러나 이 자식 파일의 해시를 별도 분석 결과와 대조하면 질문이 달라진다. 도구 이름을 내건 실행파일이 실제로 함께 실행한 것은 무엇인가. CTX Threat Intelligence가 검토한 샌드박스 기록에서, 해당 Setup.exe는 explorer.exe라는 실행파일을 남기고 Windows를 연상시키는 이름의 스크립트와 실행파일을 로그온 시 시작하도록 설정했다. 외부 호스트에 대한 HTTP 요청과 네트워크 트래픽도 기록됐다. 핵심은 파일 이름의 유사성이 아니다. 부모·자식 프로세스 관계, 드롭된 파일의 해시, 레지스트리가 가리키는 경로가 서로 다른 분석 기록을 구체적으로 연결한다는 점이다. 이 사례는 2020년 샌드박스 분석을 통해 확인한 전달·실행 구조다.
#OpenBullet#Setup.exe#샌드박스분석#자식프로세스실행#파일드롭#로그온시작설정#외부네트워크트래픽IOCf14 · i1 · d1 · u1MITRE24지역BR
C&C회원 전용2026년 10월 19일 18:17 (UTC+9)qh88eu 두 호스트는 주소·인증서 일치, 다른 도메인은 지문만 공유
backdoor.qh88eu.com과 상위 도메인 qh88eu.com은 기록된 IPv4 주소 두 개가 같고, HTTPS 인증서도 동일하다. 여기에 다른 두 도메인까지 같은 TLS 서비스 지문을 보인다. 그렇다면 이들은 하나의 명령제어(C2) 인프라인가, 아니면 외부에 드러난 서비스 특성만 닮은 것인가. CTX Threat Intelligence 자료에서 가장 강하게 연결되는 것은 qh88eu.com과 그 하위 도메인이다. 반면 qh88b3.com, qq88.fan까지 범위를 넓히면 연결 근거는 공통 서비스 지문으로 좁아진다. CTX Team은 이 차이가 중요하다고 판단한다. 같은 조사 묶음으로 살펴볼 근거와, 같은 운영자가 통제하는 C2 서버라고 결론 내릴 근거는 다르기 때문이다. qh88eu.com과 backdoor.qh88eu.com의 DNS 기록에는 모두 104.21.59.81, 172.67.219.27이 들어 있다. IPv6 주소 두 개도 일치한다.
#도메인조사#DNS기록#HTTPS인증서#TLS지문#JARM#Cloudflare#C2인프라IOCf52 · i0 · d7 · u3지역US산업소매·유통
C&C회원 전용2026년 10월 19일 03:33 (UTC+9)HTTP 요청은 404, 동일 실행 파일은 두 경로에 자동 실행 설정
Zenbox에 기록된 두 IP 대상 HTTP 요청 여섯 건은 모두 ‘404’를 돌려받았지만, 같은 샌드박스 보고서에는 실행 파일을 두 위치에 배치하고 각각을 자동 실행 대상으로 등록한 흔적이 남았다. 서버에서 원하는 내용을 받지 못했다면 이 프로그램은 아무것도 하지 못한 것일까. CTX Threat Intelligence가 검토한 기록은 그렇게 보기 어렵다는 점을 보여 준다. 원격 요청의 결과와 로컬 시스템에 남긴 실행 기반은 별개의 문제였다. 이 사례의 핵심은 winakrosvsa.exe라는 파일명 자체가 아니다. 사용자 프로필과 Windows 디렉터리에 기록된 파일의 해시가 분석 대상과 같고, Run 레지스트리 값은 그 두 경로를 가리킨다. 다른 한편으로 185.215.113.66과 91.202.233.141은 단순히 파일 옆에 나열된 의심 주소가 아니라, 실제 HTTP 요청 대상으로 보고됐다. 다만 제공된 응답에서 명령이나 추가 실행 파일을 받아 온 정황은 확인되지 않는다.
#악성코드분석#Windows실행파일#자동실행#레지스트리변경#보안센터알림#HTTP요청#외부IPIOCf1 · i2 · d0 · u8MITRE13지역RO
C&C회원 전용2026년 10월 17일 17:37 (UTC+9)DNS·TLS로 연결된 도메인과 IP, C2 통신은 미확인
dfkjgoi3.info의 DNS A 레코드는 213.108.199.215를 가리킨다. 두 대상에는 동일한 HTTPS 인증서 지문과 JARM 지문도 기록돼 있다. 도메인과 IP가 단순히 같은 목록에 실린 것이 아니라, 주소 해석 결과와 TLS 서비스 특성으로 연결된 것이다. 그렇다면 이 연결은 해당 IP가 악성코드의 명령제어(C2) 서버라는 사실까지 입증할까. CTX Threat Intelligence 자료에서 확인되는 답은 더 구체적이다. 이 IP는 도메인의 인프라를 추적할 직접적인 조사 지점이다. 그러나 도메인에 붙은 C2 분류와 달리, 파일이나 프로세스가 이곳에 접속해 명령을 교환한 기록은 제공되지 않았다. CTX Team은 이 사례의 핵심을 도메인과 서버 주소의 관계는 뒷받침되지만, 악성코드와 서버 사이의 통신 관계는 아직 연결되지 않은 상태로 평가한다. 가장 직접적인 근거는 A 레코드다. 저장된 DNS 응답에는 도메인의 주소로 해당 IP가 명시돼 있다.
#DNS#TLS#HTTPS인증서#JARM#명령제어#악성웹사이트#인프라조사행위자Salty Spider · KuKuIOCf9 · i1 · d2 · u37MITRE46지역UA
C&C회원 전용2026년 10월 16일 23:24 (UTC+9)메모리 속 C2 주소와 실제 POST 경로 일치…다른 파일은 설정만
196.251.107.130으로 향한 HTTP POST가 서로 다른 샌드박스 보고서에 기록됐다. 요청 경로는 모두 /16b022998f754137b60a.php였고, 한 보고서에는 HTTP 200 응답도 남았다. 그런데 다른 실행파일에서 추출한 설정에도 같은 IP가 등장한다. 경로는 /api.php로 다르다. 두 파일은 같은 서버를 사용하는 한 공격의 구성요소일까, 아니면 주소만 겹치는 별개의 사례일까. CTX Threat Intelligence가 검토한 자료에서 가장 강하게 확인되는 사실은 한 파일의 메모리에서 추출한 통신 목적지가 실제 POST 요청의 주소·포트·경로와 일치한다는 점이다. 다른 파일은 같은 호스트를 설정에 포함하고 있으며, 별도로 자동 시작 설정과 예약 작업 생성 명령이 관찰됐다. 두 파일을 연결하는 구체적인 인프라 단서는 있지만, 한 파일이 다른 파일을 내려받거나 실행했다는 연결은 없다. 이 차이는 조사 범위를 바꾼다.
#C2서버#HTTPPOST#샌드박스분석#Stealc#Solarisloader#자동시작#예약작업행위자APT28 · StrontiumIOCf29 · i4 · d0 · u10MITRE22지역US산업소매·유통
C&C회원 전용2026년 10월 16일 07:50 (UTC+9)윈도 방화벽 끄기 명령과 보안 알림·UAC 설정 변경 포착
윈도 방화벽을 끄는 명령이 실행 파일의 자식 프로세스에서 포착됐다. Tencent HABO 샌드박스의 프로세스 트리는 이름이 가려진 ****.exe 아래에 netsh.exe를 두고, 명령줄에 netsh firewall set opmode disable을 기록했다. 같은 보고서에는 보안 센터의 알림 설정과 사용자 계정 컨트롤(UAC) 정책 값을 바꾼 기록도 있다. 이 조합은 단순히 수상한 프로그램이 실행됐다는 사실보다 구체적인 질문을 던진다. 프로그램은 호스트의 어떤 보호 장치를 바꾸려 했으며, 기록은 그 결과까지 보여 주는가. CTX Threat Intelligence가 검토한 자료에서 가장 강한 발견은 보호 기능과 보안 상태 알림을 약화하려는 시도다. 방화벽 비활성화 명령은 프로세스의 부모·자식 관계로 뒷받침되고, 레지스트리 기록은 변경 대상이 무엇이었는지 드러낸다. 다만 보호 기능의 설정을 건드리는 행위와 실제로 보호가 해제된 상태는 다르다.
#윈도#방화벽#보안알림#UAC#레지스트리변경#샌드박스분석#방어간섭행위자Salty Spider · KuKuIOCf11 · i1 · d2 · u29MITRE50지역UA
C&C회원 전용2026년 10월 14일 23:12 (UTC+9)두 샌드박스서 같은 설정 조회형 요청…응답 내용은 미확인
같은 윈도 실행파일을 분석한 두 샌드박스에서 udo.jxwan.com의 /index/getcfg?id=59522를 향한 HTTP GET 요청이 기록됐다. 한 보고서는 요청뿐 아니라 HTTP 200 응답과 Content-Length: 3550 헤더까지 담고 있다. 이름만 보면 설정을 가져오는 기능처럼 보인다. 그러나 이 서버가 실제로 무엇을 전달했고, 실행파일이 그것을 어떻게 사용했는지는 어디까지 확인할 수 있을까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 이 요청을 중심으로 형성된다. CAPE와 Zenbox는 각각 같은 호스트의 DNS 조회와 같은 URL 요청을 기록했다. 조회 결과에 포함된 두 IP 중 하나는 CAPE의 TCP 통신 기록에, 다른 하나는 해당 URL에 대한 네트워크 탐지 이벤트에 등장한다. 단순히 실행파일 안에서 발견한 문자열이나 인프라의 외형적 유사성이 아니라, 분석 환경에서 실제 요청 대상으로 기록된 관계다.
#윈도실행파일#샌드박스분석#HTTP요청#설정조회#DNS#네트워크탐지IOCf21 · i8 · d28 · u2지역US산업소매·유통
C&C회원 전용2026년 10월 14일 07:14 (UTC+9)낯선 확장자의 파일, DLL과 같은 해시로 확인
regsvr32.exe의 실행 대상은 .dll이 아니라 fgjgjgv.tsu였다. 그러나 샌드박스가 기록한 이 파일의 SHA-256은 분석 대상 DLL과 같았다. 낯선 확장자의 파일이 별도 구성요소였을까, 아니면 같은 내용이 다른 경로에서 실행 대상으로 쓰였을까. CTX Threat Intelligence가 검토한 기록은 두 번째 해석을 뒷받침한다. 중요한 단서는 파일 이름이 아니라, 내용의 동일성과 그 파일을 인자로 받은 명령의 결합이다. 네트워크에서도 단순한 주소 목록보다 구체적인 관찰이 나왔다. 서로 다른 두 샌드박스 보고서에 165.22.61.235를 향한 HTTPS GET 요청과 HTTP 200 응답이 남았다. 로컬에서는 같은 DLL 내용이 서로 다른 경로의 실행 대상으로 등장했고, 통신에서는 같은 IP가 별도 보고서에 반복됐다. 이 두 관계가 이 표본을 이해하는 핵심이다. 다만 두 관계를 곧바로 하나의 공격 순서로 이을 수는 없다.
#DLL분석#regsvr32실행#SysWOW64#해시일치#샌드박스분석#HTTPSGET#HTTP응답행위자Emotet Group · TA542IOCf1 · i4 · d0 · u8MITRE27지역RO
C&C회원 전용2026년 10월 13일 15:19 (UTC+9)저장된 sidebar.exe 경로, .exe 열기 명령의 첫 실행 대상으로
사용자 영역에 기록된 sidebar.exe의 경로가 Windows의 .exe 열기 명령에도 들어갔다. CAPE 샌드박스가 기록한 값은 원래 실행할 파일 앞에 이 프로그램과 /START 인수를 배치했다. 단순히 수상한 실행 파일 하나를 저장한 것일까, 아니면 다른 실행 파일을 여는 과정에 그 프로그램을 끼워 넣으려 한 것일까. CTX Threat Intelligence가 검토한 기록에서 가장 설명력이 큰 부분은 파일 저장 위치와 레지스트리 명령이 정확히 맞물린다는 점이다. 같은 CAPE 분석에서 %APPDATA%\Microsoft\SDL\sidebar.exe에 대한 쓰기가 기록됐고, 현재 사용자의 .exe 열기 명령은 바로 그 경로를 가리켰다. 이는 이름이 수상하다는 판단을 넘어, 실행 파일을 여는 경로에 별도 프로그램을 개입시키는 설정을 보여 준다. 본문의 %APPDATA%는 기록에 나온 사용자별 AppData\Roaming 경로를 줄여 쓴 표현이다.
#윈도실행파일#사용자영역#레지스트리변경#실행경로재지정#프로세스생성#HTTPPOST요청행위자Gamaredon Group · CTIGIOCf12 · i1 · d0 · u9지역US산업소매·유통
C&C회원 전용2026년 10월 12일 23:15 (UTC+9)서로 다른 Bright SDK 파일, 같은 서비스 이름 공유
Bright Data가 서명한 한 net_updater.exe의 자동 시작 관련 기록에 서로 다른 세 이름이 등장한다. epicpen_com, brightvpn_com, drvhub_net으로 끝나는 Windows 서비스 경로다. 같은 파일에는 한 샌드박스가 내린 ‘PBot·정보탈취형 악성코드’ 판정도 붙어 있다. 여러 제품을 가리키는 서비스 이름과 유효한 서명, 악성 판정은 이 업데이트 프로그램의 역할을 어디까지 설명할까. CTX Threat Intelligence 자료에서 가장 구체적으로 확인되는 것은 서로 다른 Bright SDK 업데이트 파일들이 동일한 서비스 이름을 공유한다는 관계다. 이는 파일명만 같은 경우보다 분명한 조사 단서다. 다만 서비스 경로가 보고됐다는 사실과 실제 서비스 생성·실행, 정보 탈취는 각각 다른 수준의 증거다. 이 사례를 이해하는 핵심은 서명과 탐지 판정 중 하나를 택하는 것이 아니라, 파일과 서비스의 연결을 먼저 좁혀 보는 데 있다.
#BrightData#BrightSDK#Windows서비스#자동시작#코드서명#샌드박스판정행위자Space Pirates · WebwormIOCf18 · i35 · d29 · u9MITRE19
C&C회원 전용2026년 10월 12일 07:19 (UTC+9)방화벽 규칙 삭제 대상, 서비스 이름과 일치
netsh.exe에 전달된 삭제 대상은 upWire와 wire라는 두 방화벽 규칙이었다. upWire 표본의 샌드박스 분석 보고서에는 이 이름을 각각 지정한 명령 실행이 기록돼 있다. 별도로 보고된 서비스 레지스트리 위치에도 같은 이름이 등장한다. 단순한 ‘방화벽 변경’ 경보보다 구체적인 질문을 던지는 조합이다. 이 명령은 보안 장벽을 낮추려는 동작이었을까, 아니면 관련 소프트웨어 구성요소를 정리하는 작업이었을까. CTX Threat Intelligence 자료에서 가장 분명하게 확인되는 것은 두 이름을 겨냥한 방화벽 규칙 삭제 시도와, 그 이름에 대응하는 서비스 흔적이다. CTX Team은 이 대응 관계가 서비스 중심으로 구성된 소프트웨어의 유지관리라는 해석을 뒷받침한다고 평가한다. 다만 삭제 명령의 목적이나 결과까지 정해 주지는 않는다. 이 사례의 핵심은 악성 여부를 하나의 경보로 판정하는 데 있지 않다.
#방화벽규칙삭제시도#서비스레지스트리#프로세스생성#netsh#코드서명#샌드박스분석행위자Space Pirates · WebwormIOCf19 · i17 · d6 · u2MITRE19
C&C회원 전용2026년 10월 11일 15:50 (UTC+9)upWire 분석서 ‘wire’ 방화벽 규칙 삭제 명령 확인
Windows 방화벽 전체를 끄는 명령은 아니었다. upWire 파일의 샌드박스 분석에 포함된 프로세스 생성 기록에는 netsh advfirewall firewall delete rule 명령이 두 건 남아 있었고, 삭제 대상으로 지정된 이름은 각각 upWire와 wire였다. 이 이름들은 소프트웨어 구성요소를 가리키는 것일까, 아니면 보안 통제를 제거하려는 흔적일까. 답을 가르는 것은 경고의 심각도가 아니라, 명령이 겨냥한 대상과 다른 호스트 기록 사이의 관계다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적으로 확인되는 것은 이름이 지정된 방화벽 규칙을 삭제하도록 netsh가 실행됐다는 사실이다. 별도의 wire.exe 파일 자료에는 Windows 서비스 레지스트리 위치가 보고돼 있다. 두 관찰은 Wire 관련 소프트웨어를 단순한 실행 파일이 아니라 서비스와 방화벽 설정에 관계된 구성요소로 살펴볼 이유를 제공한다.
#윈도우방화벽#방화벽규칙삭제#netsh#윈도우서비스#프로세스생성#코드서명#Sysmon행위자Space Pirates · WebwormIOCf16 · i18 · d21 · u6MITRE18
C&C회원 전용2026년 10월 11일 00:28 (UTC+9)서로 다른 목적지로 향한 두 유틸리티의 유사한 활동 보고
UninstallerTray.exe의 샌드박스 기록에는 같은 웹 경로로 보내는 두 종류의 요청이 남아 있다. 하나는 type=operate&action=run, 다른 하나는 type=autoitem&action=nowork라는 값을 담았다. 프로그램 이름만 보면 제거 도구의 구성요소지만, 네트워크에서는 자신의 동작 상태를 표현하는 듯한 값을 외부에 전달한 것이다. 이 요청은 단순한 도메인 연관 정보일까, 아니면 다른 프로그램에서도 확인되는 보고 방식의 일부일까. CTX Threat Intelligence가 검토한 자료에서는 후자에 무게를 실을 구체적인 비교점이 확인된다. UninstallerTray와 WinAuthority는 서로 다른 호스트에 접속했지만, 애플리케이션 이름·모듈 버전·식별자 형태의 값·활동 상태를 담는 유사한 HTTP 요청을 보냈다. 두 실행 파일의 코드 서명에는 같은 발행자 인증서가 사용됐다.
#UninstallerTray#WinAuthority#활동보고#HTTP통신#DNS조회#코드서명#인터넷캐시#LSASS경보행위자Group123 · Venus 121IOCf10 · i3 · d2 · u1MITRE52
C&C회원 전용2026년 10월 10일 07:26 (UTC+9)서비스 이름과 일치한 방화벽 규칙 삭제 명령
Windows 방화벽에서 upWire와 wire라는 이름의 규칙을 삭제하도록 지시한 프로세스가 샌드박스 기록에 남았다. 두 이름은 별도로 보고된 실행 파일의 서비스 레지스트리 경로에도 등장한다. 서비스와 방화벽 규칙의 이름이 맞아떨어지는 것은 무엇을 뜻할까. 프로그램이 자신의 네트워크 접근 설정을 바꾼 흔적일 수도 있지만, 그 결론에 도달하려면 이름의 일치와 실제 실행 관계를 구분해야 한다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적인 행동은 높은 무결성 수준으로 생성된 netsh.exe가 두 규칙의 삭제 명령을 받은 사실이다. CTX Team은 이를 wire·upWire 서비스 관련 흔적과 함께 살펴볼 근거로 평가한다. 다만 확인된 것은 이름이 연결하는 서비스·방화벽 설정의 관계다. 방화벽 전체가 꺼졌다거나, 두 실행 파일이 함께 작동해 통신을 열었다는 실행 과정은 아니다. 이 차이는 탐지 경보의 의미뿐 아니라 조사할 시스템 변경의 범위도 바꾼다.
#윈도우방화벽#방화벽규칙삭제#서비스경로#프로세스생성#넷시#디지털서명행위자Cactus · Cactus Ransomware GroupIOCf22 · i17 · d11 · u4MITRE16
C&C회원 전용2026년 10월 9일 15:34 (UTC+9)CUAssistant·Chrome 경로의 파일, 실행 표본과 해시 일치
CUAssistant의 실행 파일과 Chrome 설치 프로그램 경로에서 같은 내용의 파일이 기록됐다. 이름과 위치는 달랐지만, 두 파일의 SHA-256은 분석에 투입한 실행 파일과 정확히 일치했다. 익숙한 소프트웨어 이름 아래 놓인 파일을 해당 제품의 구성 요소로 보아도 될까. 이 사례에서 해시와 파일 생성 기록을 함께 읽으면, 서로 다른 프로그램처럼 보이는 경로가 사실은 같은 실행 파일의 여러 배치 위치였다는 점이 드러난다. CTX Threat Intelligence가 검토한 샌드박스 자료의 가장 강한 발견은 이처럼 하나의 실행 파일 내용이 여러 소프트웨어 디렉터리에서 확인됐다는 것이다. 같은 보고서에는 입력 파일과 내용이 다른 임시 실행 파일도 있었고, 별도 분석에서는 Ground.exe 쓰기와 Ground 레지스트리 값 설정이 관찰됐다. 이 관계는 단순한 악성코드 분류명보다 표본의 역할을 구체적으로 보여 준다.
#윈도실행파일#샌드박스분석#파일쓰기#해시일치#소프트웨어디렉터리#레지스트리설정#Ground행위자Salty Spider · KuKuIOCf41 · i4 · d3 · u1MITRE17지역ID
C&C회원 전용2026년 10월 8일 23:52 (UTC+9)DNS·TLS로 연결된 도메인과 IP, 악성코드 접속은 미확인
dfkjgoi3.info의 A 레코드는 213.108.199.215를 가리킨다. 두 대상에 기록된 HTTPS 인증서의 지문과 TLS 서비스 지문인 JARM 값도 같다. 도메인과 IP를 함께 추적할 구체적인 연결이 있는 셈이다. 그렇다면 이 연결은 악성코드가 접속한 서버까지 확인해 주는가, 아니면 서버 인프라의 대응 관계만 보여 주는가. CTX Threat Intelligence 자료에서 확인되는 것은 후자다. DNS가 도메인과 주소를 직접 연결하고, 인증서와 JARM의 일치가 서비스 특성 측면에서 이를 뒷받침한다. 이는 평판이 의심스럽다는 이유만으로 두 지표를 묶는 것보다 강한 근거다. 다만 제공된 파일 중 어느 것이 이 서비스에 접속했는지를 보여 주는 통신 기록이나 추출 설정은 없다. 이 사례의 핵심은 도메인과 IP를 하나의 조사 대상으로 묶을 수 있는 이유와, 그 묶음이 실제로 설명하는 서버의 역할에 있다. 가장 직접적인 근거는 저장된 A 레코드다.
#DNS#A레코드#HTTPS인증서#JARM#TLS#서버인프라#네덜란드행위자Salty Spider · KuKuIOCf13 · i1 · d2 · u46MITRE48지역UA
C&C회원 전용2026년 10월 8일 07:32 (UTC+9)WinAuthority 버전 일치 요청, 실행 보고 정황
WinAuthority.exe를 실행한 샌드박스에서 s.91toolbox.com/winauth로 향하는 HTTP 요청이 기록됐다. 요청에는 action=run, app=winauth와 함께 실행 파일의 버전과 일치하는 값이 들어 있었다. 유효한 코드 서명을 가진 프로그램이 자신의 실행을 외부에 알리는 것으로 보이는 장면이다. 그렇다면 이 서버는 실행 현황을 받는 곳인가, 아니면 프로그램에 다음 행동을 지시하는 곳인가. CTX Threat Intelligence가 검토한 자료에서 가장 선명한 관계는 실행 보고 성격의 요청, 그 호스트를 가리키는 DNS 응답, 같은 주소의 TCP 80번 포트 통신이다. 로컬에서는 WinAuthority 이름의 레지스트리와 설정 파일도 관찰됐다. 이 조합은 로컬 상태를 남기며 실행 정보를 전송하는 애플리케이션 동작을 뒷받침한다. 반면 서버가 명령을 내려줬다는 판단까지 나아갈 만한 응답 내용은 없다.
#WinAuthority#CTXThreatIntelligence#Windows실행파일#샌드박스분석#HTTP실행보고#DNS조회#로컬설정파일IOCf6 · i1 · d5 · u2MITRE48
C&C회원 전용2026년 10월 7일 15:12 (UTC+9)wire·upWire 서비스 이름 겨냥한 방화벽 규칙 삭제 명령
upWire라는 제품명이 붙은 파일의 샌드박스 보고서에 서로 다른 두 이름이 등장한다. Windows 명령줄 도구 netsh.exe가 방화벽 규칙 upWire와 wire를 각각 삭제하도록 호출됐다. 별도 파일 자료에는 같은 이름의 Windows 서비스 위치도 보고돼 있다. 이 이름의 겹침은 무엇을 뜻할까. 방화벽을 무력화하는 공격의 흔적인가, 아니면 관련 소프트웨어의 설정을 관리하는 과정인가. CTX Threat Intelligence 자료에서 가장 구체적으로 확인되는 것은 서비스 이름과 맞물리는 방화벽 규칙 삭제 명령의 실행 요청이다. 단순한 문자열이나 탐지명보다 명확한 호스트 측 행동이다. 다만 그 행동을 이해하려면 세 가지를 나눠야 한다. 어떤 프로세스가 생성됐는지, 어떤 설정을 바꾸려 했는지, 실제로 어떤 상태가 바뀌었는지는 서로 다른 질문이다. CTX Team은 이 사례를 wire와 upWire라는 관련 구성요소를 중심으로 한 로컬 설정 관리 흔적으로 평가한다.
#upWire#wire#방화벽규칙#규칙삭제명령#netsh#Windows서비스#코드서명#샌드박스분석행위자Evilnum · DeathStalkerIOCf9 · i9 · d12 · u4MITRE20
C&C회원 전용2026년 10월 6일 23:15 (UTC+9)설치 인수와 서비스 흔적, 업데이터 역할은 뒷받침하지만 설치 완료는 미확인
샌드박스에서 같은 실행 파일이 -install, /install, /load 인수를 붙인 세 가지 형태로 기록됐다. 각 프로세스 아래에는 conhost.exe가 자식으로 표시됐고, 파일의 별도 자동시작 정보에는 두 개의 업데이터 서비스 이름이 남아 있었다. 이 조합은 무엇을 보여 주는가. 서비스로 동작하는 업데이트 구성요소의 흔적인가, 아니면 설치와 지속성 확보까지 완료한 악성 실행의 증거인가. CTX Threat Intelligence가 검토한 자료는 첫 번째 해석을 뒷받침한다. 대상은 Bright Data Ltd의 유효한 코드 서명이 확인된 실행 파일이며, 내부 이름은 net_updater.exe다. 서비스 관련 자동시작 항목과 설치·로딩 인수를 사용한 실행 기록은 이 파일을 서비스와 연관된 업데이터로 조사할 구체적인 근거가 된다. 다만 두 종류의 기록 사이를 잇는 서비스 등록 쓰기나 시작 이벤트는 제시되지 않았다.
#BrightData#Windows서비스#업데이터#자동시작#코드서명#샌드박스분석#UDP통신행위자APT15 · ROYALAPTIOCf11 · i2 · d5 · u2MITRE3산업헬스케어 · 통신
C&C회원 전용2026년 10월 2일 14:39 (UTC+9)만료 인증서 그대로 걸친 설치 파일, 1년 뒤 포착된 'orcinius'
소매업 환경을 노린 PUP(potentially unwanted program) 계열 설치 파일 한 건이 VirusTotal에 처음 제출된 시점은 2015년 12월 13일이다. 그런데 이 파일에 걸려 있는 코드 서명 체인을 열어 보면 이상한 지점이 하나 나온다. "Premium Installer"라는 이름으로 발급된 리프(leaf) 인증서의 유효 기간은 2013년 7월 13일 오전 1시부터 2014년 8월 3일 오전 12시 59분까지였다. 다시 말해 이 설치 파일이 VirusTotal 레이더에 처음 걸린 시점은 서명 인증서가 유효기간을 넘긴 지 이미 1년 4개월이 지난 뒤였고, VirusTotal의 서명 검증 문자열은 이를 그대로 드러낸다 — "현재 시스템 시계 또는 서명된 파일의 타임스탬프를 기준으로 검증할 때 필요한 인증서가 유효 기간 내에 있지 않다
#orcinius#PUP#코드서명인증서#C2도메인#설치파일위장#소매업#임포트제로#탐지회피IOCf1 · i0 · d2 · u2MITRE13지역US산업소매·유통
C&C회원 전용2026년 10월 2일 06:40 (UTC+9)4년 묵은 Emotet 로더, 89일 인증서로 드러난 재활용 배관
2022년 4월에 컴파일된 Emotet 로더 DLL(6bdac750fd1885696ffaf5dd38806c8f7bff2c8bc706421c9b4f0c2b0a9d8520, 이하 '이 로더')이 여전히 활성 C2 목록의 근거로 추적되고 있다는 사실은, 샘플 자체의 나이보다 그 샘플이 아직도 어떤 네트워크 지문을 끌고 다니는지가 더 흥미로운 지점을 만든다. VirusTotal 기준 탐지율은 54/76, 3개 샌드박스(C2AE, Yomi Hunter, CAPE Sandbox)는 만장일치로 악성 판정을 내리며 세 곳 모두 "Emotet"이라는 이름을 직접 명시했다. 이 3/3 합의는 이번 레코드 전체에서 가장 단단하게 뒷받침되는 사실이고, 나머지 모든 분석은 이 합의를 기준점으로 삼아야 한다. CTX Team이 이 레코드를 다시 들여다본 이유는 단순히 "오래된 Emotet 샘플이 하나 더 있다"는 사실 때문이 아니다.
#Emotet#Dridex#FeodoTracker#TA542#C2인프라#JA3핑거프린트#Let'sEncrypt인증서#크라임웨어로더행위자Emotet Group · TA542IOCf1 · i4 · d0 · u6MITRE24
C&C회원 전용2026년 10월 1일 22:49 (UTC+9)StealC v2, 크롬 앱 바운드 암호화 뚫었다
이번 주기에 새로 수집된 여섯 개의 파일 가운데 가장 눈에 띄는 변화는 크기가 아니라 '무엇을 훔칠 수 있게 됐는가'에 있다. 767KB짜리 경량 빌드(0215f734…53624)와 2.9MB짜리 대형 빌드(1465e9ea…b5660)로 구성된 StealC v2 계열 두 파일이 나란히 win_mal_Chromium_app_bound_encryption_Decrypter YARA 룰을 공유하며 탐지됐다. 이 룰은 구글이 크롬에 적용한 앱 바운드 암호화(App-Bound Encryption, ABE) — 즉 쿠키·비밀번호를 OS 레벨 키로 한 번 더 감싸 탈취를 어렵게 만든 최신 방어 장치 — 를 무력화하는 디크립터를 식별하기 위해 만들어졌다.
#StealCv2#크로뮴앱바운드암호화#AS214351#FemoITSolutions#BYOVD#UAC바이패스#리플렉티브로더#크라임웨어공급망IOCf10 · i5 · d3 · u13MITRE55지역US산업기술·IT
C&C회원 전용2026년 10월 1일 06:31 (UTC+9)89일 인증서 두 장, 같은 발급자가 묶은 PC 복구 사칭 도메인
C2 서버 클러스터로 분류된 이번 인프라에서 가장 먼저 눈에 들어오는 것은 행위자 이름이 아니라 인증서 발급 패턴이다. mypchub.net과 gettintopc.site라는, PC 복구·다운로드 유틸리티를 표방하는 두 도메인이 서로 다른 시점에 서로 다른 등록기관을 거쳐 생성됐음에도, 최근 발급받은 TLS 인증서는 공교롭게도 같은 발급자 짧은 이름 'YR2'(Let's Encrypt) 아래 걸려 있다. 두 인증서 모두 유효기간이 정확히 89일로 맞춰져 있고, 각각 file-end.com·helplinepc.com·gettintopc.biz 같은 2차 미러 브랜드를 SAN(대체 주체명)에 끌어안고 있다. 단일 캠페인이 등록기관을 갈아타면서도 인증서 발급 주기만큼은 동일한 틀을 반복한다는 것은, 사람이 매번 수동으로 인증서를 신청하는 방식이 아니라 자동화된 프로비저닝 워크플로우가 이 뒤에 있다는 합리적 추정을 뒷받침한다. 이 조합을 두고 제기할 수 있는 반론도 있다.
#APT27#LummaStealer#Rhadamanthys#njrat#C2서버#PC복구사칭#공유호스팅#LetsEncrypt인증서행위자APT27 · TEMP.HippoIOCf5 · i1 · d2 · u2MITRE35지역BD · IN산업식음료
C&C회원 전용2026년 9월 30일 22:37 (UTC+9)닷새 된 도메인에 SQL 서버용 공격 키트 통째 발견
vietnam852.com이라는 도메인이 등록된 것은 2026년 9월 25일, 등록기관은 NAMECHEAP INC였다. CTX Team이 이 도메인을 포착한 시점은 등록 후 닷새가 지난 9월 29일 — 도메인의 수명 전체가 닷새를 넘기지 못한 상태에서 이미 완제품 공격 키트를 서비스하고 있었다는 뜻이다. 이 도메인은 단일 A 레코드(8.230.28.79)로만 해석되며, 서브도메인 site.vietnam852.com 아래 /sql/ 이라는 단 하나의 경로에 실행파일, 배치·VBS 런처, SQL 덤프, 평문 자격증명 파일까지 한꺼번에 올려놓고 있었다. 보통의 악성코드 유포 도메인이 페이로드 하나를 던지는 식으로 소비되는 것과 달리, 이 도메인은 침투에 필요한 도구 일체를 이미 패키징해 둔 "상자째 배송된 공격 키트"의 모습을 하고 있다. 이 구조가 흥미로운 이유는 단순히 파일이 많이 모여 있다는 사실 자체가 아니라, 그 조합이 말해 주는 목적성이다.
#SQLServer공격#스테이징도메인#UPX패킹#ConfuserEx난독화#자격증명탈취#유통업표적#임포트해시공유#sqlcmd위장IOCf18 · i1 · d2 · u10지역BD · BR · EG · IN산업소매·유통
C&C회원 전용2026년 9월 30일 06:30 (UTC+9)같은 imphash, 다섯 라벨…멈춘 인프라 위 빌드만 회전
이번 관측 구간에서 가장 눈에 띄는 변화는 새로운 인프라가 아니라 페이로드 계층에서 일어났다. 앞선 보도에서 네 개의 파일이 하나의 imphash(75c410d3cdd17cf4a33ccaf94384484f)를 공유한다는 사실이 확인됐는데, 이번 주기에 다섯 번째 멤버가 추가되면서 그 구조가 한층 더 뚜렷해졌다. svchost.exe로 위장한 Injuke 트로이목마(105987492b…, hrgx 라벨), taskhostw.exe를 사칭한 클립보드 하이재커(2faa4d87…, Clipbanker/hrgz), 역시 svchost.exe 이름을 쓰는 Stealc 변종(c865559a…), dllhost.exe로 위장한 Tedy 다운로더(6db2502f…), 그리고 같은 dllhost.exe 이름의 Mikey 클립뱅커(50bedcce…)까지 다섯 개 파일이 동일한 imphash를 공유하면서도 VirusTotal 상에서는 전혀 다른 다섯 가지 위협 라벨로 분류된다.
#WizardSpider#Amadey#Stealc#Clipbanker#BYOVD#CMSTPUAC우회#imphash코호트#크라임웨어툴박스행위자Wizard Spider · Grim SpiderIOCf18 · i5 · d3 · u13MITRE59지역BE · VN
C&C회원 전용2026년 9월 29일 22:38 (UTC+9)만료 인증서 드라이버·크랙 RedLine… 조합형 크라임웨어 툴킷 포착
탐지 라벨상으로는 전혀 무관한 악성코드 세 개—바인더 계열의 darkylock, 파일평판 기반의 stealc 계열, 트로이목마 계열의 agentb—가 동일한 XOR 난독화 문자열 하나로 서로 엮이는 정황이 이번 업데이트에서 확인됐다. 세 샘플 모두 Florian Roth가 작성한 YARA 룰 SUSP_XORed_Mozilla_Oct19에 동시에 걸렸고, 그중 두 개는 CMSTP COM 인터페이스를 악용한 UAC 우회 탐지 룰(INDICATOR_SUSPICIOUS_EXE_UACBypass_CMSTPCOM, T1218.003)까지 나란히 발화했다. 여기에 서명은 됐지만 이미 유효기간이 지난 Microsoft WHCP 드라이버 인증서로 보안 프로세스를 강제 종료하는 BYOVD 페이로드까지 같은 지표 묶음에 섞여 있다.
#BYOVD#CMSTPUAC우회#RedLine스틸러#클립뱅커#StealC#WizardSpider#AS214351#DDNS인프라행위자Wizard Spider · Grim SpiderIOCf18 · i3 · d2 · u6MITRE24지역BE
C&C회원 전용2026년 9월 29일 14:44 (UTC+9)네 얼굴의 스틸러…하나의 빌드가 라벨을 흩뜨리다
같은 임포트 해시(imphash)와 리치 PE 헤더 해시를 공유하는 네 개의 실행파일이 VirusTotal에서는 각각 인쭈크(Injuke), 클립뱅커(ClipBanker), 스틸씨(StealC), 마이키(Mikey)라는 서로 다른 위협 라벨로 분류돼 있다. 이 네 샘플은 모두 svchost.exe·taskhostw.exe·dllhost.exe 같은 핵심 윈도우 프로세스명으로 위장했고, Intel·Adobe·Oracle 명의의 저작권 문구까지 위조해 넣었다. 탐지 엔진이 서로 다른 이름을 붙였다는 사실 자체가 역설적으로 하나의 빌드 라인이 계속 돌아가고 있음을 보여준다 — 엔진마다 붙이는 이름은 갈라져도, 빌드는 갈라지지 않는다. 여기에 두 개의 방어 회피 축이 나란히 얹힌다. 하나는 마이크로소프트 서명 체인을 탄 취약 드라이버를 이용한 BYOVD, 다른 하나는 CMSTP COM 인터페이스를 악용한 UAC 우회다.
#인쭈크#클립뱅커#스틸씨#BYOVD#CMSTPUAC우회#C2인프라#위저드스파이더#Dynadot도메인행위자Wizard Spider · Grim SpiderIOCf18 · i5 · d3 · u13MITRE20지역BE
C&C회원 전용2026년 9월 28일 22:44 (UTC+9)3년 격차 뛰어넘은 동일 패커, Amadey·Lumma 잇다
서로 다른 연도에 만들어진 두 실행파일이 동일한 다섯 개의 YARA 패커 지문을 그대로 공유하고 있다. 2022년 7월 18일에 처음 관측된 ReverseHoo.exe(9cdaa5a2…)와 2025년 10월 19일에 새로 확인된 ReverseHoo Checker.exe(65be1c33…)는 파일 크기(2,719KB와 4,291KB)와 아키텍처(32비트 콘솔 대 64비트 GUI)가 전혀 다르지만, HKTL_NET_NAME_AsStrongAsFuck·SUSP_NET_NAME_ConfuserEx·INDICATOR_EXE_Packed_ConfuserEx·INDICATOR_EXE_Packed_dotNetProtector·INDICATOR_EXE_Packed_Dotfuscator 다섯 개 룰이 두 파일에서 예외 없이 함께 발화한다. 3년이 넘는 시간 간극에도 동일한 다섯 개 지문이 반복된다는 사실은, 같은 빌드 도구 계열이 지금도 재사용되고 있음을 시사한다.
#Amadey#ConfuserEx#LummaStealer#Diamotrix#ReverseHoo#크랙툴배급#C2패널#이란호스팅IOCf5 · i4 · d0 · u10MITRE37지역DE
C&C회원 전용2026년 9월 28일 06:32 (UTC+9)인프라는 정지, 도난 데이터만 계속 갈아탄다
CTX Team이 추적 중인 이 정보탈취 인프라 캠페인에서, 직전 관측 이후 가장 뉴스 가치가 큰 변화는 명령제어(C2) 서버가 아니라 그 서버를 거쳐 가는 화물의 내용이다. 전체 47개 추적 파일 가운데 18개가 새로 편입되고 18개가 이탈했지만, 명령제어로 지목된 IP 2개와 도메인 1개, URL 7개는 단 하나도 바뀌지 않았다. 프랑스에 위치한 185.156.72.8과 독일에 위치한 62.60.226.191, 그리고 두 주소를 잇는 diamotrix.world 도메인은 모두 지난 관측 시점 그대로다. 인프라가 멈춰 있는 사이 그 위로 흘러가는 데이터만 계속 갈리고 있다는 사실은, 이 작전이 한 번의 침투로 끝난 사건이 아니라 지속적으로 새 피해자 데이터를 흡수하는 운영 중인 수집 파이프라인이라는 뜻으로 읽힌다. 이번에 갱신된 파일들은 암호화폐 지갑, FTP 클라이언트, 메신저에서 추출된 피해자 데이터로 구성돼 있다.
#gatak#정보탈취#Exodus지갑#FileZilla#텔레그램세션#C2서버#로그팩유통#프랑스독일인프라IOCf47 · i2 · d1 · u7MITRE55지역US산업미디어
C&C회원 전용2026년 9월 26일 22:34 (UTC+9)89일 인증서로 엮인 6개국 무관 호스트들의 비밀
터키의 학술 네트워크, 방글라데시의 지역 ISP, 프랑스의 cPanel 호스팅, 그리고 이름조차 낯선 .me 도메인 하나. 국적도 다르고 등록 대행사도 다르고 호스팅 업체도 다른 이 네 개의 인프라가 최근 확장된 관측에서 정확히 같은 인증서 발급 배치를 공유하고 있다는 사실이 확인됐다. Let's Encrypt가 발급한 'YR1' 발급자 축 아래, 터키 ULAKNET 소속 185.7.3.160(AS8517)과 방글라데시 Daffodil Online 소속 203.190.9.116(AS58768), 그리고 hushpuppiefrance.fr·linkfast.me·smartlabtrades.com 세 도메인이 모두 걸려 있다. 이 다섯 개 호스트는 지리적으로도, 소유 조직상으로도 아무 연결점이 없다 — 유일한 공통점은 같은 CA 배치에서 찍혀 나온 인증서다. 이런 패턴이 하나의 배치에 그치지 않는다는 점이 이번 확장 관측에서 두드러진다.
#APT28#PBot#인증서발급배치#자가서명인증서#EV코드사이닝폐기#BrightData위장#C2인프라#도메인클러스터행위자APT28 · StrontiumIOCf133 · i12 · d26 · u3MITRE25
C&C회원 전용2026년 9월 25일 06:46 (UTC+9)폐기된 서명 인증서 위에서 계속 도는 wire·VPNMaster·PBot
VirusTotal 텔레메트리를 훑다 보면 종종 코드 서명이라는 신뢰 장치가 사실상 유통기한이 지난 채로 계속 작동하는 사례를 만난다. 이번에 확인된 것은 단일 악성코드 패밀리가 아니라, 서로 무관한 세 개의 서명 주체가 각자의 인증서가 폐기되거나 만료된 뒤에도 실행 파일을 계속 유포하고 있는 반복적 운영 패턴이다. WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의로 GlobalSign GCC R45 EV CodeSigning CA 2020 체인을 통해 서명된 wire 계열 트로이 3종, INNOVATIVE CONNECTING PTE. LIMITED 명의의 VPNMaster 계열 3종, 그리고 정식 프록시웨어 벤더인 Bright Data Ltd 명의의 SDK 바이너리 3종이 이 패턴을 각각 독립적으로 반복하고 있다.
#wire트로이#VPNMaster#BrightData#PBot스틸러#코드사이닝인증서폐기#프록시웨어SDK#그레이웨어유통#자가서명인증서행위자Cactus · Cactus Ransomware GroupIOCf16 · i9 · d12 · u0MITRE16
C&C회원 전용2026년 9월 24일 14:37 (UTC+9)인증서 하나로 6개국 18개 IP 엮은 APT28 예비 C2망
CTX Team이 이번에 확보한 인프라 묶음에서 가장 먼저 눈에 들어오는 것은 파일이 아니라 인증서다. 서명 일련번호 6696262f452fcf46b79266a8, 발급기관 GlobalSign GCC R46 OV TLS CA 2025가 발급한 이 TLS 인증서는 미국·홍콩·베트남·한국·말레이시아·태국 등 6개국에 걸친 18개의 IP에서 단 한 글자도 다르지 않게 관측된다. 인증서의 subject는 *.certfallback.com이며, subject organization란에는 "Alibaba (China) Technology Co., Ltd."가 명시돼 있다. 유효기간은 2026년 7월 30일부터 2027년 2월 14일까지로 아직 절반 이상 남아 있고, 각 IP에서 관측된 마지막 인증서 갱신일은 2026년 8월 30일부터 9월 24일 사이에 몰려 있다.
#APT28#FancyBear#certfallback.com#알리바바클라우드#C2인프라#교육연구분야#피싱#인증서재사용행위자APT28 · StrontiumIOCf0 · i21 · d8 · u1MITRE2산업교육·연구
C&C회원 전용2026년 9월 21일 22:29 (UTC+9)같은 DigiCert 체인 쓴 中 두 법인, 서명 뒤 숨은 애드웨어
정상적으로 발급된 DigiCert 코드 서명 인증서를 두른 실행파일이 VirusTotal에서 22~24개 엔진에 동시에 걸리는 상황은 흔치 않다. 서명 검증 자체는 통과하지만 행위·평판 기반 엔진들이 뒤에서 계속 경고를 울리는 이런 파일이, 이번 주기에 새로 수집된 표본 가운데 두 개나 확인됐다. 흥미로운 지점은 이 두 파일 — AloneTrayServer.exe(facd69ab9b…)와 MLPrivacy.exe(6a95c472…) — 이 기존에 알려진 또 다른 서명 군집과 완전히 동일한 DigiCert 중간 인증기관 체인을 공유한다는 사실이다. 서로 다른 이름을 쓰는 두 개의 중국 법인이, 우연이라 보기 어려운 좁은 발급 간격 안에서 같은 중간 CA로부터 코드 서명 자격을 얻어낸 흔적이 이번 스냅샷에서 새롭게 완성됐다. 이 캠페인은 특정 국가·업종을 정밀 타격하는 침투 작전이 아니라, 애드웨어·PUA 성격의 설치 프로그램을 정식 서명으로 감싸 배포하는 상업적 운영에 가깝다.
#코드서명남용#DigiCert#애드웨어#PUA#중국법인#DLL사이드로딩#샌드박스회피#C2인프라IOCf9 · i3 · d4 · u1MITRE45
C&C공개2026년 9월 21일 06:50 (UTC+9)자체서명 인증서 4곳, 제각각 다른 TLS 위생의 흔적
컨테이너·포장 산업을 겨냥한 것으로 표기된 C2 인프라 클러스터에서, 서로 다른 네 개의 자율시스템에 흩어진 IP 네 곳이 저마다 다른 방식으로 관리가 소홀한 TLS 인증서를 내걸고 있는 정황이 확인됐다. PEG TECH INC(AS398823, 미국·ARIN)가 관리하는 107.149.158.93은 발급자·주체 모두 "Internet Widgits Pty Ltd"라는 문자열로 채워진 인증서를 서비스하고 있는데, 국가 코드는 AU, 주(state) 항목은 "Some-State"로 남아 있어 실제 호스트명을 위해 커스터마이징된 적이 없는 자리표시자 성격의 값이라는 인상을 준다. 이 인증서의 유효기간은 2020년 2월 23일부터 2023년 2월 22일까지로, 수집 시점(2026년 9월 19일 갱신 확인) 기준으로는 이미 3년 반 가까이 만료된 상태다.
#C2인프라#자체서명인증서#와일드카드인증서#다이나믹DNS#DGA도메인#컨테이너산업#포장산업#TLS위생IOCf0 · i4 · d3 · u0MITRE10산업포장·용기
C&C공개2026년 9월 20일 22:49 (UTC+9)흩어진 IP 3곳, Emotet 로더 하나가 만든 'C2' 착시
CTX Team이 2026년 9월 20일 로그한 'c2-servers' 카테고리의 위협 레코드(CTXb6e2abf7xf)는 겉보기엔 흔한 Emotet 캠페인 스냅샷처럼 보인다. 파일 6건, IP 3건, URL 6건이 하나의 피드 항목으로 묶여 있고 심각도는 100, 신뢰도는 85로 매겨져 있다. 그러나 실제로 이 항목을 IOC 단위로 뜯어보면 이야기가 달라진다 — 유의미한 데이터를 가진 것은 파일 6건 중 단 1건, 즉 Win32 64비트 DLL 하나뿐이고, 나머지 다섯 파일은 해시값 외에 아무 메타데이터도 남기지 않은 빈 레코드다. IP 3건은 각각 말레이시아, 가나, 한국에 흩어져 있으며, 서로 공유하는 자율시스템번호(ASN)도, 인증서 일련번호도, WHOIS 등록자도 없다. 이 부조화가 이 기사의 척추다. 일반적으로 'C2 서버'로 태깅된 IP 묶음이라면 최소한 동일 호스팅 사업자, 유사한 등록 시점, 혹은 공유 인증서 발급 패턴 중 하나는 드러나기 마련이다.
#Emotet#C2서버#로더DLL#TLS인증서#말레이시아#가나#한국#위협인텔리전스IOCf6 · i3 · d0 · u6지역US산업소매·유통