APT회원 전용2026년 11월 7일 09:41 (UTC+9)DLL 함수 호출 옆에 남은 로깅 값 변경, 작성 주체는 불명
DLL을 시험한 샌드박스 보고서에 Windows 로깅 관련 레지스트리 값이 0으로 설정된 기록이 남았다. 같은 보고서의 프로세스 트리에는 분석용 로더 아래에서 해당 DLL의 여러 함수를 지정한 rundll32.exe 프로세스가 나타난다. DLL 실행과 로깅 설정 변경은 어떤 관계일까. 이 둘을 연결할 수 있다면 단순한 파일 분류를 넘어 시스템 관측 기능에 영향을 주는 행동을 설명할 수 있다. CTX Threat Intelligence가 검토한 자료에서 확실한 것은 DLL을 호출한 부모·자식 프로세스 관계와 로깅 관련 레지스트리 쓰기가 각각 기록됐다는 점이다. 다만 레지스트리를 쓴 프로세스는 식별돼 있지 않다. CTX Team은 이를 로깅 기능에 대한 간섭 여부를 조사할 구체적인 단서로 평가한다. DLL이 로깅을 껐다는 결론과는 구별된다. 이 사례의 핵심은 의심스러운 사건의 수보다, 어떤 사건끼리 실제로 연결되는지에 있다.
#윈도DLL#샌드박스분석#함수호출#프로세스트리#레지스트리쓰기#Windows로깅#통신미확인행위자SafePayIOCf1 · i3 · d0 · u8MITRE18지역PK
FILE회원 전용2026년 11월 7일 09:35 (UTC+9)DLL 분석의 TCP 목적지, 추가 URL의 네 IP와 일치
DLL을 실행한 Zenbox 분석 보고서에는 94.72.104.77:13724 등 네 목적지로 향한 TCP 트래픽이 기록돼 있다. 네 IP는 이번 비교에서 추가된 URL 항목들의 주소와 정확히 겹친다. URL에는 /api/auth.revoke, /api/admin.emoji.list처럼 특정 서비스의 관리 기능을 연상시키는 경로가 붙어 있다. 그렇다면 이 DLL이 해당 API를 호출한 것일까. 기록이 뒷받침하는 답은 그보다 좁지만 중요하다. 파일의 실행을 관찰한 보고서에서 해당 주소들을 향한 트래픽이 확인됐으며, URL 경로 자체를 요청했다는 증거는 아직 없다. CTX Threat Intelligence가 검토한 자료에서 이 연결은 단순히 파일과 의심 주소를 함께 나열한 것보다 강하다. rundll32.exe가 DLL을 호출한 프로세스 트리와 구체적인 목적지 IP·포트가 한 Zenbox 보고서에 담겼기 때문이다.
#윈도DLL#Zenbox#rundll32#TCP트래픽#URL지표#네트워크경보#오류보고행위자SafePayIOCf1 · i3 · d0 · u8MITRE13지역PK
C&C회원 전용2026년 11월 6일 17:41 (UTC+9)upWire의 방화벽 규칙 삭제 명령, 별도 파일의 서비스 이름과 겹쳐
upWire 표본의 샌드박스 분석에서 Windows 방화벽 규칙 두 개를 삭제하도록 지시한 명령이 기록됐다. 대상 이름은 upWire와 wire였다. 이 명령은 방화벽 전체를 끄려는 시도였을까, 아니면 특정 소프트웨어의 네트워크 설정을 정리하는 동작이었을까. 차이는 중요하다. 삭제 대상이 허용 규칙인지 차단 규칙인지에 따라 실제 통신에 미치는 영향부터 달라지기 때문이다. CTX Threat Intelligence가 검토한 기록에서 가장 구체적으로 확인되는 것은 높은 무결성 수준의 netsh.exe 프로세스가 특정 이름의 방화벽 규칙 삭제 명령으로 생성됐다는 사실이다. 별도 wire.exe 표본에는 wire 서비스 경로가 보고됐고, 두 파일에는 같은 발급 대상의 코드 서명 인증서가 기록돼 있다. 따라서 규칙 이름은 다른 파일의 서비스 흔적과 대조할 수 있는 단서다. 다만 이 관계가 곧 두 파일의 공동 실행이나 방화벽 무력화를 뜻하지는 않는다.
#윈도방화벽#방화벽규칙삭제#서비스경로#코드서명#샌드박스분석#프로세스생성행위자Cactus · Cactus Ransomware GroupIOCf19 · i25 · d17 · u2MITRE20
APT회원 전용2026년 11월 6일 17:41 (UTC+9)DLL 오류 보고와 별개로 세 COM 등록 값에 경로 기록
바탕화면의 funoictl.dll을 가리키도록 세 개의 COM 등록 값이 설정됐다. 같은 샌드박스 보고서에는 이 DLL을 호출한 rundll32.exe의 오류 보고 흔적도 남았다. 그렇다면 DLL은 시스템 설정을 바꾼 것인가, 아니면 오류로 실행에 실패한 것인가. CTX Threat Intelligence가 검토한 기록은 두 관찰이 양립할 수 있음을 보여 준다. 등록 값을 쓴 프로세스와 오류 보고가 연결된 프로세스가 서로 달랐기 때문이다. 핵심은 ‘실행 성공’이나 ‘실패’라는 단일 판정이 아니라, 어느 호출이 어떤 결과를 남겼는지다. CTX Team은 프로세스 트리와 레지스트리 이벤트를 대조해 DLL 경로가 실제로 등록 값에 기록된 사실을 확인했다. 반면 기존 구성요소를 밀어낸 COM 하이재킹이나 이후의 자동 실행까지 입증된 것은 아니다. 이 구분은 서명된 소프트웨어 구성요소에서 지속성 관련 경보와 실행 오류가 함께 나타났을 때, 무엇을 호스트 변경으로 남겨야 하는지 알려 준다.
#COM등록#레지스트리변경#InprocServer32#DLL호출#오류보고#샌드박스분석행위자Infy · Prince of PersiaIOCf22 · i7 · d1 · u0지역US산업소매·유통
C&C회원 전용2026년 11월 6일 01:37 (UTC+9)서로 다른 네트워크의 두 IP, 인증서·JARM 일치
서로 다른 네트워크에 속한 두 IP에서 같은 HTTPS 인증서와 같은 JARM 서비스 지문이 확인됐다. 101.198.2.228과 101.91.111.170이 제시한 인증서는 모두 *.browser.360.cn을 대상으로 한다. 두 주소를 하나의 인프라로 묶어도 될까. CTX Threat Intelligence가 확보한 기록은 두 주소의 TLS 서비스 특성을 연결하지만, 같은 악성 운영자가 통제하는 서버라는 결론까지 뒷받침하지는 않는다. 핵심은 인증서의 이름만 비슷한 것이 아니라 인증서 자체와 서비스 지문이 함께 일치한다는 점이다. 이는 국가나 통신사업자가 같다는 사실보다 구체적인 연결 근거다. 다만 연결되는 대상은 관측된 HTTPS 서비스의 외부 특성이다. 자료 속 다른 주소 쌍과 비교하면, 이 구분이 왜 중요한지 더 분명해진다. 첫 번째 주소는 AS23724, 두 번째는 AS4811에 속한다.
#CTXThreatIntelligence#TLS#HTTPS인증서#JARM#SNI#네트워크인프라IOCf1 · i12 · d0 · u0MITRE29
APT회원 전용2026년 11월 6일 01:36 (UTC+9)같은 파일의 웹 요청은 반복됐지만 응답 결과는 달랐다
area.wthelpdesk.com의 여러 .htm 경로를 향한 요청에 서버가 서로 다른 답을 내놓았다. 한 샌드박스 보고서에는 ‘찾을 수 없음’을 뜻하는 HTTP 404가, 다른 보고서에는 리디렉션을 나타내는 302와 정상 응답 코드 200이 기록됐다. 분석 대상은 같은 실행 파일이었다. 이 차이는 악성 파일의 통신 기능이 작동했다는 뜻일까, 아니면 파일이 찾던 주소에서 더 이상 의도한 서비스를 만나지 못했다는 뜻일까. CTX Threat Intelligence가 검토한 자료에서 가장 분명한 발견은 같은 파일을 다룬 세 샌드박스 보고서에 동일한 호스트를 향한 웹 요청이 반복해서 나타난다는 점이다. 각 보고서에는 해당 호스트의 DNS 조회 결과와 그 주소의 TCP 80번 포트 트래픽도 함께 남았다. 단순히 파일에서 도메인 문자열을 발견한 경우보다 구체적인 연결이다.
#악성코드분석#샌드박스#HTTP요청#DNS조회#인터넷캐시#도메인분석행위자Red Apollo · PotassiumIOCf1 · i0 · d1 · u7MITRE8지역MY산업정부·공공
FILE회원 전용2026년 11월 5일 09:40 (UTC+9)같은 경로로 보낸 POST, 한 응답은 도메인 판매 페이지로
sw.dewbooks.com/b3/order.php로 보낸 HTTP POST 요청에 돌아온 것은 명령이 아니라 도메인 판매 페이지로 이동하라는 응답이었다. 같은 파일을 분석한 다른 기록에는 shatteredwow.com의 동일한 경로로 향하는 POST가 남아 있다. 외부 주소를 반복해서 호출하는 실행 파일과, 그 요청을 받아 다른 곳으로 돌려보내는 서버. 이 조합은 어디까지 악성코드의 통신을 보여 주며, 어디서부터는 목적지가 더 이상 기대한 역할을 하지 않는 흔적일까. CTX Threat Intelligence가 검토한 자료에서 중요한 것은 이 네트워크 요청과 함께 기록된 로컬 시작 설정이다. Lastline 보고서에는 AdobeAcrobat이라는 이름의 Run·RunOnce 항목 쓰기가 나타난다. CTX Team은 이를 외부 통신을 시도하면서 로그온 시 실행과 관련된 설정도 남기는 표본으로 평가한다. 다만 두 관찰이 입증하는 범위는 다르다.
#윈도실행파일#샌드박스분석#HTTPPOST#도메인리디렉션#Run·RunOnce#시작설정#외부통신행위자RATicateIOCf1 · i0 · d7 · u0MITRE24지역MY산업정부·공공
C&C회원 전용2026년 11월 5일 09:39 (UTC+9)같은 파일 가리킨 Run 값, 표본 분석서 외부 HTTP 요청 확인
svchost.exe라는 이름으로 실행된 파일의 내용은 분석 대상 실행 파일과 같았고, 로그온 실행을 지정하는 레지스트리 값은 그 파일의 경로를 가리켰다. 같은 표본을 다룬 샌드박스 보고서에는 185.215.113.10으로 향하는 HTTP 요청도 남았다. 이 주소는 단순히 평판이 나쁜 서버인가, 아니면 호스트에 실행 기반을 남긴 파일과 실제 통신 관계가 있는가. CTX Threat Intelligence가 검토한 기록은 두 번째 해석을 뒷받침한다. 숫자로 된 디렉터리 아래에서 Windows 서비스 프로세스처럼 이름 붙은 실행 파일, 그 위치를 지정한 Run 값, 해당 표본의 분석에서 관찰된 외부 요청이 함께 확인된다. 다만 이 연결이 보여 주는 것은 악성 행위 분석과 결부된 접속 대상이라는 역할이다. 서버가 명령을 보냈거나 파일이 이를 받아 실행했다는 결론까지 나아갈 응답 내용은 없다. 핵심은 주소의 평판보다 연결의 구체성에 있다.
#CTX위협인텔리전스#Phorpiex#윈도실행파일#Run자동실행#HTTP요청#보안정책변경#샌드박스분석IOCf8 · i2 · d0 · u13MITRE32지역PK
APT회원 전용2026년 11월 5일 09:29 (UTC+9)SysWOW64에 생성된 파일, 같은 해시로 서비스 문맥에서 실행
C:\Windows\SysWOW64\1085580a라는 확장자 없는 파일이 생성됐고, 같은 경로와 같은 해시를 가진 실행 이미지가 services.exe를 부모로 실행됐다. 이 관계는 낯선 파일명이 발견됐다는 사실보다 중요하다. 파일이 실제 실행 대상으로 쓰였음을 보여 주기 때문이다. 그렇다면 이 실행 파일은 무엇을 하려 했을까. 같은 표본의 샌드박스 보고서에는 두 .xyz 도메인 아래의 TXT 레코드를 웹 요청으로 조회한 흔적도 있다. 다만 파일 실행과 개별 네트워크 요청을 하나의 프로세스 활동으로 묶는 증거는 별도로 따져야 한다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적인 발견은 Windows 시스템 디렉터리에 생성된 실행 파일의 서비스 문맥 실행과, 리졸버를 통한 여러 종류의 DNS 정보 조회다. 전자는 파일 생성·프로세스 생성 기록으로, 후자는 요청 주소·레코드 유형·응답 메타데이터로 뒷받침된다.
#윈도우#SysWOW64#서비스문맥실행#파일생성#DNS조회#TXT레코드#CNAME#샌드박스분석행위자Gold Evergreen · Business ClubIOCf5 · i1 · d7 · u2지역US
FILE회원 전용2026년 11월 4일 17:36 (UTC+9)엑셀 자식 실행 파일 확인…웹 요청과 C2 통신은 별개
엑셀 문서를 분석한 샌드박스에서 실행 파일을 요구하는 HTTPS 요청과 TCP 5203번 포트로 향하는 통신이 함께 기록됐다. 요청 대상은 www.bagsrad.com의 .exe 경로였지만, 메모리에서 추출한 악성코드 설정은 다른 호스트인 mirrowingviewnet.ydns.eu:5203을 가리켰다. 두 목적지는 각각 어떤 역할을 했을까. 둘을 모두 ‘악성 서버’로 묶으면, 파일을 가져오려는 요청과 실행된 코드의 제어용 통신을 구분하는 핵심 증거가 사라진다. CTX Threat Intelligence가 검토한 기록에서 두 번째 목적지는 설정에만 존재하지 않았다. CAPE와 VMRay 보고서 각각에 해당 호스트의 DNS 응답과, 그 응답 주소의 5203번 포트로 향하는 TCP 트래픽이 남았다. 반면 www.bagsrad.com에서는 실행 파일 경로에 대한 GET 요청이 확인되지만, 제공된 자료에는 응답 본문이나 내려받은 파일의 해시가 없다.
#악성엑셀문서#샌드박스분석#자식프로세스#실행파일요청#자동실행설정#C2통신#Warzone계열행위자MuddyWater · TEMP.ZagrosIOCf1 · i0 · d1 · u2지역AU · CH · DE · DK산업협회·단체 · 에너지 · 소매·유통
C&C회원 전용2026년 11월 4일 17:36 (UTC+9)DNS·TLS 지문은 맞았지만, 악성 파일의 통신은 확인 안 돼
reihtec.com의 DNS A 레코드는 174.138.186.11을 가리켰고, 도메인과 IP에 기록된 TLS 서비스 지문인 JARM도 일치했다. kalteng.net과 45.126.43.3에서도 같은 관계가 확인됐다. 두 쌍은 단순히 같은 자료에 등장한 주소가 아니라, 이름과 서비스 특성이 함께 맞물리는 조사 단서다. 그렇다면 이 연결은 어디까지 호스트의 역할을 설명할 수 있을까. CTX Threat Intelligence 자료를 대조한 CTX Team의 판단은 구체적이다. DNS와 지문은 각 도메인을 어느 주소의 서비스와 함께 조사해야 하는지 뒷받침한다. 그러나 함께 제공된 실행 파일이 그 서비스에 통신했다는 연결은 없다. 이 사례의 핵심은 주소 사이의 관계를 확인하는 것과 악성 통신의 목적지를 입증하는 것이 서로 다른 작업이라는 데 있다. A 레코드가 도메인과 IPv4 주소의 연결을 제공한다면, JARM 일치는 양쪽에 기록된 TLS 응답 특성이 같다는 정보를 더한다.
#위협인텔리전스#DNSA레코드#JARM#TLS인증서#공유인프라#Windows실행파일#네트워크행위분석행위자Pinchy Spider · SodinokibiIOCf2 · i9 · d13 · u9지역US
FILE회원 전용2026년 11월 4일 02:12 (UTC+9)실행 파일의 DLL 참조, 다른 DLL의 임포트로 이어져
한 실행 파일이 요구하는 DLL 이름이 다른 파일의 임포트 목록에서도 반복된다. 제출명 spoolsrv.exe인 표본은 coli-0.dll과 trch-1.dll, tucl-1.dll의 함수를 참조하고, coli-0.dll이라는 이름으로 제출된 DLL 역시 뒤의 두 모듈을 참조한다. 이 관계는 비슷한 탐지명이 붙은 파일들의 단순한 집합보다 구체적이다. 그렇다면 이들은 함께 작동하는 도구의 부품일까, 실제로 함께 실행된 공격 도구일까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 DLL 이름과 함수 단위로 드러나는 의존 관계다. 실행 파일과 여러 DLL이 공유 모듈을 이용하도록 구성됐다는 해석을 뒷받침한다. 그러나 실행 기록이 입증하는 범위는 그보다 좁다. 임포트에 적힌 DLL 이름이 분석 대상 파일의 제출명과 일치한다는 사실과, 해당 DLL의 특정 해시가 실제 프로세스에 로드됐다는 사실은 다르다.
#악성파일분석#PE임포트#DLL의존성#모듈형도구#UPX#YARA탐지#샌드박스분석행위자Raspite · LeafminerIOCf47 · i0 · d1 · u2MITRE11지역US산업소매·유통
C&C회원 전용2026년 11월 4일 02:02 (UTC+9)서로 다른 Kryptex 접속 이름, 주소와 TLS 지문은 같았다
prl.kryptex.network와 prl-eu.kryptex.network는 이름이 다르지만, 기록된 목적지 주소는 23.88.2.85로 같았다. 두 이름에 연결된 HTTPS 인증서와 JARM 서비스 지문도 일치했다. 지역명이 붙은 도메인 하나를 별도 서버 하나로 세어도 될까. 이 일치는 함께 제시된 주소들을 단순한 서버 목록이 아니라, 이름과 접속 지점 사이의 관계로 읽어야 한다는 출발점이다. CTX Threat Intelligence가 검토한 자료에서 가장 뚜렷한 구조는 Kryptex 도메인 아래의 지역별 접속 이름이다. 일부 이름은 같은 주소를 공유하고, 다른 이름은 서로 다른 주소나 stratum이라는 이름이 포함된 별칭 대상으로 이어진다. 반면 함께 제시된 gleeze.com 및 ooguy.com 하위 도메인은 각각의 IP와는 연결되지만, 이 Kryptex 구조와 연결되는 관찰은 없다.
#Kryptex#채굴#DNS#TLS#JARM#접속지점#지역별도메인IOCf37 · i5 · d9 · u0지역AR · BE · BH · BN산업건설 · 교육·연구 · 기술·IT
FILE회원 전용2026년 11월 3일 09:41 (UTC+9)제거 요청의 식별자, 로컬 ComMaster 값과 일치
uninst.exe의 샌드박스 분석에서 s.ludashi.com/pc_all로 향하는 HTTP GET 요청이 기록됐다. 요청은 type=uninstall, action=start, app=c_disk_clean을 담고 있었다. 제거 프로그램이라는 파일명과 맞아떨어지는 내용이다. 그러나 이 통신을 이해하는 데 더 중요한 단서는 별도로 있었다. URL의 mid2 매개변수가 같은 분석 보고서에 기록된 ComMaster\m2 레지스트리 값과 정확히 일치했다. 제거 시작을 알리는 요청에 로컬 상태를 연결할 수 있는 값이 포함된 것이다. 이 관계는 한 보고서에만 나타나지 않았다. 서로 다른 샌드박스 보고서에서 식별자 값과 DNS 응답 주소는 달랐지만, 각 보고서 안에서는 레지스트리 값과 요청 매개변수의 대응이 유지됐다. 그렇다면 이 통신은 원격 명령을 받는 채널인가, 제품의 제거 동작을 보고하는 기능인가.
#uninst.exe#ComMaster#로컬식별자#HTTP요청#제거동작보고#샌드박스분석#서명된유틸리티행위자FIN6 · Skeleton SpiderIOCf24 · i0 · d0 · u0MITRE15지역CN · HK · SG산업금융
C&C회원 전용2026년 11월 3일 09:38 (UTC+9)‘wire’ 서비스 흔적과 방화벽 규칙 삭제 명령이 맞물려
wire와 upWire라는 이름의 Windows 방화벽 규칙을 삭제하도록 지시한 명령이 샌드박스 기록에 남았다. 별도 파일 기록에는 wire 서비스의 레지스트리 위치가 보고됐다. 같은 이름이 서비스와 방화벽 양쪽에 등장하는 이유는 무엇일까. 이 자료에서 가장 구체적으로 드러나는 것은 특정 서버와의 통신보다, Windows의 서비스 구성과 네트워크 접근 규칙에 관여하는 소프트웨어의 역할이다. CTX Threat Intelligence가 제공한 기록에서 방화벽 명령은 upWire.exe로 제출된 파일의 분석에, 서비스 위치는 wire.exe로 제출된 다른 파일의 분석에 속한다. 두 파일은 같은 코드 서명 인증서를 사용했다. 이 연결은 함께 살펴볼 소프트웨어 맥락을 제공하지만, 하나가 다른 하나를 설치하거나 실행했다는 뜻은 아니다. 핵심은 이름과 서명이 알려 주는 관계를 실제 프로세스 이벤트가 보여 주는 행동과 구분하는 데 있다.
#Windows방화벽#방화벽규칙삭제#Windows서비스#프로세스생성#코드서명#DLL로딩행위자APT28 · StrontiumIOCf6 · i20 · d30 · u3MITRE32
APT회원 전용2026년 11월 3일 09:38 (UTC+9)WinAuthority의 ‘실행 보고’ 요청, 응답·캐시 흔적으로 확인
WinAuthority.exe의 샌드박스 분석에서 외부 서버로 향한 GET 요청에 action=run, app=winauth, 버전 번호와 식별자처럼 보이는 값들이 함께 실렸다. 서로 다른 세 분석 보고서에 같은 요청 형식이 남아 있다. 이 프로그램은 실행 사실을 알리는 것일까, 아니면 외부에서 지시를 받아오는 것일까. 요청과 응답, 로컬 파일을 연결해 보면 이 질문에 답할 수 있는 범위가 좁혀진다. CTX Threat Intelligence 자료에서 가장 강하게 뒷받침되는 해석은 WinAuthority가 실행 활동을 보고하는 성격의 요청을 보냈다는 것이다. 두 보고서는 요청 호스트의 DNS 응답과 그 주소로 향한 TCP 트래픽까지 함께 기록했다. 한 보고서에는 HTTP 200 응답과 해당 프로세스에 귀속된 텍스트 파일도 있다. 단순히 실행 파일 안에서 도메인 문자열을 발견한 사례보다 연결 근거가 구체적이다.
#WinAuthority#샌드박스분석#HTTP요청#실행활동보고#인터넷캐시#로컬식별자행위자APT28 · StrontiumIOCf7 · i9 · d5 · u2MITRE22
FILE회원 전용2026년 11월 2일 17:42 (UTC+9)AAct 실행 사슬에서 확인된 자기 경로 Defender 제외 시도
실행 중인 파일이 Windows 관리 도구를 호출해 자기 경로를 Defender 검사 제외 대상으로 지정했다. CTX Threat Intelligence가 검토한 CAPE 샌드박스 기록에는 program.exe가 cmd.exe를 실행하고, 그 아래에서 WMIC.exe가 제외 경로 추가를 요청하는 관계가 남아 있다. 단순히 보안 제품에 탐지된 파일이 아니라, 자신의 실행 환경에서 보안 설정을 바꾸려 한 파일이라는 점이 중요하다. 이 기록에 원격 관리 소프트웨어의 서비스 흔적까지 더해지면 질문은 커진다. 검사 제외와 원격 관리가 하나의 배포 과정으로 연결된 것일까. 현재 근거가 보여 주는 답은 그보다 구체적이고 제한적이다. AAct 관련 표본에서는 Defender 제외 시도가 프로세스 관계로 확인되며, 이번 비교 목록에 추가된 Remote Manipulator System 파일에서는 서비스 기반 원격 관리 역할을 뒷받침하는 제품 정보와 자동 시작 관련 흔적이 확인된다.
#AAct#Defender검사제외#WMIC#프로세스사슬#RemoteManipulatorSystem#RManService#원격관리행위자Gamaredon Group · CTIGIOCf4 · i0 · d0 · u0MITRE22산업정부·공공
C&C회원 전용2026년 11월 2일 17:42 (UTC+9)도메인과 별도 IP의 TLS 지문 일치, 접속 경로는 미확인
1818706573.cdn.123clouddisk.com과 IP 주소 61.174.8.171에서 같은 TLS 서비스 지문이 기록됐다. 그러나 이 도메인의 DNS 응답에 담긴 IP는 다른 주소였다. 같은 지문은 두 대상을 하나의 서버로 묶을 근거일까, 아니면 추가 비교를 위한 단서일까. CTX Threat Intelligence가 확보한 자료에서 직접 확인되는 관계는 도메인과 그 DNS 응답이다. 서비스 지문 일치는 별도의 비교 단서지만, 해당 IP가 이 도메인의 콘텐츠를 제공했다는 연결은 제시되지 않았다. 이 차이는 중요하다. 인프라의 기술적 유사성을 실제 접속 경로로 받아들이면, 조사 대상 호스트와 아직 역할이 확인되지 않은 주소를 같은 목적지로 취급하게 되기 때문이다. 도메인의 DNS 기록에는 v827dlink.cjjd16.com과 vip.123pan.cn.w.mingfucdn.com을 가리키는 CNAME 응답이 있다.
#DNS#CNAME#TLS지문#JARM#클라우드디스크#콘텐츠전달#IP주소행위자UAC-0063 · TAG-110IOCf0 · i2 · d1 · u3MITRE10
APT회원 전용2026년 11월 2일 17:37 (UTC+9)‘wifi support’ 서비스가 가리킨 임시 파일의 목적지
임시 폴더의 실행 파일을 Windows 시스템 디렉터리로 옮기는 명령과, 그 목적지를 자동 시작 서비스에 등록하는 명령이 한 표본의 분석 기록에서 함께 발견됐다. 서비스 표시 이름은 wifi support였다. 무선 네트워크 지원 기능처럼 보이는 이 이름은 실제로 어떤 파일을 실행하도록 설정됐을까. 서로 다른 샌드박스 보고서를 비교하면, 표시 이름보다 중요한 것은 임시 파일·이동 목적지·서비스 실행 경로가 맞물리는 관계다. CTX Threat Intelligence가 확보한 기록에서 표본은 시스템 디렉터리 아래 실행 파일을 배치하고 이를 서비스로 구동하려는 패턴을 반복했다. 한 보고서에는 해당 실행 파일이 services.exe의 자식으로 실행된 사실도 남아 있다. 이는 단순히 서비스 관련 문자열을 포함한 파일이 아니라, 분석 환경에서 서비스 기반 실행 구조를 구성한 표본이라는 판단을 뒷받침한다. 네트워크 기록은 그보다 좁은 결론을 허용한다.
#Windows#샌드박스#서비스설치#자동시작#실행파일#TCP25#네트워크트래픽행위자Smoky SpiderIOCf2 · i1 · d0 · u1MITRE33지역US산업소매·유통
FILE회원 전용2026년 11월 2일 01:48 (UTC+9)AppData 자식 파일 실행 확인, 다운로드 출처는 미확인
7,168바이트짜리 .NET 실행파일의 샌드박스 기록에서, 사용자 AppData 아래에 저장된 별도 실행파일이 원본의 자식 프로세스로 나타났다. 그 자식은 임시 폴더의 .tmp 파일을 다시 자식 프로세스로 두고 있었다. 같은 분석 보고서에는 AdsShow.exe를 요청하는 웹 통신도 담겼다. 작은 프로그램이 다른 실행파일로 작업을 넘겼다는 것은 확인할 수 있지만, 웹에서 요청한 파일이 바로 그 자식이었을까. CTX Threat Intelligence가 검토한 기록은 이 두 질문에 서로 다른 수준의 답을 준다. 디스크에 남은 PE 실행파일과 실제 자식 프로세스는 경로로 연결된다. 반면 다운로드 URL의 응답 내용과 자식 파일을 잇는 증거는 없다. 이 사례의 핵심은 완성된 다운로드·실행 사슬이 아니라, 별도 실행파일로 이어지는 프로세스 관계는 확인됐고 그 파일의 공급 경로는 아직 분리돼 있다는 점이다. 이를 구분하면 최초 파일뿐 아니라 무엇을 함께 조사해야 하는지도 구체적으로 달라진다
#악성파일#.NET실행파일#샌드박스분석#자식프로세스#AppData실행파일#임시파일#HTTP요청행위자Promethium · StrongPityIOCf81 · i0 · d1 · u3MITRE14지역US
C&C회원 전용2026년 11월 2일 01:38 (UTC+9)‘Tofsee’ 지문 경보 목적지, 별도 보고서선 업데이트 호스트 주소
‘Tofsee’라는 이름이 붙은 TLS 지문 경보의 목적지 IP가, 같은 파일에 대한 별도 샌드박스 보고서에서는 armmf.adobe.com의 DNS 응답 주소로 나타났다. 그 보고서에는 해당 호스트에서 MSI 파일을 요청하고 HTTP 200 응답을 받은 기록도 있다. 악성코드 계열명이 붙은 경보를 이 주소가 명령제어(C2) 서버라는 증거로 받아들여도 될까. CTX Threat Intelligence가 검토한 파일 #df83a0d69406의 기록은 다른 해석을 요구한다. TLS 클라이언트 지문 일치, 목적지 주소, HTTP 요청 내용은 각각 다른 사실을 설명한다. CTX Team의 판단은 이 경보가 조사할 통신 특성을 제시하지만, 목적지의 악성 역할까지 확정하지는 않는다는 것이다. 이 사례에서는 오히려 DNS와 요청 내용을 함께 읽을 때 경보의 의미가 더 구체적으로 좁혀진다.
#TLS지문#JA3경보#DNS응답#MSI요청#HTTP응답#샌드박스분석#rundll32연결행위자Salty Spider · KuKuIOCf16 · i1 · d6 · u25지역TH산업통신
FILE회원 전용2026년 11월 1일 09:49 (UTC+9)한 파일의 C2 설정, 세 도메인 주소에서 네트워크 경보와 맞물려
한 실행파일의 설정에 들어 있던 도메인 세 곳의 DNS 주소가 네트워크 탐지 이벤트의 목적지 IP와 일치했다. 목적지 포트도 설정과 같은 443이었다. 서로 다른 이름의 도메인 11개를 담은 이 파일은 어떤 외부 서비스와 연결되도록 구성됐으며, 그중 어디까지 실제 통신 흔적이 뒷받침할까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 한 파일의 추출 설정, 도메인의 A 레코드, Remcos 관련 네트워크 규칙에 걸린 목적지 주소 사이에 나타났다. 설정은 11개 도메인을 명령·제어(C2) 대상으로 묶고, 네트워크 이벤트는 그중 세 도메인의 기록된 IP와 맞아떨어진다. 다만 이벤트에 호스트명이 없으므로, 이는 특정 도메인으로의 접속이 입증된 것과는 다르다. 이 차이가 조사 범위를 결정한다. 설정에 담긴 대상과 통신 관찰로 보강된 대상을 구분해야, 하나의 파일에서 출발한 분석이 근거 없는 전체 인프라 귀속으로 번지지 않는다.
#악성실행파일#렘코스#C2설정#DNS#네트워크탐지#레지스트리쓰기행위자Gorgon Group · SubaatIOCf1 · i0 · d11 · u6지역US산업소매·유통
C&C회원 전용2026년 11월 1일 09:49 (UTC+9)은행 연상 도메인, 웹 주소와 메일 설정이 한 IP로 모여
spectratrustbank.com의 DNS에는 같은 IP 주소가 서로 다른 역할로 등장한다. A 레코드는 66.29.156.99를 가리키고, 메일 수신 서버를 지정하는 MX 레코드는 도메인 자신을 가리킨다. 발신 허용 정책인 SPF에도 이 IP가 명시돼 있다. 은행을 연상시키는 이름과 피싱 분류를 가진 이 도메인은 실제로 어떤 역할을 하는가. CTX Threat Intelligence가 검토한 기록은 주소 해석과 메일 설정이 한 IP로 모이는 구조를 보여 준다. 다만 설정된 역할과 실제 사용은 구분해야 한다. A 레코드는 도메인 이름을 IPv4 주소에 연결한다. 이 사례에서 MX 대상도 spectratrustbank.com이므로, 제공된 DNS 설정을 따라가면 메일 수신 대상으로 지정된 이름 역시 같은 IP로 해석된다. 서로 다른 서버 이름이 우연히 함께 등장한 것이 아니라, 도메인 자체를 메일 수신 대상으로 삼은 구성이다.
#피싱분류#은행연상도메인#DNS#MX레코드#SPF#TLS인증서#CTXThreatIntelligence행위자Cactus · Cactus Ransomware GroupIOCf0 · i20 · d123 · u14산업식음료
C&C회원 전용2026년 10월 31일 17:35 (UTC+9)Amadey 설정 URL, 샌드박스 POST·응답과 일치
메모리에서 추출한 서버 주소가 실제 HTTP 요청의 목적지와 경로까지 일치했다. 한 실행파일의 설정에는 http://185.156.72.8/rob75u9v/index.php가 들어 있었고, 샌드박스는 바로 그 주소로 보낸 POST 요청과 서버의 HTTP 200 응답을 기록했다. 이 IP는 단순히 악성 평판이 붙은 주소가 아니라, 특정 파일이 설정에 따라 접촉한 엔드포인트였다. 그렇다면 함께 제시된 다른 IP와 실행파일도 같은 통신 흐름의 일부일까. CTX Threat Intelligence가 검토한 자료는 두 개의 구별되는 연결을 보여 준다. Amadey로 식별된 파일은 위 HTTP 경로에 접촉했고, RedLine으로 식별된 다른 파일은 62.60.226.191:1912로 TCP 트래픽을 발생시켰다. 첫 번째 IP에는 별도 파일의 의심스러운 POST 관련 경보도 연결돼 있다.
#Amadey#RedLine#C2통신#HTTPPOST#TCP통신#샌드박스분석IOCf39 · i2 · d1 · u8MITRE57지역US
APT회원 전용2026년 10월 31일 01:56 (UTC+9)BHO 등록값과 COM 키로 확인된 DLL의 브라우저 통합 설정
Deals Plugin Extension.dll을 실행한 샌드박스에서 브라우저 확장 등록 영역에 값이 기록됐다. 대상은 Windows 레지스트리의 Browser Helper Objects였고, 기록된 이름은 CrossriderApp0021806이었다. 이 DLL은 단지 브라우저 관련 이름을 가진 파일인가, 아니면 실제로 브라우저에 연결되는 설정을 만드는 구성요소인가. CTX Threat Intelligence가 확보한 기록은 후자를 뒷받침한다. 같은 분석 보고서의 DLL 호출 구조와 COM 등록 키가 브라우저 확장 설정을 구체적인 실행 맥락에 놓아주기 때문이다. 다만 여기서 드러나는 것은 하나의 완성된 감염 경로가 아니라, 각 구성요소가 수행한 서로 다른 역할이다. DLL 분석에서는 브라우저 등록 활동이, 같은 제품명을 가진 설치 실행파일에서는 임시 파일 생성과 자식 프로세스 실행이 관찰됐다. 여러 브라우저 부가기능 이름과 연결된 자바스크립트 파일도 있다.
#브라우저확장#BHO등록#COM등록#DLL분석#NSIS설치파일#DNS조회행위자DarkHotel · Fallout TeamIOCf51 · i0 · d2 · u9지역CA
FILE회원 전용2026년 10월 31일 01:45 (UTC+9)Date Manager·PrecisionTime, 실행 경로 남긴 Gator.com 설정 구조 공유
Date Manager의 샌드박스 보고서에는 실행 중인 파일의 경로가 restart, lockfiles, AppPath라는 레지스트리 항목에도 기록돼 있다. PrecisionTime 보고서에서도 제품명만 달라진 비슷한 구조가 나타난다. 두 프로그램은 왜 자신의 실행 위치를 같은 형식으로 남겼을까. 이 관계는 단순한 제품명 유사성보다 구체적이지만, 곧바로 자동 실행이나 외부 제어를 뜻하지는 않는다. CTX Threat Intelligence가 확보한 자료에서 두 실행파일을 가장 분명하게 연결하는 것은 로컬 시스템에 남긴 Gator.com 애플리케이션 설정 구조다. 각 보고서의 프로세스 경로와 레지스트리 값이 맞물리고, 제품별 이벤트 이름과 제한시간 설정도 대응한다. 반면 이름이 닮은 date-manager.com과 해당 도메인이 가리키는 IP는 별도의 인프라 관계로만 확인된다.
#DateManager#PrecisionTime#Gator.com#레지스트리설정#샌드박스분석#실행경로#DNS행위자Snowglobe · Animal FarmIOCf18 · i1 · d1 · u0MITRE21지역DE
FILE회원 전용2026년 10월 30일 09:32 (UTC+9)실행파일이 남긴 VBS, 내용 일치로 확인된 스크립트 연결
실행파일을 분석한 샌드박스에서 시작프로그램 폴더의 lRDdN.vbs가 발견됐다. 이 파일의 해시는 별도로 분석된 스크립트 표본과 같았다. 실행파일 아래에는 해당 이름의 스크립트를 여는 wscript.exe 프로세스도 기록됐다. 그렇다면 이 실행파일의 역할은 어디까지이고, 함께 나타난 스크립트는 무엇을 이어받았을까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결고리는 악성코드 분류명이 아니라 파일 내용의 동일성과 구체적인 실행·설정 기록이다. 연결된 VBS 표본의 분석에서는 windows.js가 여러 경로에 놓이고, 그중 한 경로가 로그온 실행 설정에 지정됐다. 네트워크 측면에서도 실행파일에서 추출한 설정의 호스트·포트가 별도 샌드박스의 HTTP 요청과 일치했다. 실행파일 하나를 조사 대상으로 삼는 것과, 그것이 남긴 스크립트와 실행 설정까지 함께 보는 것 사이에 실질적인 차이가 있는 사례다.
#실행파일#VBS#JavaScript#샌드박스분석#시작프로그램#Run키#HTTP요청행위자TA2541 · Operation LayoverIOCf12 · i1 · d1 · u3지역CN · PK
C&C회원 전용2026년 10월 30일 09:32 (UTC+9)확장자 다른 두 파일, 해시는 같고 실행 명령에도 각각 등장
regsvr32.exe가 가리킨 파일은 바탕화면의 .dll.ocx와 Windows 시스템 디렉터리 아래의 .bcb였다. 이름과 확장자만 보면 서로 다른 구성요소처럼 보인다. 그러나 VMRay 샌드박스 보고서에 기록된 두 파일의 SHA-256은 같았다. 여기서 질문은 “두 번째 악성파일이 무엇인가”에서 “같은 내용이 서로 다른 경로에서 어떻게 실행 대상으로 쓰였는가”로 바뀐다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적으로 연결되는 것은 이 파일의 내용, regsvr32.exe 명령, 그리고 별도로 관찰된 외부 요청 목적지다. 특히 149.56.128.192:443은 파일에 연관된 인프라 항목에만 등장하는 주소가 아니다. 세 샌드박스 보고서에 이 IP를 향한 요청이 기록됐고, 그중 VMRay에는 해당 포트로 향한 TCP 트래픽도 남았다.
#윈도우DLL#샌드박스분석#파일해시#regsvr32#시스템바이너리대리실행#HTTPS요청#명령제어행위자Emotet Group · TA542IOCf1 · i3 · d0 · u9MITRE27지역RO
APT회원 전용2026년 10월 30일 09:31 (UTC+9)DLL 분석서 확인된 HTTP 응답과 반복 목적지
한 DLL의 샌드박스 분석에서 https://162.244.80.68:443/rXpAvLRK로 보낸 GET 요청과 HTTP 200 응답이 기록됐다. 다른 분석 보고서에도 같은 IP·포트로 향한 TCP 트래픽이 남았다. 이는 단순히 파일과 함께 제시된 의심 주소 목록보다 구체적인 연결이다. 그렇다면 이 DLL은 원격 서버와 무엇을 주고받았으며, 그 통신은 어떤 실행 방식과 연결되는가. CTX Threat Intelligence가 확보한 기록은 첫 질문의 일부와 두 번째 질문의 출발점을 보여 준다. 분석 환경에서는 DLL 로더 아래에 rundll32.exe와 regsvr32.exe가 나타났고, 여러 보고서에서 특정 목적지로 향한 요청이나 트래픽이 확인됐다. 반면 응답 본문과 개별 네트워크 이벤트를 발생시킨 프로세스 식별자는 제공되지 않았다.
#윈도DLL#샌드박스분석#HTTPS요청#TCP트래픽#DLL로더#프로세스트리#위협추적행위자Lazarus Group · Hastati GroupIOCf1 · i5 · d0 · u6MITRE25지역RO
FILE회원 전용2026년 10월 29일 17:37 (UTC+9)같은 HTML 연 두 브라우저, 같은 호스트 조회·접속 기록
로컬 HTML 파일을 연 두 샌드박스에서 같은 외부 호스트의 이름 조회와 접속이 기록됐다. 한쪽은 Edge, 다른 쪽은 Chrome을 사용했지만, 두 보고서 모두 www.webzdarma.cz를 185.64.219.22로 해석한 DNS 응답과 그 주소의 TCP 443번 포트로 향한 통신을 담고 있다. 이 호스트는 문서에 필요한 자원을 제공했을까, 아니면 다른 기능을 맡았을까. CTX Threat Intelligence가 검토한 기록에서 가장 분명한 발견은 이 반복되는 호스트·주소 관계다. 단순히 접속 주소 하나가 목록에 남은 것이 아니라, 같은 HTML 표본을 다룬 서로 다른 브라우저 환경에서 이름 조회 결과와 통신 목적지가 맞아떨어졌다. 이는 해당 호스트를 문서의 외부 활동을 이해할 구체적인 조사 대상으로 만든다. 다만 기록이 직접 보여 주는 것은 호스트 조회와 주소 접속이다. 그곳에서 무엇을 요청하고 받았는지는 별도의 질문으로 남는다.
#HTML파일#샌드박스분석#DNS조회#TCP통신#브라우저#프로세스분석#인증서통신행위자Salty Spider · KuKuIOCf31 · i0 · d1 · u2MITRE58지역BD산업컨설팅
APT회원 전용2026년 10월 28일 14:49 (UTC+9)VAUX-COM 설치 흔적 뒤에 남은 UAC 설정 쓰기와 HTTP 탐지
VAUX-COM 관련 파일을 풀어놓는 실행파일의 분석 기록에 Windows 사용자 계정 컨트롤(UAC) 정책을 바꾸는 레지스트리 쓰기와, 두 웹 도메인의 logo.gif URL에 대한 악성코드 탐지 이벤트가 함께 남아 있다. 설치 프로그램이 파일을 생성하는 것은 자연스럽다. 그렇다면 이 표본에서 어디까지가 압축 해제와 설치의 흔적이며, 무엇이 그 이상의 검토를 요구하는가. CTX Threat Intelligence가 검토한 자료는 이 질문을 파일 이름이 아닌 세 가지 구체적 관계로 좁힌다. 임시 디렉터리에 생성된 실행파일의 내용이 분석 대상과 일치하고, UAC 및 파일 표시 설정에 특정 값이 기록됐으며, 표본에 연결된 네트워크 이벤트에는 정확한 호스트와 URL이 남았다. 이들은 단순히 “의심스러운 설치파일”이라는 분류보다 강한 근거다. 다만 서로 다른 분석 보고서의 관찰을 하나의 연속된 공격 과정으로 합칠 수는 없다.
#VAUX-COM#Sality#자동차진단소프트웨어#Windows#UAC설정변경#레지스트리쓰기#HTTP탐지행위자TA505 · Hive0065IOCf30 · i2 · d4 · u16MITRE51지역ES · GB · RO · RS
FILE회원 전용2026년 10월 28일 11:10 (UTC+9)엑셀이 실행한 파일, 이름 바꿔 Run 값에도 연결
엑셀 문서를 실행한 샌드박스에서 EXCEL.EXE의 자식으로 사용자 Templates 폴더의 실행파일이 나타났다. 그 하위 프로세스 트리에는 이름이 다른 Hjimages.exe가 있었지만, 기록된 해시는 두 실행파일의 내용이 같음을 보여 줬다. 같은 분석 자료에는 실행파일을 요청한 웹 주소와 별도의 원격 접속 설정도 남았다. 문서에서 시작된 실행은 어디로 이어졌으며, 두 원격 호스트는 각각 어떤 역할을 했을까. CTX Threat Intelligence가 검토한 기록은 이 질문에 서로 다른 강도의 답을 제공한다. www.bagsrad.com에는 실행파일 경로를 대상으로 한 HTTP GET 요청이 있었다. 반면 mirrowingviewnet.ydns.eu:5203은 메모리에서 추출한 Warzone 설정에 포함됐고, 해당 이름의 DNS 응답과 같은 주소·포트로 향하는 트래픽까지 확인됐다. 전자는 실행파일 제공처 후보이며, 후자는 설정과 실제 통신 관찰이 맞물리는 원격 엔드포인트다.
#악성문서#엑셀실행파일#동일해시#Run키#실행파일요청#원격통신#Warzone행위자MuddyWater · TEMP.ZagrosIOCf1 · i0 · d1 · u2지역CH · DE · TR · US산업건설 · 교육·연구 · 숙박·레저
C&C회원 전용2026년 10월 28일 11:10 (UTC+9)같은 실행파일이 두 도메인의 TXT 정보를 조회했다
한 Windows 실행파일의 샌드박스 기록에서 tyui54345.xyz와 zxcv56745.xyz 아래 이름을 조회하는 HTTP 요청이 확인됐다. 요청을 받은 곳은 두 도메인의 서버가 아니라 dns.alidns.com과 그 주소였다. 이 차이는 중요하다. 겉으로는 외부 DNS 서비스에 대한 접속이지만, 요청 내용을 보면 실행파일이 어떤 이름의 정보를 찾고 있었는지 드러난다. 두 도메인은 단지 등록 정보가 닮은 이름들인가, 아니면 같은 프로그램의 동작에 함께 등장하는가. 이번 기록은 후자를 직접 뒷받침한다. CTX Threat Intelligence가 검토한 표본은 SHA-256 접두부가 #b7d5134b1652인 실행파일이다. 이 파일의 분석에서는 두 도메인에 대한 조회뿐 아니라, 별도 실행파일을 Windows 시스템 경로에 생성한 사실과 그 파일의 실행도 확인된다. 또 다른 호스트인 down.zhangyaping.top의 이름 해석 결과와 해당 IP로 향한 통신도 기록됐다.
#Windows실행파일#샌드박스분석#DNSTXT조회#HTTP요청#PE파일생성#프로세스실행#이름해석행위자Gold Evergreen · Business ClubIOCf5 · i1 · d7 · u2지역US
APT회원 전용2026년 10월 28일 11:10 (UTC+9)문서 이름으로 남은 PE, 실행파일과 해시 일치
엑셀 문서를 분석한 샌드박스에서 System.doc라는 파일이 기록됐지만, 실제 형식은 워드 문서가 아니라 윈도 실행파일이었다. 같은 보고서에는 사용자 프로필 아래 .templates 폴더에서 동작하는 System Manager.exe 프로세스와 offlineearthquake.com으로 향하는 HTTP 요청도 남았다. 문서처럼 보이는 파일, 실행 중인 프로그램, 외부 도메인은 어디까지 하나의 동작으로 연결할 수 있을까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 파일 이름이 아니라 내용의 일치다. 엑셀 분석 중 드롭된 파일의 SHA-256은 별도로 분석된 System Manager 실행파일과 정확히 같았다. 그 실행파일의 독립 분석에서도 동일한 도메인의 /download 경로로 요청한 기록이 확인됐다. CTX Team은 이를 문서와 실행파일 사이의 배치 관계, 그리고 두 분석에서 공통으로 사용된 네트워크 목적지를 보여 주는 근거로 평가한다.
#엑셀문서#오피스매크로#PE실행파일#샌드박스분석#파일해시#HTTP요청#DNS분석행위자OilRig · APT34IOCf4 · i0 · d1 · u1MITRE10지역US산업소매·유통
FILE회원 전용2026년 10월 27일 10:57 (UTC+9)mrodularmall.top, DNS와 TLS에서 서로 다른 도메인과 연결
mrodularmall.top은 crosshairc.life와 DNS 설정이 겹치고, gunlovers.top과는 TLS 서비스 지문이 일치한다. 서로 다른 두 관계가 한 도메인에서 만난다. 그렇다면 이 도메인은 세 호스트를 하나의 운영망으로 묶는 연결고리일까, 아니면 공통 서비스를 사용하는 흔적일까. CTX Threat Intelligence가 검토한 기록에서 확인되는 것은 두 종류의 인프라 비교를 이어 주는 조사 출발점이다. CTX Team은 이 자료 안에서 mrodularmall.top이 유용한 이유를 의심 지표의 수가 아니라, DNS 구성과 TLS 응답 특성이라는 서로 다른 관찰을 연결한다는 데서 찾는다. 다만 연결의 성격을 구분해야 이후 조사에서도 서비스의 유사성을 운영 주체의 동일성으로 잘못 바꾸지 않을 수 있다. mrodularmall.top과 crosshairc.life에는 ns1.csof.net부터 ns4.csof.net까지 같은 네 개의 네임서버가 기록돼 있다.
#CTXThreatIntelligence#인프라비교#DNS설정#네임서버#SPF#TLS지문#JARMIOCf25 · i0 · d4 · u8MITRE29지역PK
C&C회원 전용2026년 10월 27일 09:11 (UTC+9)같은 형식의 POST 받은 두 호스트, 실행파일 요청은 S3로
같은 실행파일의 샌드박스 분석에서 os.baixakialtcdn.com과 os2.baixakialtcdn.com을 향한 HTTP POST 요청이 확인됐다. 두 호스트에는 경로와 질의 매개변수가 일치하는 요청이 각각 기록됐다. 그런데 실행파일을 가져오려는 GET 요청은 이 두 곳이 아니라 별도의 S3 주소를 향했다. 두 호스트는 무엇을 제공하는 서버였을까. CTX Threat Intelligence가 검토한 기록은 이들을 설치 프로그램 동작에 수반된 통신 대상으로 연결한다. 같은 분석에는 임시 실행파일을 진행 표시 인자와 함께 호출한 명령, 설치파일 형태의 로컬 파일 쓰기, 광고 스크립트 요청도 있다. 이를 함께 보면 원격 주소 하나로 설명되는 단순한 다운로드가 아니라, 소프트웨어 요청과 설치 관련 통신, 웹 자원 요청이 구분되는 구조가 드러난다. 다만 두 POST 대상이 명령을 내렸다는 증거는 없다.
#샌드박스분석#윈도실행파일#HTTPPOST#설치관련통신#S3실행파일요청#광고요청#DNS기록IOCf7 · i1 · d3 · u2MITRE34지역BR산업농업
APT회원 전용2026년 10월 27일 09:10 (UTC+9)공통 C2 설정 가진 세 파일, 같은 로그온 실행 경로 지정
윈도 자동 실행 항목에 기록된 이름은 Synaptics Pointing Device Driver였지만, 실행 대상으로 지정된 곳은 C:\ProgramData\Synaptics\Synaptics.exe였다. 이 설정은 서로 다른 세 파일의 샌드박스 이벤트에서 반복됐다. 그중 두 파일의 기록에는 Remote Data라는 서비스 이름 아래 .txt 파일을 인수로 받는 프로세스도 등장한다. 장치 드라이버를 연상시키는 이름과 텍스트 확장자는 실제 동작을 얼마나 설명해 주는가. CTX Threat Intelligence가 검토한 자료에서 세 파일을 연결하는 근거는 이름뿐이 아니다. 메모리 덤프에서 추출한 설정에 동일한 명령제어(C2) 호스트와 다운로드 주소들이 들어 있었고, 호스트 이벤트에서는 같은 자동 실행 경로가 확인됐다. CTX Team은 이를 통신 설정을 공유하는 파일군에서 로그온 실행 설정과 서비스 관련 동작이 함께 나타난 사례로 평가한다.
#윈도자동실행#Run레지스트리#C2설정#다운로드설정#서비스실행#프로세스생성#파일생성행위자APT28 · StrontiumIOCf24 · i2 · d0 · u0MITRE35지역US산업소매·유통
FILE회원 전용2026년 10월 26일 10:20 (UTC+9)설치파일이 만든 ‘.Und’, PowerShell 호출 입력으로 확인
Amnesias.Und라는 파일을 읽는 PowerShell 명령이 설치 프로그램 형식의 실행파일 아래에서 발견됐다. 명령은 파일 내용을 하나의 문자열로 가져오고, 그 안에서 세 글자를 골라 호출 이름으로 사용한 뒤 전체 내용을 인수로 넘기는 구조였다. 낯선 확장자의 파일은 단순히 설치 과정에서 풀린 데이터였을까, 아니면 실행을 이어받는 코드였을까. CTX Threat Intelligence가 확보한 기록은 후자를 뒷받침한다. 한 CAPE Sandbox 분석에서 실행파일이 생성한 Amnesias.Und의 해시는 별도로 분석된 PowerShell 표본과 일치했다. 같은 보고서의 프로세스 트리에는 실행파일의 자식으로 해당 파일을 읽어 호출하는 PowerShell이 기록됐다. 이 스크립트를 독립적으로 실행한 다른 분석에서는 PowerShell이 바탕화면에 Explorer.EXE라는 실행파일을 생성했다. 핵심은 두 관찰의 연결 방식이다.
#NSIS설치파일#PowerShell#스크립트호출#파일생성#PE실행파일#샌드박스분석행위자Kimsuky · Velvet ChollimaIOCf8 · i0 · d0 · u1MITRE27지역PK
APT회원 전용2026년 10월 26일 10:19 (UTC+9)AEDT.zip에서 나온 실행파일, 별도 분석 EXE와 해시 일치
AEDT.exe의 샌드박스 분석에서 서로 다른 IP 주소를 향한 HTTPS POST 요청 세 건이 기록됐다. 목적지는 443이 아닌 5938·9785·2221번 포트였고, 요청 경로는 앱 삭제나 대화 설정 변경을 가리키는 API처럼 보였다. 그러나 제시된 세 응답은 모두 HTTP 502였다. 이 기록은 무엇을 뜻하며, 별도로 분석된 AEDT.zip과는 어떻게 연결될까. CTX Threat Intelligence가 확보한 자료에서 가장 강한 연결은 이름이 아니라 파일 내용과 실행 관계다. ZIP을 분석한 Zenbox 보고서에는 압축 해제로 생성된 실행파일의 해시, 그 파일을 시작한 프로세스, 별도 실행파일 분석과 겹치는 네트워크 목적지가 함께 남았다. CTX Team은 이를 같은 실행파일의 포장 형태와 실행 시 관찰을 연결하는 근거로 평가한다. 반면 API처럼 보이는 경로와 서버 응답만으로 명령 수행이나 데이터 수신 성공까지 입증되지는 않는다.
#AEDT.zip#AEDT.exe#윈도실행파일#샌드박스분석#압축파일#HTTPS요청#네트워크목적지행위자SafePayIOCf2 · i3 · d0 · u8MITRE12지역JO · PK산업정부·공공
FILE회원 전용2026년 10월 25일 17:39 (UTC+9)dayroc가 드롭한 파일, 별도 분석서 재실행 설정 확인
임시 폴더에 기록된 실행파일 하나가 별도 분석에서는 C:\Windows\rss\csrss.exe라는 경로와 연결됐다. 그 경로는 프로세스 실행 기록뿐 아니라 예약 작업의 실행 대상, 사용자 로그온 설정, 방화벽 허용 명령에도 반복해서 등장한다. 단순히 시스템 프로세스와 비슷한 이름을 쓴 파일일까, 아니면 같은 실행 대상을 계속 유지하려는 구성일까. CTX Threat Intelligence가 검토한 기록은 두 번째 해석을 뒷받침한다. dayroc.exe로 식별된 표본의 VMRay 보고서에는 별도 분석 대상과 SHA-256이 같은 실행파일이 드롭돼 있으며, 그 드롭 경로의 프로세스도 기록돼 있다. 별도 파일의 이벤트에서는 비정상적인 Windows 하위 경로의 실행파일을 다시 시작하도록 하는 설정이 확인된다. 네트워크 쪽에서는 dayroc 표본의 통신 목적지가 다른 표본의 Stealc 추출 설정 및 요청·응답 탐지와 겹친다.
#dayroc#VMRay#실행파일드롭#해시일치#시스템프로세스모방#재실행설정#Stealc#네트워크통신행위자Barium · Wicked SpiderIOCf14 · i4 · d0 · u8MITRE25지역PK
FILE회원 전용2026년 10월 25일 08:41 (UTC+9)브라우저 제품명 단 BR.exe, 실제로는 AutoIt 스크립트 실행
BR.exe의 자식 프로세스는 브라우저가 아니라 임시 폴더의 AutoIt3.exe였다. 실행 인수에는 Waters.a3x가 붙어 있었다. Internet Explorer라는 제품 정보를 가진 실행파일이 실제로 무엇을 실행했는지 묻는다면, 답은 제품명보다 이 명령줄에 있다. CTX Threat Intelligence가 검토한 샌드박스 기록은 이 파일이 AutoIt 인터프리터와 스크립트를 풀어 실행하는 역할을 했음을 보여 준다. 같은 표본을 분석한 두 샌드박스에서는 43.228.157.66으로 향하는 HTTP POST도 각각 기록됐다. 따라서 이 사례는 단순히 익숙한 제품명을 가진 수상한 파일에 관한 이야기가 아니다. 파일이 어떤 실행 구조를 만들었는지, 그 분석에서 나타난 외부 통신을 어디까지 연결할 수 있는지가 핵심이다. 실행파일과 스크립트의 관계는 프로세스 트리로 확인되지만, POST를 보낸 프로세스와 전송 내용은 별도로 남아 있는 질문이다.
#BR.exe#AutoIt#Waters.a3x#스크립트실행#HTTPPOST#샌드박스분석행위자APT28 · StrontiumIOCf8 · i1 · d2 · u1MITRE38
APT회원 전용2026년 10월 25일 05:30 (UTC+9)Serviceamd10, 별도 XMRig 실행·동봉 드라이버 로드 확인
C:\Windows\Serviceamd10\ 아래에 실행파일과 WinRing0x64.sys, config.json이 함께 놓였고, 그 실행파일이 분석 대상의 자식 프로세스로 시작됐다. 이름만 보면 하나의 프로그램이 설치되는 모습이지만, 파일 내용과 실행 관계를 대조하면 역할이 갈린다. 처음 실행한 파일은 32비트 Visual Basic 실행파일이고, 새 경로에서 시작된 파일은 별도의 64비트 XMRig 실행파일이다. 함께 배치된 드라이버는 단순히 디스크에 남은 것일까, 실제로 로드되기도 했을까. CTX Threat Intelligence가 검토한 자료는 이 질문에 상당 부분 답한다. Serviceamd10 표본은 XMRig 실행파일을 배치하고 시작하는 런처로 동작했으며, 같은 표본의 분석 자료에는 함께 배치된 WinRing0와 내용이 일치하는 드라이버 로드 이벤트도 있다. 핵심은 ‘채굴기’라는 탐지명보다 구체적인 이 연결이다.
#Serviceamd10#XMRig#WinRing0#채굴프로그램#런처#드라이버로드#샌드박스분석행위자Salty Spider · KuKuIOCf8 · i1 · d1 · u7MITRE13지역US
FILE회원 전용2026년 10월 24일 11:11 (UTC+9)Wextract 임시 파일, 해시와 프로세스 트리로 실행 관계 확인
IXP000.TMP 안의 실행파일이 IXP001.TMP 안의 다른 실행파일들을 자식 프로세스로 실행했다. Wextract로 표시된 표본의 샌드박스 기록에 남은 관계다. 같은 분석 보고서에는 185.161.248.73:4164를 향한 TCP 트래픽도 있다. 이 파일은 단지 여러 악성코드 이름으로 탐지된 실행파일일까, 아니면 내부 구성요소를 풀어 실행하고 특정 통신 목적지로 이어지는 포장 계층일까. CTX Threat Intelligence가 확보한 기록은 두 번째 해석을 뒷받침한다. 임시 디렉터리에 생성된 파일의 해시가 별도 분석 표본과 일치하고, 프로세스 트리가 그 파일들 사이의 실행 관계를 보여 준다. 원본과 해시로 식별된 중간 구성요소에서 추출한 설정은 같은 IP와 포트를 가리킨다. 이 목적지는 원본의 실행 분석에서도 관찰됐으며, 별도로 분석한 .NET 표본에서는 설정·TCP 트래픽·RedLine 관련 네트워크 규칙 일치가 함께 확인된다.
#Wextract#RedLine관련통신#파일전개#자식프로세스#TCP트래픽#RunOnce#Defender정책변경행위자Smoky SpiderIOCf6 · i1 · d0 · u1MITRE25지역PK
C&C회원 전용2026년 10월 24일 10:13 (UTC+9)RedLine 설정 속 C2 주소, 요청·응답 탐지에서도 확인
83.97.73.131:19071은 한 실행파일의 추출 설정에서는 명령제어(C2) 주소로, 네트워크 탐지 기록에서는 송신 목적지와 응답 출발지로 등장했다. 같은 파일에 연결된 호스트 기록에는 임시 폴더의 실행파일 생성과 Windows Defender 정책 변경도 남았다. 이 주소는 단순한 악성 IP 목록의 한 항목인가, 아니면 파일의 통신과 로컬 동작을 함께 이해할 수 있는 단서인가. CTX Threat Intelligence가 검토한 자료는 후자를 뒷받침한다. 특히 RedLine 관련 설정과 네트워크 이벤트가 정확히 같은 IP·포트를 가리킨다는 점이 중요하다. 다만 통신 기록과 임시 폴더 프로세스를 하나의 실행 흐름으로 연결할 식별자는 부족하다. CTX Team의 분석은 이 차이에서 출발한다. 주소와 파일의 관계는 구체적이지만, 그 주소가 함께 제시된 모든 파일을 배포하거나 통제했다고 볼 근거는 없다.
#CTXThreatIntelligence#RedLine#Amadey#명령제어통신#Defender정책변경#예약작업#레지스트리변경행위자Tortoiseshell · Imperial KittenIOCf9 · i1 · d0 · u1MITRE3지역PK
APT회원 전용2026년 10월 23일 19:09 (UTC+9)원본에서 갈라진 두 실행파일, 해시로 추적한 배치 경로
한 실행파일을 분석한 CAPE 샌드박스에서 임시 폴더의 1.exe와 2.exe가 각각 자식 프로세스로 나타났다. 그런데 두 파일의 활동은 같은 이름으로 끝나지 않았다. 1.exe 아래에는 TiWorker.exe 프로세스가 기록됐고, 2.exe가 생성한 파일은 svhost.exe였다. 이들은 서로 다른 기능을 맡은 구성요소일까, 아니면 이름만 바뀐 같은 파일일까. CTX Threat Intelligence가 검토한 기록은 파일 해시와 프로세스 관계를 통해 이 질문의 상당 부분에 답한다. 원본 실행파일은 내용이 다른 두 실행파일을 임시 경로에 배치했다. 한쪽은 시스템 프로세스를 연상시키는 이름으로 실행됐고, 다른 쪽은 별도 분석에서 사용자 시작프로그램 폴더에 동일한 내용으로 배치돼 그 경로의 프로세스까지 관찰됐다. 핵심은 의심스러운 이름의 개수가 아니라, 두 종류의 파일 내용이 어떤 경로와 실행 관계로 이어지는지에 있다.
#윈도실행파일#샌드박스분석#파일해시#프로세스트리#시작프로그램폴더#Run레지스트리#지속성설정행위자Snowglobe · Animal FarmIOCf3 · i2 · d0 · u1MITRE43지역GB · ZA산업정부·공공
FILE회원 전용2026년 10월 23일 19:07 (UTC+9)채굴 풀 조회 표본이 남긴 파일, SalatStealer 표본과 해시 일치
채굴 풀을 조회한 실행파일의 샌드박스 기록에 또 다른 실행파일 g3.exe가 남았다. 이 파일의 SHA-256은 별도로 분석된 SalatStealer 계열 표본과 일치했다. 채굴 관련 행위로 보이는 활동을 자원 사용 문제로만 해석해도 되는가. CTX Threat Intelligence가 확보한 기록은 이 질문에 구체적인 연결고리를 제공한다. 한 표본의 실행 환경에서 다른 표본과 내용이 같은 파일이 생성됐고, 별도의 분석에서는 그 파일에 명령제어(C2) 주소 설정과 보안 설정 변경 관련 행위가 확인됐다. 핵심은 두 악성코드 이름이 같은 보고서에 등장했다는 사실이 아니다. 파일 내용의 동일성이 두 표본을 연결하고, 업데이트 프로그램처럼 보이는 경로와 자동 실행 설정이 첫 표본의 역할을 더 넓게 보여 준다. CTX Team은 이 사례를 채굴 관련 설정, 추가 실행파일 배치, 지속 실행을 위한 설정이 함께 나타난 다중 구성요소 사례로 평가한다.
#악성파일#채굴풀조회#추가실행파일#자동실행설정#보안정책변경#명령제어설정#SalatStealer행위자Snowglobe · Animal FarmIOCf31 · i3 · d0 · u1지역DE
FILE회원 전용2026년 10월 23일 06:22 (UTC+9)‘.cln’으로 실행된 파일, PangYa 업데이터 표본과 해시 일치
updater_signed.exe가 실행한 자식 프로세스는 .exe가 아니라 updater_signed.cln이었다. 낯선 확장자의 별도 프로그램을 실행한 것일까, 같은 코드를 다른 이름으로 실행한 것일까. CTX Threat Intelligence가 검토한 프로세스 생성 기록은 이 질문에 구체적인 답을 준다. 실행된 .cln 파일의 SHA-256은 분석 대상인 PangYa 업데이터 표본과 같았다. 확장자는 달랐지만, 기록된 자식 프로세스의 파일 내용은 이미 식별된 업데이터와 일치했다. 이 관계만 보면 실행을 감추려는 동작처럼 보일 수 있다. 그러나 별도의 샌드박스 보고서에는 같은 표본이 패치 호스트에 업데이트 목록과 압축 파일을 요청하고, PangYa 런처 설정을 기록한 흔적도 있다. CTX Team의 판단은 이 두 관찰을 함께 읽어야 한다는 것이다. 자료는 비표준 확장자를 통한 실행과 구체적인 패치 요청 기능을 뒷받침한다.
#PangYa업데이터#프로세스생성#비표준확장자실행#파일해시#패치요청#런처설정#샌드박스분석행위자Comment Crew · Byzantine CandorIOCf4 · i7 · d0 · u0MITRE11산업건설 · 통신
APT회원 전용2026년 10월 23일 06:22 (UTC+9)설정 속 C2 주소, 별도 분석에서 POST 요청 대상으로 확인
샌드박스에 남은 HTTP 요청은 host-host-file8.com의 루트 경로를 향했다. 요청 방식은 POST였고, 헤더의 본문 길이는 366바이트로 표시됐다. 이 주소는 다른 실행파일에서 추출한 설정에도 명령제어(C2) 대상으로 들어 있었다. 설정 속 주소가 실제 통신에 쓰였는지, 아니면 사용 여부를 알 수 없는 문자열에 머물렀는지를 가르는 단서다. CTX Threat Intelligence가 검토한 자료에서는 이 질문에 구체적인 답을 얻을 수 있다. 한 파일의 설정에 있는 정확한 URL이 다른 파일의 행동 분석에서 HTTP 요청 대상으로 관찰됐다. 그 행동 보고서에는 호스트의 DNS 해석 결과와 해당 IP의 80번 포트로 향한 TCP 트래픽도 함께 기록돼 있다. 따라서 이 주소는 설정에만 존재하는 후보가 아니라, 적어도 해당 분석에서 실제 요청 대상으로 쓰인 엔드포인트다. 다만 두 파일이 한 실행 과정의 앞뒤 단계였다는 뜻은 아니다.
#샌드박스분석#HTTPPOST#C2설정#DNS해석#TCP트래픽#파일쓰기#해시일치행위자Barium · Wicked SpiderIOCf19 · i0 · d4 · u2MITRE20지역PK
FILE공개2026년 10월 22일 09:36 (UTC+9)실행파일 설정의 HTTP 주소, 샌드박스 POST 대상과 일치
실행파일에서 추출한 설정에 적힌 HTTP 주소가 샌드박스의 POST 요청 기록에도 그대로 나타났다. 목적지는 http://ANYIOBA.INFO/index.php다. 악성코드 설정에 남아 있는 주소가 실제 실행 환경에서도 사용됐는지는 별개의 문제다. 이 사례에서는 설정과 요청의 일치가 그 간극을 좁힌다. 다만 요청이 기록됐다는 사실에서 서버가 명령을 전달했거나 정보 탈취가 완료됐다는 결론까지 이어지는 것은 아니다. CTX Threat Intelligence가 검토한 자료에서 Rising MOVES 샌드박스 보고서는 해당 주소로의 POST와 anyioba.info에 대한 DNS 조회를 함께 기록했다. 다른 두 샌드박스 보고서에도 같은 도메인의 조회가 남았다. 따라서 이 도메인은 파일과 느슨하게 연관된 평판 지표에 그치지 않는다. 파일의 설정에 포함됐고, 분석 환경에서 실제 요청 대상으로 등장한 호스트다.
#윈도실행파일#Azorult#악성코드분석#샌드박스#HTTPPOST#DNS조회#C2설정행위자Gorgon Group · SubaatIOCf1 · i0 · d1 · u2지역US산업소매·유통
APT회원 전용2026년 10월 22일 09:29 (UTC+9)서비스 이름과 맞물린 방화벽 규칙 삭제 명령
Windows 방화벽 규칙 두 개를 삭제하도록 지시한 프로세스 생성 기록에 upWire와 wire라는 이름이 남았다. 별도로 보고된 파일 자료에는 같은 이름의 Windows 서비스 경로가 있다. 단순한 방화벽 변경 경보보다 구체적인 연결이다. 그렇다면 이 기록은 해당 프로그램이 자신의 통신 설정을 정리한 흔적일까, 아니면 방어 설정을 바꾸려 한 행동일까. CTX Threat Intelligence가 검토한 자료에서 가장 강하게 뒷받침되는 사실은 서비스 이름과 일치하는 방화벽 규칙을 대상으로 삭제 명령이 실행됐다는 것이다. 명령을 받은 프로세스는 Windows의 netsh.exe였고, 각 이벤트에서 확인되는 직접 부모는 cmd.exe였다. 다만 그 위에서 명령 실행을 시작한 프로그램이나 삭제 결과까지 나타나지는 않는다. 따라서 이 사례의 핵심은 ‘방화벽 무력화가 확인됐다’는 결론이 아니라, 어떤 소프트웨어의 어떤 설정을 겨냥한 작업인지 조사 범위가 좁아졌다는 데 있다.
#윈도우방화벽#방화벽규칙삭제#프로세스생성#윈도우서비스#netsh#코드서명행위자Cactus · Cactus Ransomware GroupIOCf11 · i14 · d6 · u1MITRE17산업교육·연구 · 정부·공공