C&C공개2026년 6월 26일 17:36 (UTC+9)헝가리·미국 농촌 ISP 블록에 숨은 Upatre C2 릴레이 5개 노드 확인
이탈리아 식음료 업계를 겨냥한 Upatre 다운로더 캠페인의 명령제어(C2) 인프라가 상업적 VPS나 불릿프루프 호스팅이 아닌, 헝가리 소규모 브로드밴드 ISP(AS33947, WLA Interservice)와 미국 농촌 지역 통신사(AS5056, Aureon/Mediapolis) 블록에 분산 배치된 것으로 확인됐다. CTX Team이 분석한 위협 레코드(CTXw4aa7nnw6e)에는 두 개의 보강된 C2 노드 외에도 VT 메타데이터가 전혀 없는 세 개의 추가 원시 IP(96.46.103.232, 68.70.242.203, 66.215.30.118)가 URL 카탈로그에 포함돼 있어, 실제 C2 릴레이 풀은 최소 다섯 노드로 구성된 것으로 파악된다.
#Upatre#C2인프라#소규모ISP악용#이탈리아식음료업계#스피어피싱첨부파일#헝가리브로드밴드#미국농촌통신사#다운로더악성코드IOCf3 · i2 · d0 · u5지역IT산업식음료
C&C회원 전용2026년 6월 26일 17:23 (UTC+9)1997년 위장 PE 스텁, 2025년 프랑스 VPS와 함께 미국 컨설팅 섹터 겨냥
2015년 단 한 차례 제출된 뒤 10년 넘게 잠들어 있던 Win32 PE32 실행 파일이, 2025년 12월 8일(inetnum 블록 기준) 새로 프로비저닝된 프랑스 파리 소재 VPS 노드와 함께 미국 컨설팅 섹터를 겨냥한 C2 활동 레코드에 나타났다. CTX Team이 이 캠페인을 심각도 100, 신뢰도 85로 분류하고 추적하기 시작한 것은 바로 이 시간적 불일치 때문이다. 페이로드 자체는 새롭지 않다. 그러나 그것이 지금 이 순간 어디에 연결되고 있는가 — 그리고 왜 지금인가 — 라는 질문이 이 캠페인을 단순한 구형 악성코드 재탐지 사례와 구분 짓는다. 파일의 PE 타임스탬프는 1997년 10월 25일로 기록돼 있다. 이 날짜가 실제 빌드 시점일 가능성은 사실상 없다.
#Win32PE32스텁#C2인프라#타임스톰핑#패킹우회#미국컨설팅섹터#프랑스VPS#샌드박스우회#에이징페이로드IOCf3 · i2 · d0 · u5MITRE16지역US산업컨설팅
APT회원 전용2026년 6월 26일 17:09 (UTC+9)심즈4 크랙 위장 CyberGate, 샌드박스 탐지 로직까지 탑재
'심즈4(The Sims 4)' 크랙 설치 파일로 위장한 실행 파일 군집이 CyberGate·KeyloggerGeneric 계열 RAT를 유포하고 있다. 눈에 띄는 대목은 페이로드가 단순히 정보를 탈취하는 데 그치지 않고, 실행 전 디버깅·샌드박스 환경 여부를 판별하는 코드를 내장하고 있다는 점이다. CTX Team이 확인한 이번 표본군에서는 detect-debug-environment, long-sleeps 태그가 페이로드 파일에 동시에 붙어 있고, YARA 룰 sandboxdetect_misc와 INDICATOR_SUSPICIOUS_EXE_SandboxProductID가 각각 발화하며 이를 뒷받침한다. 불법 복제 소프트웨어를 미끼로 삼는 배포 전략 자체는 새롭지 않지만, 그 위에 얹힌 방어 회피 로직의 조합은 이 캠페인이 단발성 실험이 아니라 반복적으로 다듬어진 운영 체계 위에서 돌아가고 있음을 시사한다.
#CyberGate#KeyloggerGeneric#DustSquad#Snowglobe#게임크랙유포#샌드박스회피#다이나믹DNS#RAT행위자DustSquad · APTC34IOCf10 · i0 · d1 · u1MITRE35지역CH · ES · KR · PL산업통신
FILE회원 전용2026년 6월 26일 10:15 (UTC+9)가짜 PDF 뷰어 위장한 상용 크라임웨어 로더 포착
'PDF FILE PREVIEWER Google Translation DESKTOP OPENNER'라는 제품명과 저작권 문구를 내부 메타데이터에 박아 넣은 Win32 실행 파일이 최근 커밋 시점에서 다시 관측됐다. 파일명은 nciA.exe, VirusTotal 기준 51/76개 엔진이 이를 악성으로 판정했고, 해시는 309ec9ea0e7c9580b181da9c4c87dfce070912789b6e25596f85e814292daf28다. 코드 서명은 붙어 있지 않다 — signer 정보 자체가 존재하지 않는, 순수하게 메타데이터 위장만으로 신뢰를 사려는 방식이다. 파일 내부 문자열이 주장하는 정체와 실제 행위 사이의 간극은 샌드박스 3곳(Zenbox, Yomi Hunter, C2AE)이 모두 악성 판정을 내리면서 드러난다.
#AgentTesla#XWorm#BestaFera#KeyloggerGeneric#빌더킷#ZIP유포#샌드박스회피#상용크라임웨어IOCf24 · i1 · d0 · u1MITRE38지역BR · EG · ES · GB산업자동차 · 컨설팅 · 교육·연구
C&C공개2026년 6월 26일 09:35 (UTC+9)크랙 소프트웨어로 위장한 3종 RAT 동시 배포, 단일 빌드 파이프라인 확인
피라티드 소프트웨어를 찾는 사용자를 겨냥한 트로이목마 아카이브 하나가 세 개의 RAT 패밀리를 동시에 배포하고 있다. 'Onimai 1.7.1'이라는 이름으로 유포되는 이 패키지는 겉으로는 기능하는 런처 설정 파일과 XML 구성 데이터를 갖춘 그럴듯한 크랙 애플리케이션처럼 보이지만, 실제로는 QuasarRAT, XWorm, 그리고 Marte/VenomRAT 드로퍼를 하나의 실행 흐름 안에 묶어 배포하는 다중 페이로드 키트다. CTX Team이 이 캠페인을 분석한 결과, 네 개의 PE 파일 전체가 동일한 imphash(f34d5f2d4577ed6d9ceec516c1f5a744)를 공유하며 단일 .NET 빌드 파이프라인에서 생성됐다는 사실이 확인됐다. 여기에 playit.gg 공개 터널링 서비스를 C2 앞단에 배치하고, 세이셸 등록 법인이 소유한 AS202412(Omegatech LTD)의 독일 소재 VPS를 실제 C2 노드로 사용하는 이중 은폐 구조가 더해진다.
#QuasarRAT#XWorm#VenomRAT#크랙소프트웨어위장#다중RAT#playit.gg터널링#MrThunker#자격증명탈취IOCf9 · i1 · d0 · u1
APT회원 전용2026년 6월 26일 09:21 (UTC+9)크래시 리포터 위장 로더, 아르헨티나 IP로 교신 시도
ZIP 압축파일 하나에 EXE 한 개와 DLL 두 개를 담아 단 7분 만에 빌드를 마친 로더 패키지가, 정품 크래시 리포팅 라이브러리와 프린트 스풀러 관련 구성요소의 이름을 빌려 스위스의 한 지원 서비스업체 환경에 침투한 정황이 확인됐다. 이 ZIP 로더(내부적으로는 "rar.zip"이라는 이름으로도 관측되며, 해시는 f3691360…으로 시작한다)는 실행 전 디버거 부착 여부를 점검하고 장시간 대기하는 등 전형적인 분석 회피 행태를 보였고, 최종적으로는 아르헨티나에 등록된 IP 154.205.154.82로 통신을 시도한 것으로 추정된다. 이 IP는 놀랍도록 허술한 자가서명 인증서를 물고 있었는데, 발급자와 주체 모두 CN=8.8.8.8, O=Internet Widgits Pty Ltd로 기록된 OpenSSL 데모 인증서 그대로였다.
#Barium#CobaltStrike#BugSplat위장#WSPrint#스위스지원서비스업#자가서명인증서#C2인프라#ZIP로더행위자Barium · Wicked SpiderIOCf5 · i1 · d0 · u1MITRE32지역CH산업지원 서비스
FILE회원 전용2026년 6월 26일 02:43 (UTC+9)EV 인증서 13개월 선취득, 악성 페이로드 4개 동시 서명으로 샌드박스 무력화
Sectigo가 2025년 3월 19일 'ORYON TECH LIMITED'라는 법인명으로 발급한 확장 검증(EV) 코드 서명 인증서 하나가, 13개월 뒤인 2026년 4월 23일 오전 8시 36분에 정확히 4개의 악성 파일에 동시 서명됐다. MSI 설치 패키지 1개와 PE32 실행 파일 3개 — 'Windows Manager - Postback Johan.msi', 'AdvancedWindowsManager.exe', 'Windows Updater.exe', 'Installer_1.0.0.exe' — 가 동일한 인증서 일련번호(21 E3 D5 C7 00 22 7E A0 2E E6 84 AF 4F 8F 88 40, 지문 42C9BFD69C303BC2B46DCCB979D6B9DB4D40B44D)로 배치 서명됐다. 정적 탐지 엔진 38~43개가 악성으로 분류했음에도 Zenbox 샌드박스는 신뢰도 84~98%로 CLEAN 판정을 내렸다.
#EV코드서명인증서악용#LummaStealer#Microleaves프록시애드웨어#pay-per-install어필리에이트#샌드박스우회#크랙소프트웨어유통#루마니아지오타겟팅#ORYONTECHLIMITEDIOCf20 · i1 · d5 · u13MITRE29지역SR산업소매·유통 · 통신
APT회원 전용2026년 6월 26일 01:23 (UTC+9)Godzilla Loader 툴체인 2층 공개 — SOCKS5 프록시·키젠 미끼 세트 확인
이전 보도(이전 보도)에서 CTX Team은 파키스탄을 겨냥한 Godzilla Loader / PonyStealer 캠페인의 핵심 드로퍼 클러스터와 kanorgate.php C2 패턴을 처음 공개했다. 그 이후 새로 관측된 파일 6개와 C2 URL 6개는 단순한 캠페인 확장이 아니다 — 이전 보도가 포착하지 못했던 배달 및 실행 계층 전체가 수면 위로 드러났다. 특히 만료된 코드 서명 인증서를 탑재한 SOCKS5 프록시 도구, PEiD로 패킹된 .NET 스프레더, 그리고 10년 넘게 Tor 채널을 통해 유통돼 온 키젠 트로이목마가 한 세트로 묶이면서, 이 캠페인의 실제 공격 사슬이 처음으로 완전한 형태를 갖추게 됐다. --- 이번에 새로 확인된 파일 세트에서 가장 주목할 만한 변화는 기존 Godzilla Loader 드로퍼 클러스터와는 전혀 다른 빌드 지문을 가진 세 개의 PE 파일이 함께 등장했다는 점이다. 기존 클러스터는 명확하다.
#GodzillaLoader#PonyStealer#파키스탄#SOCKS5프록시#키젠트로이목마#C2인프라#크랙웨어배포#다층툴체인IOCf17 · i0 · d5 · u9MITRE34지역PK
FILE회원 전용2026년 6월 25일 22:43 (UTC+9)단일 빌더로 제작된 BAT·MSIL 2단계 다운로더, 19개국 기술·통신 분야 표적 공격
2026년 6월 18일, 동일한 YARA 룰이 성격이 전혀 다른 두 파일에서 동시에 발화했다. 하나는 8KB짜리 DOS 배치 파일(02af6b5d…), 다른 하나는 85KB의 .NET/MSIL 실행 파일(d35dbfec…)이다. Florian Roth(Nextron Systems)가 작성한 SUSP_PS1_JAB_Pattern_Jun22_1 — UTF-16과 Base64로 인코딩된 PowerShell 코드에서 단일 문자 변수 접두사를 탐지하는 룰 — 이 두 파일 모두에서 동시에 발화했다는 사실은 단순한 우연이 아니다. 배치 파일 스테이저와 MSIL 드로퍼가 동일한 난독화 빌더 또는 스크립트 생성 툴킷에서 생산됐음을 의미한다. 이 캠페인의 전달 체계는 다층 회피 스택으로 구성돼 있다. 페이로드는 kickstrean.art/1.jpg라는 경로에서 JPEG 파일로 위장해 전송되며, 네트워크 레이어에서는 Base64로 인코딩된 MZ 헤더가 콘텐츠 타입 검사를 우회한다.
#MSIL드로퍼#PowerShell다운로더#난독화빌더#BitviseSSHClient위장#콘텐츠타입스푸핑#기술·통신분야표적#Cloudflare프록시인프라#다단계다운로더IOCf9 · i0 · d1 · u2MITRE30지역AT · BD · CA · CH산업농업 · 교육·연구 · 미디어
APT회원 전용2026년 6월 25일 20:56 (UTC+9)EV 인증서 하나로 정적·동적 방어 동시 무력화한 소프트웨어 위장 설치 캠페인
Sectigo가 발급한 EV 코드 서명 인증서를 손에 쥔 공격자가 Safari, Adobe After Effects, Call of Duty MW2를 사칭한 가짜 설치 파일 두 개를 유포하고 있다. 두 PE32 실행 파일은 인증서 일련번호 00 86 51 B4 B7 A5 AF 08 DF 82 E5 FE 4E 5B 99 A8 18로 묶인 동일한 서명 체계를 공유하며, C2 통신은 AWS CloudFront 인프라 뒤에 숨겨 91개 보안 벤더 전부의 탐지망을 피하고 있다. 이 캠페인이 주목받는 이유는 특정 행위자의 이름이 아니라, 정적 탐지를 무력화하는 EV 인증서 남용, 동적 분석을 회피하는 샌드박스 탐지 기법, 네트워크 레이어 검사를 무의미하게 만드는 CloudFront domain-fronting이 하나의 딜리버리 체인 안에서 동시에 작동한다는 점이다. 세 가지 회피 기제가 층층이 쌓인 이 구조는 기존의 단일 방어 통제로는 어느 한 층도 완전히 걷어낼 수 없도록 설계돼 있다.
#LummaStealer#OfferCore#EV코드서명인증서#CloudFront도메인프론팅#샌드박스회피#통신서비스#농업#소프트웨어위장설치행위자Lazarus Group · Hastati GroupIOCf2 · i0 · d1 · u0MITRE21지역CO · DE · EG · FR산업농업 · 지원 서비스 · 통신
FILE회원 전용2026년 6월 25일 18:28 (UTC+9)Adobe CEF 샌드박스 악용한 GZIP 페이로드, 78개 엔진 전부 우회
Adobe Acrobat의 Chromium Embedded Framework(CEF) 플러그인 업데이트 경로를 발판 삼아 GZIP 페이로드를 투하하고, 루마니아 ISP 노드에서 Akamai의 정식 TLS 인증서를 제시해 네트워크 검사를 통과하는 캠페인이 포착됐다. 두 가지 회피 기법이 단일 공격 사슬 안에서 맞물려 작동하며, 현재까지 78개 보안 엔진 중 어느 것도 이 페이로드를 탐지하지 못하고 있다. CTX Team은 이 캠페인을 Salty Spider(별칭: KuKu, SalLoad, Kookoo, SaliCode, Kukacka)에 귀속하고 Expiro 파일 인펙터 패밀리와 연계된 위협 클러스터(CTXee4ci6xrsb)로 공식 등록했다. 다만 현 단계 증거로는 경로 메타데이터와 위협 귀속에 한정되며, 샌드박스 판정이 없어 공격 메커니즘의 세부 사항은 추론에 기반함을 전제한다. --- 이 캠페인의 첫 번째 이상 신호는 파일 경로에서 드러난다.
#SaltySpider#Expiro#AdobeAcrobatCEF#GZIP페이로드#Akamai인증서위장#루마니아ISP#CDN블렌딩#탐지우회행위자Salty Spider · KuKuIOCf55 · i1 · d0 · u0MITRE29
C&C공개2026년 6월 25일 17:58 (UTC+9)CSV로 위장한 VBS 다운로더, 수면 회피 기법으로 Formbook 배포 지속
이전 보도에서 처음 확인된 금융 문서 위장 ZIP 첨부파일 캠페인이 세 가지 신규 파일 변종을 추가하며 활동을 이어가고 있다. 이전 보도 이후 가장 주목할 만한 변화는 툴링 차원의 진화다. 이번에 새로 확인된 VBS 페이로드(53d42bae)는 파일 매직 타입이 'CSV text'로 보고되면서도 .vbs 확장자를 유지하는 타입 혼동(type-confusion) 난독화 기법을 채택하고 있다. 이전 스냅샷에서는 관찰되지 않았던 이 기법은, 정적 분석 도구가 파일 형식을 잘못 분류하도록 유도해 탐지 우선순위에서 밀려나게 만드는 저비용 고효율 회피 전략이다. C2 도메인 basefile.click은 여전히 활성 상태를 유지하며 PNG로 위장한 2단계 페이로드를 서빙하고 있고, 최종 페이로드로 Formbook이 확인된 공격 사슬은 골격을 유지하면서도 핵심 난독화 레이어가 교체됐다.
#Formbook#VBS다운로더#타입혼동난독화#수면회피#피싱캠페인#금융서비스#기업이메일침해#인포스틸러IOCf3 · i0 · d1 · u2지역BD · BE · CA · CH산업항공우주 · 건설 · 컨설팅
C&C회원 전용2026년 6월 25일 17:35 (UTC+9)정적 탐지 63건 뚫고 샌드박스 침묵시킨 GandCrab 드로퍼의 이중 회피 전술
우크라이나 소재 단일 IP(92.63.197.106, ASN 211736)에서 네 개의 단일 문자 실행 파일과 PHP 봇 등록 엔드포인트를 동시에 서빙하는 Phorpiex 계열 배포 인프라가 포착됐다. 이 인프라가 주목받는 이유는 호스팅 규모나 지리적 분포 때문이 아니다. 핵심은 이 노드가 유통하는 드로퍼 바이너리(SHA256: 72bf4fa8…)가 정적 안티바이러스 75개 엔진 중 63개에 탐지되면서도 Zenbox 동적 분석에서는 신뢰도 99의 CLEAN 판정을 받아냈다는 사실이다. 정적 탐지율과 동적 판정 사이의 이 극단적 괴리는 단순한 탐지 오류가 아니라 샌드박스 환경을 인식하고 악성 행위를 의도적으로 억제하는 실행 제어 로직의 존재를 강하게 시사한다. 여기에 배포 노드 자체의 네트워크 레이어 탐지율이 15/91에 불과하다는 사실이 더해지면, 파일 레벨 AV가 페이로드를 잡아내더라도 배포 채널 자체는 대부분의 네트워크 통제망을 그대로 통과하고 있다는 그림이 완성된다.
#GandCrab#Phorpiex#샌드박스회피#랜섬웨어#우크라이나#C2서버#드로퍼#정적-동적탐지괴리IOCf4 · i1 · d0 · u6MITRE38지역CN
FILE회원 전용2026년 6월 25일 14:18 (UTC+9)조달 문서로 위장한 GZIP 포탄, 정적 탐지율 20포인트 낮춘 스피어피싱 전달 체계 해부
구매 담당자의 받은 편지함을 노린 스피어피싱 첨부 파일 하나가 정적 AV 탐지율을 의도적으로 20포인트 가까이 낮추는 포장 전략의 실체를 드러냈다. GZIP 압축 파일 내부에 새겨진 파일명 'RFQ Number QUO19009852.exe'는 조달 견적 요청서(Request for Quotation)를 흉내 낸 사회공학 미끼다. 압축을 풀면 1.2 MB짜리 PE32 실행 파일이 나타나지만, 그 전에 이미 컨테이너 형식이 정적 엔진 다수의 시야를 가려버린다 — VirusTotal에서 이 GZIP 파일(78edf9607543…)의 탐지율은 42/73에 그쳤고, 압축을 풀어낸 페이로드 형제들은 56/73에서 62/71을 기록했다. 컨테이너 한 겹이 14~20포인트의 탐지 격차를 만들어낸 셈이다. 이 파일 세트는 Gorgon Group(별칭 Subaat)에 귀속된 캠페인으로, 위협 레코드는 ponystealer와 predator_pain 두 자격증명 탈취 패밀리를 명시하고 있다.
#GorgonGroup#ponystealer#predator_pain#스피어피싱#자격증명탈취#GZIP컨테이너#조달산업#PEiD패킹행위자Gorgon Group · SubaatIOCf7 · i0 · d0 · u0MITRE41
FILE회원 전용2026년 6월 25일 10:07 (UTC+9)하나의 IP에 여덟 도메인 묶은 LummaStealer C2 인프라 포착
2025년 12월 19일 하루 동안, 누군가 러시아 등록 기관 reg.ru(registrar id 735)를 통해 .su 도메인 여덟 개를 동시에 등록했다. whitepepper.su, familyriwo.su, hammernew.su, basilicros.su, homuncloud.su, heavylussy.su, broguenko.su, izzardtow.su — 표면적으로는 무관해 보이는 이 도메인들은 사흘 뒤인 12월 22일 단 하나의 자가서명 TLS 인증서(시리얼 33a166e50f72ee09c944b120ee52ae8530957fa1, CN=localhost)를 공유하며 하나의 C2 클러스터로 완성됐다. 그리고 이 여덟 개의 문은 모두 같은 물리 서버 — IP 주소 37.77.150.171 — 로 통했다. 이 인프라를 발판으로 유포된 것은 LummaStealer였다.
#LummaStealer#AutoIt드로퍼#C2인프라#인도표적#인포스틸러#.su도메인#MaaS#자가서명인증서IOCf10 · i0 · d9 · u17MITRE31지역IN
C&C공개2026년 6월 25일 05:44 (UTC+9)견적서 위장 다운로더, 최종 페이로드 XWorm으로 교체
스페인어 견적서를 가장한 다운로더 체인이 이번 주기에도 관측됐다. 다만 이번 관측에서 눈에 띄는 변화는 유포 방식이 아니라 그 끝에 앉아 있는 악성코드다. 새로 제출된 VBS 다운로더(sha256 ade51927…fe04d57)를 3개 샌드박스가 나란히 분석한 결과, CAPE Sandbox와 Yomi Hunter, 그리고 신뢰도 76%를 부여한 Zenbox까지 모두 이 스크립트의 최종 산출물을 커먼디티 원격제어형 트로이목마 XWorm으로 분류했다(3/3 malicious consensus). 직전 보도에서는 같은 계열의 견적서 위장 RAR·다운로더 체인이 자격증명 탈취형 악성코드 Formbook을 소환한다고 분석한 바 있는데, 이번 스냅샷에서는 그 자리에 XWorm이 들어와 있다. 유인 문서 이름과 전달 메커니즘, 심지어 인프라까지 그대로인 상태에서 종착 페이로드만 바뀐 셈이다. 이번 관측 구간에서 새로 등록된 지표는 파일 3건, 도메인 0건으로 규모 자체는 작다.
#XWorm#Formbook#VBS다운로더#견적서피싱#RAR아카이브#basefile.click#커먼디티RAT#모듈형유통구조IOCf3 · i0 · d1 · u2지역AT · AU · BD · CA산업상업 서비스 · 교육·연구 · 정부·공공
C&C공개2026년 6월 25일 01:55 (UTC+9)Google Analytics 사칭 TLS 인증서로 독일 겨냥한 DCRat 캠페인 포착
독일을 표적으로 삼은 DCRat 캠페인 하나가 세 겹의 탐지 우회 구조를 동시에 가동하고 있다는 사실이 CTX Team의 분석으로 확인됐다. 네트워크 계층에서는 Google Analytics 인프라를 사칭한 TLS 인증서가, 파일 계층에서는 깨진 인증서 체인을 가진 코드 서명이, 정적 분석 계층에서는 최대 엔트로피에 근접한 패킹 오버레이가 각각 독립적으로 작동한다. 세 기법이 단일 캠페인 안에서 동시에 맞물려 있다는 점이 이 사례를 단순한 DCRat 배포와 구별 짓는 핵심이다. 캠페인의 전달 경로는 cooperitious.com/meta.exe라는 고정 URL로 집약된다. 이 도메인은 2008년 3월 15일에 등록된 18년 된 자산으로, Squarespace Domains II LLC를 통해 관리돼 왔다.
#DCRat#ManicMenagerie#TLS위장#독일#코드서명우회#C2인프라#도메인에이징악용#고엔트로피패킹행위자Manic MenagerieIOCf1 · i1 · d1 · u2지역DE
APT공개2026년 6월 24일 21:30 (UTC+9)Cloudflare 뒤에 숨은 2단계 C2, 동남아 금융권 겨냥한 rockloader 인프라 포착
2026년 5월 18일 오전, 싱가포르와 캄보디아의 금융 서비스 기관을 겨냥한 공격 인프라가 조용히 가동을 시작했다. Gname.com Pte. Ltd.를 통해 등록된 timezoneapi.net과 그 하위 도메인 sdyer.timezoneapi.net은 WHOIS 등록자 정보의 모든 필드 — 이름, 조직, 도시, 주소, 전화, 팩스 — 를 동일한 16진수 토큰 ddb75a553547a419로 채워 넣은 채 Cloudflare 네임서버 뒤로 실제 호스팅 IP를 완전히 숨겼다. 약 18일 뒤인 6월 5일에는 별도 등록 기관인 NameSilo를 통해 DGA 태그가 붙은 babyyyi.com이 추가로 프로비저닝됐고, 이 도메인은 IP 137.220.156.123을 TTL 600초라는 짧은 갱신 주기로 가리키며 단기 로테이션 비컨 노드로서의 역할을 맡았다.
#TA505#rockloader#C2인프라#금융서비스#동남아시아#DGA#Cloudflare프록시악용#WHOIS신원위장행위자TA505 · Hive0065IOCf9 · i0 · d3 · u0MITRE32지역KH · SG산업금융
C&C회원 전용2026년 6월 24일 13:54 (UTC+9)Upatre 다운로더, 샌드박스 탐지 먼저 죽이고 C2 접속
체코 지방 소도시의 2003년산 ISP 주소 블록에서 FTP 명령제어 트래픽이 흘러나오고 있다. 2026년 6월 24일, CTX Team이 식별한 위협 클러스터 CTX4uky7ju34a는 Upatre 다운로더 패밀리로 분류된 세 개의 PE 드로퍼 파일과 네 개의 IP 기반 C2 엔드포인트를 하나의 캠페인으로 묶는다. 표면적으로는 오래된 다운로더 패밀리의 재등장이지만, 이 클러스터를 주목하게 만드는 것은 페이로드 자체가 아니다. 드로퍼가 C2에 첫 패킷을 보내기 전에 수행하는 일련의 환경 검증 루틴 — 시간 기반 샌드박스 탐지(T1497.003), 디버거 존재 확인(T1622), 보안 도구 비활성화(T1562.001) — 이 세 가지가 순차적으로 작동하는 방식이 이 클러스터의 핵심 신호다. 자동화된 분석 환경에서는 C2 주소 자체가 노출되지 않도록 설계된 구조다.
#Upatre#다운로더악성코드#FTP명령제어#샌드박스탐지우회#체코ISP인프라#방어회피#CTXTeam#위협클러스터IOCf3 · i1 · d0 · u4MITRE13
C&C회원 전용2026년 6월 24일 10:03 (UTC+9)러시아 호스팅 4개 IP, 동일 PHP C2 경로로 묶인 APT 스파이 캠페인 확인
러시아에 호스팅된 4개의 IP 주소가 완전히 동일한 PHP 엔드포인트 경로 /upload/_dispatch.php를 노출하고 있다는 사실이 CTX Team의 분석을 통해 확인됐다. 176.111.63.51, 194.1.236.126, 77.222.54.202, 185.117.153.176 — 이 네 주소는 서로 다른 호스팅 사업자에 분산돼 있음에도 불구하고 동일한 서버 사이드 경로 구조를 공유하며, 단일 C2 프레임워크 또는 공통 킷이 한 운영자에 의해 배포됐음을 강하게 시사한다. 이 클러스터는 심각도 100, 신뢰도 85의 c2-servers 범주로 분류됐으며, 스파이 활동(espionage) 동기와 APT 태그가 함께 부여돼 있다. 클라이언트 측 도구로는 야후 위젯 엔진(Yahoo! Widget Engine) DLL로 위장한 고엔트로피 PE32 페이로드와 F-PROT 패커로 난독화된 C 소스 스프레더 컴포넌트가 확인됐다.
#APT#C2인프라#PHP디스패처#러시아호스팅#야후위젯위장페이로드#스파이활동#터키표적#인증서지문IOCf14 · i2 · d11 · u7지역TR
APT회원 전용2026년 6월 24일 01:23 (UTC+9)'YCleanner' 위장 악성코드, 4개월 준비 끝에 루마니아 강타
루마니아를 겨냥한 악성 캠페인 하나가 2025년 7월 중순 본격 가동에 들어갔다. 표면적으로는 Adobe 플러그인 업데이트 페이지처럼 보이는 adobe-plugin.info/yc.exe에서 'YCleanner'라는 이름의 시스템 유틸리티를 배포하는 방식이다. 그러나 이 실행 파일의 실체는 LummaStealer 자격증명 탈취 트로이목마와 XMRig 크립토마이너를 동시에 심는 이중 목적 페이로드다. CTX Team이 이 캠페인을 추적한 결과, 단순한 일회성 배포가 아닌 4개월에 걸친 체계적 개발 과정과 자동화된 빌드 파이프라인의 흔적이 확인됐다. 배달 컨테이너는 77개 전체 AV 엔진이 탐지에 실패한 암호화 ZIP으로 포장돼 있었고, 내부 페이로드들은 BIOS 확인, 디버그 환경 탐지, PE 타임스탬프 위조 등 다층 분석 회피 기법을 갖추고 있었다. 이 캠페인의 시작점은 2025년 3월 16일로 거슬러 올라간다.
#BlueBottle#LummaStealer#XMRig#루마니아#크립토마이너#자격증명탈취#이중페이로드#Nitol행위자BlueBottle · Opera1erIOCf16 · i0 · d1 · u1지역RO
FILE회원 전용2026년 6월 23일 22:05 (UTC+9)KMS 인증 우회 도구로 위장한 5중 기만 트로이목마, 멕시코·필리핀 표적
소프트웨어 정품 인증을 우회하려는 사용자의 심리를 정밀하게 겨냥한 트로이목마 배포 캠페인이 확인됐다. WZTeam 명의로 자가 발급된 코드 서명 인증서(일련번호 8A C1 A3 10 13 49 C2 8A 4D 33 94 7C FC D0 76 62, 유효 기간 2016~2039년)를 달고 유통 중인 KMSAuto++ 및 Office 설치 도구 위장 실행 파일들이 멕시코와 필리핀 환경을 중심으로 퍼지고 있다. 겉으로는 작동하는 KMS 인증 인터페이스를 제공하면서 내부에서는 UPX 패킹, Windows Defender 레지스트리 조작, PowerShell 기반 다운로더 실행, LOLBin 파일명 위장이라는 다섯 겹의 회피 기법을 순차적으로 전개한다. 단일 배포 도구 안에 이처럼 체계적으로 기만 레이어를 쌓아 올린 구성은 이 캠페인의 운영 성숙도를 가늠하는 핵심 지표다.
#KMSAuto#Koadic#자가서명인증서#PowerShell다운로더#WindowsDefender우회#UPX패킹#멕시코·필리핀#소프트웨어크랙위장행위자APT27 · TEMP.HippoIOCf9 · i1 · d0 · u2지역MX · PH
C&C공개2026년 6월 23일 17:22 (UTC+9)SWIFT 송금 위장 VBScript, 35개국 금융·제조 인프라 노린 Formbook 유포
13KB짜리 ZIP 파일 하나가 35개국 금융·제조·통신 인프라를 향해 날아들고 있다. 겉으로는 SWIFT 국제 송금 지시서처럼 보이는 'Swift-015062026.zip'(SHA256: 792fcd3b…)이지만, 압축을 풀면 나오는 것은 단 하나 — 1,926KB에 달하는 비정상적으로 비대한 VBScript 파일이다. 이 스크립트는 실행 즉시 장시간 대기(long-sleep) 루틴으로 샌드박스 분석 환경을 무력화하고, 캠페인 시작 6일 전에 이미 Let's Encrypt 와일드카드 인증서까지 발급받아 대기 중이던 스테이징 도메인 basefile.click으로 콜백을 시도한다. CTX Team이 이 캠페인을 심각도 100, 신뢰도 85로 분류한 배경에는 이중 샌드박스 판정, 15건의 Sigma 룰 발화, 그리고 인프라 사전 준비라는 세 가지 수렴 증거가 있다. --- 공격의 출발점은 파일 이름에 새겨진 사회공학 전략이다.
#Formbook#VBScript드로퍼#SWIFT피싱#샌드박스우회#인포스틸러#금융서비스#인프라사전배치#다국가캠페인IOCf3 · i0 · d1 · u2지역AT · BA · BD · BE산업항공우주 · 건설 · 컨설팅
C&C회원 전용2026년 6월 23일 09:22 (UTC+9)독일·우크라이나 2개 AS 걸친 WoodyRAT C2 인프라, 자가서명 인증서로 연결 확인
이전 보고(WoodyRAT 귀속 인포스틸러 캠페인 분석) 이후 이 캠페인의 C2 인프라는 조용히, 그러나 의미 있는 방향으로 확장됐다. 이번 관측에서 새로 식별된 핵심 신호는 두 가지다. 하나는 2026년 4월 22일 단일 Dynadot 세션에서 동시 등록된 .biz 도메인 쌍(youngel.biz, myrtler.biz)이고, 다른 하나는 우크라이나에 위치한 신규 C2 노드(195.211.191.95, AS208949)가 기존 독일 AS214351 클러스터와 동일한 자가서명 와일드카드 인증서(시리얼 53f4fbcf015ee99fbbcbf61a9fcc572fb78556e9, CN *.addonexport.xyz)를 공유하며 두 호스팅 거점을 하나의 운영 체계로 묶는다는 점이다. 단순한 IP 교체가 아니라, 운영자가 서로 다른 자율 시스템에 걸쳐 중계 계층을 의도적으로 설계하고 있다는 구조적 신호다.
#WoodyRAT#인포스틸러#C2인프라#자가서명인증서#우크라이나#독일#Exodus지갑#Telegram로그마켓IOCf42 · i4 · d5 · u7MITRE62
FILE회원 전용2026년 6월 23일 06:07 (UTC+9)위장 CDN 인증서로 세 대륙 ASN 넘나든 BitTorrent 유통망
루마니아의 Digi Romania(AS8708), 아이슬란드의 Advania Island ehf(AS50613), 싱가포르의 ACE(AS139341) — 지리적으로도 행정적으로도 아무런 연결점이 없는 세 개의 자율시스템이 최근 CTX Team의 IOC 추적 과정에서 공통된 특징 하나로 묶였다. 세 곳 모두 자신의 실제 호스팅 역할과 무관한, 유명 CDN·벤더 브랜드 명의의 와일드카드 TLS 인증서를 내걸고 있었다는 점이다. 86.124.128.153은 Akamai를 자처하는 .akamaized.net 인증서를, 82.221.103.245는 uTorrent 공식 도메인인 .utorrent.com 인증서를, 43.175.236.102는 텐센트 클라우드의 *.cdn.myqcloud.com 인증서를 각각 서빙하고 있었다.
#BitTorrent#코드서명남용#CDN사칭#와일드카드TLS인증서#번들웨어#PUA#CloudFront#트로이목마IOCf28 · i4 · d2 · u0MITRE46지역BR · CA · CG · CH산업교육·연구 · 기술·IT · 통신
APT회원 전용2026년 6월 23일 00:58 (UTC+9)Adobe 설치파일 위장 트로이목마, 자격증명·채굴·대역폭 동시 탈취
Adobe Firefly AI의 베타 설치파일로 위장한 트로이목마 두 개가 2023년 9월부터 2026년 3월에 걸쳐 건설업 종사자들의 시스템에 유포되고 있다. 각각 45MB와 53MB에 달하는 이 실행 파일들은 Firefly AI 25.0.0.2265 beta for Adobe Photoshop 24.7 (x64)라는 구체적인 버전 문자열을 파일명에 내세워 피해자가 정품 크리에이티브 툴을 설치한다고 믿게 만든다. 그러나 이 설치파일이 실행되는 순간 공격자는 자격증명 탈취, 암호화폐 채굴, 피해자 대역폭 재판매라는 세 갈래 수익 구조를 동시에 가동한다. CTX Team이 추적한 이 캠페인은 브라질, 독일, 룩셈부르크의 건설 부문을 표적으로 삼고 있으며, 이번 분석 시점에서 17개의 신규 파일과 두 개의 신규 인프라 노드가 추가로 확인됐다. 이전 활동의 연속선 위에 있지만 인프라와 페이로드 구성 모두에서 의미 있는 진화가 관측된다.
#PureLogs#WinRing0x64#BYOVD#크래킹소프트웨어루어#건설업표적#암호화폐채굴#대역폭재판매#브라질·독일·룩셈부르크행위자APT28 · StrontiumIOCf21 · i4 · d5 · u4지역BR · DE · LU산업건설
FILE회원 전용2026년 6월 22일 18:33 (UTC+9)20년 된 폐기 인증서 달고 유통 중인 자격증명 탈취 번들
2005년 3월 28일 서명된 코드 서명 인증서가 2026년 3월에도 여전히 활성 배포 중이다. Thawte Code Signing CA가 발급하고 webHancer Corporation 명의로 서명된 이 인증서(일련번호 3E 8B 64, 유효 기간 2004년 8월 25일~2005년 9월 18일)는 이미 폐기됐고, 인증서 체인 전체가 명시적으로 신뢰 해제된 상태다. 그럼에도 이 인증서로 서명된 wh.exe(SHA256: f85937ff...)는 2026년 3월 6일 위협 인텔리전스 플랫폼에 재차 제출됐다. 서명 체인이 완전히 무효화된 바이너리가 20년 넘게 유통되고 있다는 사실 자체가 이 캠페인의 첫 번째 이상 신호다. 그러나 더 주목해야 할 것은 이 바이너리가 단순한 애드웨어가 아니라는 점이다.
#NewDotNet#webHancer#LSA자격증명덤프#CEDPStealer#애드웨어위장#통신서비스#영국·멕시코#코드서명인증서악용IOCf16 · i2 · d2 · u4MITRE43지역GB · MX산업통신
FILE회원 전용2026년 6월 22일 18:17 (UTC+9)Varist 패킹·3중 인젝션으로 무장한 Meteorite Downloader, 미디어 업계 자격증명 탈취
Varist 패커로 압축된 372KB짜리 Win32 PE32 하나가 캐나다, 프랑스, 미국의 미디어 업계 시스템을 겨냥하고 있다. 파일 자체는 버전 정보에 "Meteorite Downloader v3.01"이라고 버젓이 적혀 있지만, 그 안에서 실제로 작동하는 것은 자격증명 탈취 페이로드인 Azorult와 OskiStealer다. CTX Team이 이 샘플을 분석하면서 주목한 것은 페이로드 패밀리 자체가 아니었다. Azorult와 OskiStealer는 이미 수년간 문서화된 상용 스틸러다. 진짜 분석 가치는 그 위에 얹힌 회피 스택의 두께에 있다 — 타이밍 기반 샌드박스 우회, 세 가지 동시 프로세스 인젝션 서브기법, 능동적 보안 도구 무력화가 하나의 드로퍼에 중첩돼 있다는 사실이 이 캠페인을 단순한 상용 스틸러 배포와 구분 짓는다. 페이로드 운반 인프라도 마찬가지로 구조화돼 있다.
#MeteoriteDownloader#Azorult#OskiStealer#Varist패커#프로세스인젝션#미디어업계#자격증명탈취#C2인프라IOCf3 · i0 · d11 · u3MITRE21지역CA · FR · US산업미디어
C&C회원 전용2026년 6월 22일 17:26 (UTC+9)전용 AS에 구축된 다단계 침투 캠페인, 6개국 윈도우 엔드포인트 표적
2026년 5월 말부터 6월 말 사이, 알제리·스페인·인도네시아·이탈리아·루마니아·우간다의 윈도우 엔드포인트를 겨냥한 다단계 침투 캠페인이 조용히 전개됐다. 이 캠페인의 핵심 특징은 특정 악성코드 패밀리가 아니라 그것을 감싸는 회피 구조 자체다. WoodyRAT과 r77을 최종 임플란트로 배포하는 이 공격은 EDR 우회 전담 바이너리, reflective DLL injection 기반 Meterpreter 스테이징 모듈, XOR 난독화된 HTTP User-Agent, 그리고 9개 페이로드 전체에 걸쳐 일관되게 관측되는 제로 임포트 테이블 빌드 패턴을 하나의 파이프라인으로 결합한다. C2 인프라는 2024년 10월 RIPE NCC에 등록된 단일 자율 시스템(AS214351, Femo IT Solutions Limited)에 집중돼 있으며, 이 AS는 2026년 2월에도 새로운 /24 블록을 추가 할당받을 만큼 현재진행형으로 확장 중이다.
#WoodyRAT#BazarLoader#Amadey#EDR우회#AS214351#자격증명수집#다단계침투#6개국표적IOCf26 · i3 · d5 · u6MITRE66지역DZ · ES · ID · IT
FILE회원 전용2026년 6월 21일 21:17 (UTC+9)단일 빌더로 찍은 다섯 개 변종, 인도 피해자 문서 폴더 두 차례 탈취
%TEMP%\1.exe부터 %TEMP%\5.exe까지 순번이 붙은 다섯 개의 9KB PE32 실행 파일이 인도 지역 피해자 시스템에 투하됐다. 외형은 제각각이다. TLSH 퍼지 해시를 비교하면 T1B9122A…, T1FF122A…, T14312294… 등 값이 서로 다르다. 그러나 imphash를 들여다보는 순간 이 다섯 개는 하나의 출처로 수렴한다 — 706cc522e8bfff8088fbe700175fce5b. vhash(093056655d05551063z12z19045z2025z1031zcfz), rich PE header hash(f4dba0448f29af5043926a31c5ec6054), PE 컴파일 타임스탬프(2018-04-10), 진입점(8969)까지 다섯 샘플 모두 동일하다. Malpedia 기반 YARA 룰 win_godzilla_loader_auto도 다섯 개 전부에서 발화한다. 이것이 이 캠페인의 핵심 트레이드크래프트다.
#GodzillaLoader#FileGrabber#인도#데이터탈취#C2인프라#PE32로더#러시아도메인#멀웨어변이IOCf12 · i0 · d5 · u6MITRE30지역IN
FILE회원 전용2026년 6월 21일 17:14 (UTC+9)EV 인증서 하나로 다섯 페이로드 묶은 동영상 소프트웨어 위장 캠페인
'ByteHub Technology Inc' 명의로 발급된 Sectigo EV 코드 서명 인증서(일련번호 19 69 7E 13 F7 C9 20 B1 96 D0 F0 E6 EA 5B C2 50, 썸프린트 FB07412FBA6E9E460FD1A94910B52D34D7C720B7) 하나가 PPTube v11.0.0과 iTubeGo YouTube Downloader Pro 11.0.0이라는 두 개의 소비자용 동영상 소프트웨어 브랜드에 걸쳐 다섯 개의 PE 페이로드를 하나의 신뢰 앵커로 묶고 있다. 2026년 6월 2일부터 3일 사이 단 48시간의 서명 세션에서 생성된 이 파일들은 VirusTotal에서 0/75~0/76의 탐지율을 기록하며 주요 보안 엔진 전체를 통과했다. 그 안에는 MSSQL 인증 우회 임플란트인 Skip-2.0의 sqllang.dll 훅 패턴과 PyArmor로 난독화된 Python 스틸러 페이로드가 함께 들어 있었다.
#ByteHubTechnologyInc#SectigoEV인증서#Skip-2.0#PyArmor#MSSQL인증우회#통신서비스#코드서명남용#독일·스웨덴·태국IOCf28 · i1 · d2 · u1MITRE8지역DE · SE · TH산업통신
C&C회원 전용2026년 6월 21일 16:41 (UTC+9)Phorpiex 봇넷, 커널 드라이버 탑재해 스페인·우즈베키스탄 공격
2026년 6월 초부터 스페인과 우즈베키스탄을 대상으로 활성화된 Phorpiex 봇넷 캠페인에서 이례적인 구성 요소가 확인됐다. 대량 스팸 발송과 암호화폐 채굴이라는 전통적인 수익 모델 위에, 2008년에 만료된 GlobalSign 코드 서명 인증서를 달고 있는 커널 모드 취약 드라이버 WinRing0x64.sys가 함께 배포되고 있는 것이다. 역사적으로 Phorpiex는 커널 수준의 접근을 필요로 하지 않았다 — 대량 이메일 전파와 단순 채굴로 충분했기 때문이다. 이번 캠페인에서 BYOVD(Bring-Your-Own-Vulnerable-Driver) 기법이 추가된 것은, 이 봇넷 패밀리가 단순 수익형 운영에서 보안 제품 무력화 역량을 갖춘 방향으로 이동하고 있을 가능성을 시사한다. CTX Team은 이 캠페인을 심각도 100, 신뢰도 85로 분류했다. 이번 캠페인의 핵심 파일 클러스터는 네 개의 Phorpiex/mint PE32 드로퍼다.
#Phorpiex#BYOVD#WinRing0x64#XMRig#인포스틸러#스페인#우즈베키스탄#암호화폐지갑탈취IOCf15 · i6 · d9 · u5MITRE36지역ES · UZ
APT회원 전용2026년 6월 21일 16:13 (UTC+9)25년 된 독일 도메인, Emotet 페이로드 배포 거점으로 전락
2000년대 초반 독일에서 등록된 상업용 웹사이트 세 곳이 2026년 현재 Emotet 페이로드 배포 거점으로 작동하고 있다. eschricht.com(2002년 5월 등록), vonnahme.com(2000년 9월 등록), hohwy.com(2009년 6월 등록) — 이 세 도메인은 모두 Cronon GmbH를 등록 대행사로 공유하고, WHOIS 등록자 필드에 동일한 난독화 토큰(1f8f4166599d23ee / 3432650ec337c945)을 담고 있다. 여기에 .de 도메인 f8computer.de까지 포함한 네 사이트 전체가 Cronon/Strato의 rzone.de 네임서버 인프라를 통해 DNS를 위임하며, 공격자가 신규 도메인을 등록하는 대신 수십 년간 신뢰를 쌓아온 합법적 사이트를 침해해 재활용하는 전략을 택했음을 보여준다.
#Emotet#TA542#독일공유호스팅#CrononGmbH#파푸아뉴기니#숙박·레저#PowerShell다운로더#장기탐지우회행위자Emotet Group · TA542IOCf4 · i1 · d4 · u8지역PG산업숙박·레저
C&C회원 전용2026년 6월 21일 08:25 (UTC+9)5개 Tox C2 엔드포인트·4개 ASN 분산 — 브라우저 자격증명 탈취 캠페인 인프라 해부
2026년 5월, 두 개의 도메인에 걸쳐 tox1.mf-net.eu부터 tox4.mf-net.eu, 그리고 tox.libre.tw까지 다섯 개의 Tox 프로토콜 C2 엔드포인트가 동시에 활성화됐다. 이 엔드포인트들은 단순히 나란히 존재하는 것이 아니었다 — Let's Encrypt의 R12와 E7 두 개의 중간 인증기관(intermediate CA)이 각각 89일짜리 단명 인증서를 자동 발급하며 서로 다른 ASN에 분산된 릴레이 노드들을 하나의 운영 체계로 묶고 있었다. 그 뒤에는 FranTech Solutions(AS53667), iFog GmbH(AS34927), Hetzner Online GmbH(AS24940), M247 Europe SRL(AS9009)에 걸친 37개 IP로 구성된 릴레이 계층이 자리하고 있었다. CTX Team이 추적한 이 캠페인은 단순한 상용 스틸러 배포와는 결이 다르다 — 운영 복원력을 위해 인프라를 체계적으로 설계한 운영팀의 흔적이 곳곳에 남아 있다
#브라우저자격증명탈취#ToxP2PC2#BrowserStealerGeneric#Let'sEncrypt인증서자동화#DNS-over-HTTPS우회#불렛프루프호스팅#샌드박스우회#윈도우악성코드IOCf1 · i37 · d3 · u5MITRE10
C&C회원 전용2026년 6월 21일 04:14 (UTC+9)게임 파일 위장 XMRig, 커널 드라이버·자가서명 로더로 3중 방어 우회
2026년 6월 19일, 게임 관련 파일 호스팅 인프라에서 배포된 NSIS 드로퍼 하나가 VirusTotal에 처음 제출됐다. 파일명은 Maazz-Dual.exe, 경로는 /Game-File/Maazz-Dual.exe. 겉으로는 게임 크랙이나 치트 파일처럼 보이지만, 이 아카이브 안에는 세 겹의 방어 우회 메커니즘이 정교하게 쌓여 있었다. LOLDrivers 목록에 등재된 취약 커널 드라이버(WinRing0x64.sys), 당일 발급된 자가서명 인증서를 탑재한 로더, 그리고 게임 테마 NSIS 드로퍼 — 이 세 가지가 단일 금전 목적 캠페인 안에서 동시에 작동하고 있었다. 단순 코인 채굴기 배포에 커널 수준 방어 무력화 기법을 결합한 이 구성은, 일반적인 크립토마이너 캠페인이 투자하지 않는 운영 복잡도를 보여준다.
#XMRig#Monero채굴기#BYOVD#WinRing0x64.sys#LOLDrivers#NSIS드로퍼#크립토마이너#커널드라이버악용IOCf53 · i1 · d3 · u0MITRE36
APT회원 전용2026년 6월 21일 04:00 (UTC+9)Nmap 정품 인증서로 서명된 트로이목마, 방산 표적 침투 시도
Nmap Software LLC 명의로 DigiCert가 발급한 유효한 코드 서명 인증서(일련번호 06 75 D6 B5 9E F1 B0 AB 30 E5 D2 E0 46 DA 24 31, 지문 0629C303220B256580AABA536A1A3C060B87E3A2)로 서명된 세 개의 윈도우 실행 파일이 2026년 5월 이후 조용히 유포되고 있다. 이 파일들은 Authenticode 서명 영역 너머에 추가 데이터를 덧붙이는 overlay 기법(T1553.004)을 통해 보안 검사를 통과하면서, VirusTotal에 등록된 75~76개 엔진 전체에서 탐지율 0을 기록하고 있다. 여기에 더해 열 개의 파일이 윈도우 네트워크 드라이버 저장소의 PNF 아티팩트로 위장하며 파일시스템 수준의 은폐 층을 추가한다. 두 가지 회피 기법이 단일 캠페인 안에서 동시에 작동하는 이 구조는, 운영팀이 탐지 우회를 단순한 부가 요소가 아닌 설계 원칙으로 삼고 있음을 시사한다.
#Kimsuky#GuLoader#코드서명인증서악용#방산표적#Authenticodeoverlay#드라이버저장소위장#Npcap#공급망위협행위자Kimsuky · Velvet ChollimaIOCf33 · i0 · d0 · u0MITRE44
FILE회원 전용2026년 6월 20일 16:47 (UTC+9)16개월 전 심어둔 C2 인프라, 크랙 소프트웨어 위장 트로이목마로 활성화
2025년 1월 17일, 어딘가의 운영자는 조직명 'Blah', 소재지 미국 오리건주 포틀랜드, 연락처 [email protected]로 자가서명 와일드카드 인증서를 발급했다. 유효 기간은 10년 — 2035년 1월 15일까지. 그리고 그로부터 16개월이 지난 2026년 6월 2일, 그 인증서가 묶인 명령제어(C2) 인프라를 향해 처음으로 악성 페이로드가 움직이기 시작했다. 페이로드는 FL Studio v25.2.5.5319 Full.exe라는 이름을 달고 있었다. 크랙 소프트웨어를 찾는 사용자를 겨냥한 위장이었다. 같은 바이너리가 DaVinci Resolve Studio 21 Activator.exe, Nitro PDF Pro 14, Xfer Records Serum v2, Topaz Video AI 7 Pro라는 이름으로도 유포됐다 — 오디오 프로덕션, 영상 편집, PDF 도구, 신디사이저 플러그인, AI 영상 업스케일링까지, 크리에이티브 전문가와 1인 스튜디오가 즐겨…
#APT28#Trojan.Remus#Wingo#크랙소프트웨어트로이목마#C2인프라사전포지셔닝#인포스틸러#크리에이티브전문가표적#샌드박스회피행위자APT28 · StrontiumIOCf1 · i1 · d2 · u2MITRE11지역BD · BR · CA · CL산업식음료
FILE회원 전용2026년 6월 20일 16:33 (UTC+9)구매발주서 위장 이중 확장자 ZIP, AV 전원 탐지 못한 지속성 레이어 탑재
엔지니어링·소매·통신 서비스 분야를 겨냥한 피싱 캠페인이 포착됐다. 공격의 진입점은 단순해 보인다 — docPO-Q-2606010-ASN _ ZBSPR26-007.PDF(849KB).LHA라는 이름의 ZIP 아카이브 하나. 그러나 이 파일 뒤에는 .NET Reactor로 난독화된 페이로드, 76개 AV 엔진 전원이 탐지하지 못한 지속성 컴포넌트 두 개, 그리고 인증서 CN 불일치를 가진 DDNS 기반 명령제어(C2) 노드가 층층이 쌓여 있다. CTX Team이 분석한 이 캠페인은 상용 크라임웨어 도구를 조합하면서도 회피 설계에 비상용 수준의 공을 들인 운영팀의 흔적을 보여준다. 공격의 첫 단계(T1566.001)는 구매발주서로 위장한 스피어피싱 첨부파일이다. 아카이브 파일명 docPO-Q-2606010-ASN _ ZBSPR26-007.PDF(849KB).LHA는 두 가지 기만 요소를 동시에 구사한다.
#PureLogStealer#XWorm#스피어피싱#이중확장자#NETReactor#엔지니어링·소매·통신#DDNSC2#지속성회피IOCf23 · i3 · d1 · u2MITRE60지역BA · CO · CZ · MY산업엔지니어링 · 소매·유통 · 통신
APT회원 전용2026년 6월 20일 16:10 (UTC+9)크랙 소프트웨어로 위장한 PE32+ 트로이목마, 22개국 제조·통신 분야 침투
signaturely.com이 발급한 코드 서명 인증서가 붙어 있지만 신뢰 루트에서 끊겨 있는 2,967KB짜리 PE32+ 실행 파일 한 개가 FL Studio, CorelDRAW, EaseUS Data Recovery의 크랙 버전으로 위장한 채 제조업과 통신 서비스 분야를 중심으로 22개국에 유포되고 있다. 이 바이너리는 디버거 탐지(T1622), 장시간 슬립을 이용한 샌드박스 회피(T1497.003), 보안 소프트웨어 열거(T1518.001)를 조합한 3중 방어 회피 스택을 탑재하고 있으며, WMI 기반 실행(T1047)과 USB 전파 기능까지 갖추고 있다. 명령제어(C2) 채널은 우크라이나 하르키우에 등록된 AS 208949(Hbing Limited) 위에 올라앉은 195.211.191.95로 향하며, 이 IP와 myrtler.biz 도메인은 2025년 1월 17일 발급된 10년짜리 자가서명 와일드카드 인증서(시리얼…
#APT28#PE32+트로이목마#크랙소프트웨어위장#제조업#통신서비스#USB전파#샌드박스회피#C2인프라행위자APT28 · StrontiumIOCf1 · i1 · d3 · u3MITRE11지역AO · AR · AU · BO산업제조 · 통신
APT회원 전용2026년 6월 20일 15:58 (UTC+9)Chrome 확장자로 위장한 4KB 실행 파일, Snowglobe에 새 드로퍼 등장
CTX Team이 추적 중인 통신 서비스 표적 스파이웨어 캠페인에서 이번 주기 새로 편입된 6건의 파일 지표 가운데, 가장 눈에 띄는 것은 두 개의 "Chrome 확장 프로그램(crx)" 컨테이너다. VirusTotal 매직 바이트 분석 결과 이 두 파일은 Google Chrome extension, version 3, XZ compressed, CRC64라는 정식 crx 헤더를 갖고 있지만, 내부 경로 메타데이터를 열어 보면 완전히 다른 실체가 드러난다. 하나(e40bb820…)는 C:\n5qqs\m425x6y\eelmf.exe와 C:\Program Files (x86)\EbqqnKk7ls\jmTKFqn6Kx\jXCCj7Yt\ITzEX5dK.exe라는 윈도우 실행 파일 경로를 alt_name으로 물고 있고, 다른 하나(a7feea3d…)는 C:\Program Files (x86)\l85FDkEzdA\ETFuJ9jPUx\yThIvjhg\ESzsiVLE.exe와…
#Snowglobe#Salat스틸러#Vidar#cheater.to#통신서비스#마스커레이딩#UPX패킹#Chrome확장자위장행위자Snowglobe · Animal FarmIOCf9 · i0 · d1 · u0MITRE43지역CZ · LT · SA · TR산업통신
C&C회원 전용2026년 6월 20일 08:28 (UTC+9)No-IP DDNS 9개 서브도메인으로 구축한 C2 폴백 채널, 2013년 빌드 .NET 트로이목마 12년째 활성
incorrect.no-ip.biz부터 8incorrect.no-ip.biz까지 — 베이스 호스트명에 숫자 접두사를 순차적으로 붙인 9개의 No-IP DDNS 서브도메인이 단일 운영자 계정 아래 사전 배치된 C2 예비 채널 풀을 형성하고 있다. 이 도메인들은 모두 Vitalwerks Internet Solutions/No-IP.com을 등록 기관으로 공유하고, NF1부터 NF5까지의 No-IP 네임서버를 통해 해석되며, 60초짜리 TTL A 레코드로 유럽 내 거주자용 ISP IP 주소를 가리킨다. 이 인프라 위에서 작동하는 것은 2013년 12월에 동일한 빌드 환경에서 제작된 .NET 트로이목마 쌍이다 — 271KB짜리 패킹된 드로퍼(trojan.barys/msil)와 17KB짜리 지속성 스텁(BASEBRD)으로, 두 파일 모두 유효한 Authenticode 서명 없이 조작된 Microsoft·Skype 저작권 문자열을 PE 버전 리소스에 심어 분석가의 의심을 낮추려 했다.
#No-IPDDNS#C2인프라#BASEBRD#트로이목마#.NET멀웨어#유럽ISP#DDNS오용#지속성스텁IOCf3 · i2 · d9 · u0MITRE37지역FR
C&C회원 전용2026년 6월 20일 04:26 (UTC+9)10년 된 Cridex, 8개 C2 노드로 2026년에 재출현
포르투갈 리스본 북쪽 샤베스(Chaves) 소재 사업자 네트워크에 할당된 IP 주소 62.28.244.251이 지난 2026년 6월 18일 기준으로 여전히 활성 상태인 TLS 인증서를 제시하고 있다. 인증서의 발급자와 주체 CN은 모두 "Windows Admin Center" — Microsoft의 정품 원격 관리 도구를 그대로 흉내 낸 자가서명 인증서다. 그런데 이 인증서의 Subject Alternative Name 필드에는 내부 호스트명 HYPERV03-SRV.inforxxi.pt가 그대로 노출돼 있다. 포르투갈 어딘가의 Hyper-V 서버가 외부 명령제어(C2) 릴레이로 전용됐음을 스스로 증언하는 셈이다. 이 노드는 혼자가 아니다. CTX Team이 추적한 이번 캠페인에는 캐나다, 미국, 포르투갈, 그리고 ASN 정보조차 확인되지 않는 미상 호스팅 환경에 걸쳐 총 8개의 C2 엔드포인트가 등록돼 있다.
#Cridex#Dreidel#C2인프라#포르투갈#캐나다#자가서명인증서#방어회피#악성코드재활용IOCf2 · i4 · d0 · u16MITRE20
FILE회원 전용2026년 6월 19일 09:13 (UTC+9)Stealc v2, Chrome 127 암호화 우회 탑재해 2단계 C2 체계로 전환
이전 보도(SmokeLoader 기반 자격증명 탈취 캠페인 추적)에서 카드 체커 위장 SmokeLoader 루어와 복수의 C2 노드를 중심으로 분석됐던 이 캠페인이 새로운 국면에 접어들었다. 이번에 CTX Team이 확인한 것은 단순한 페이로드 교체가 아니다 — SVCStealer 로더와 Stealc v2 페이로드가 짝을 이루는 2단계 실행 체계가 새로 도입됐고, 그 중심에는 Google이 Chrome 127에서 도입한 앱 바운드 암호화(app-bound encryption)를 우회하는 기능이 자리 잡고 있다. 이전 보도 당시 존재하지 않던 신호 12개의 파일과 C2 IP 1개가 이번 분석에서 새로 식별됐다. --- 이번 캠페인에서 가장 먼저 눈에 띄는 변화는 실행 사슬의 구조적 전환이다. 이전 보도가 SmokeLoader 단일 페이로드 중심으로 분석됐다면, 이번 스냅샷에서는 로더와 스틸러가 각각 독립적인 C2 체크인을 수행하는 2단계 아키텍처가 확인된다.
#Stealcv2#SVCStealer#인포스틸러#Chrome앱바운드암호화우회#Exodus지갑#2단계C2#샌드박스회피#자격증명탈취행위자APT28 · StrontiumIOCf31 · i1 · d0 · u1MITRE42지역AU
FILE회원 전용2026년 6월 19일 08:48 (UTC+9)Tor 망 DGA C2 세 주소 중 하나, 91개 벤더 전원 탐지 실패
2026년 5월 18일 처음 포착된 Gozi 뱅킹 트로이목마 캠페인(CTX 내부 식별자 CTXv7povuldk2)은 지금까지 알려진 Gozi 배포 사례 중에서도 C2 인프라 설계 측면에서 주목할 만한 특징을 드러내고 있다. 세 개의 Tor v3 히든 서비스 주소가 DGA(Domain Generation Algorithm)로 생성된 형태로 묶여 있으며, 이 클러스터의 탐지 분포는 12/91에서 1/91, 그리고 0/91로 단계적으로 낮아진다. 가장 최근에 활성화된 것으로 추정되는 세 번째 주소 swjxev2rvxfivi2wvkxre5vaxkjeepxzxva4u4ydm2qbkbakh6wnyead.onion은 2026년 5월 25일 마지막 업데이트 기록을 남긴 채 현재 91개 보안 벤더 중 단 한 곳도 탐지하지 못하고 있다.
#Gozi#뱅킹트로이목마#Tor히든서비스#DGA#C2인프라#자격증명탈취#데이터파괴#금융사이버범죄IOCf24 · i0 · d3 · u1MITRE38
FILE회원 전용2026년 6월 19일 05:02 (UTC+9)Sectigo 서명 악용 BitComet 위장 드로퍼, 탐지율 2/76로 39개국 침투
Sectigo가 'Astronexx' 법인 명의로 발급한 유효한 코드 서명 인증서(일련번호 00 BB 22 9C 0F BA 4F 13 39 B1 F9 7E 28 3D 3E 59 BC)가 BitComet 토렌트 클라이언트 설치파일을 사칭한 악성 PE32 바이너리 두 개에 동시에 적용된 사실이 확인됐다. 이 인증서를 탑재한 드로퍼 컴포넌트(ff2f79d1)는 VirusTotal 기준 76개 엔진 가운데 단 2개만 악성으로 분류했다 — Windows SmartScreen 경고를 억제하고 대부분의 AV 정적 탐지를 무력화하는 서명의 효과가 수치로 드러난 셈이다. 여기에 ZIP 페이로드 단계에서는 샌드박스 분석을 무력화하는 장기 슬립(long-sleeps)과 디버그 환경 감지(detect-debug-environment) 기법이 겹쳐지고, 배포 채널로는 AWS CloudFront CDN이 활용된다.
#DealPly#Offercore#BitComet위장#Sectigo인증서악용#코드서명우회#애드웨어#Chrome확장악용#39개국침투IOCf59 · i4 · d1 · u0MITRE48지역AL · BG · BR · BS산업교육·연구 · 금융 · 기술·IT
C&C공개2026년 6월 19일 04:26 (UTC+9)발주서 ZIP 위장 XWorm RAT, 5단계 실행 사슬로 20개국 침투
##구매 발주서 ZIP에 숨겨진 다단계 함정 — XWorm RAT를 향한 정교한 실행 사슬 구매 발주서처럼 보이는 11KB짜리 ZIP 파일 하나가 피해자의 시스템에 도달하는 순간, 다섯 단계에 걸친 정교한 실행 사슬이 작동하기 시작한다. 단순한 스크립트 다운로더가 아니다. 디버그 환경 탐지, 장시간 슬립 지연, WMI 우회 실행, 런타임 C# 컴파일이라는 겹겹의 분석 회피 장치를 거쳐 최종적으로 XWorm RAT가 배포되는 이 캠페인은, 페이로드 배포 수주 전부터 와일드카드 TLS 인증서를 발급하고 White Label Services 인프라를 사전 정비하는 계획적 준비 과정을 동반한다. CTX Team이 추적한 이번 캠페인은 유럽·아시아·아메리카 20개국, 13개 산업 부문에 걸친 광범위한 표적 분포를 보이며, 2026년 6월 16일부터 17일 사이 집중적으로 활동이 관측됐다.
#XWormRAT#VBS다운로더#구매발주서미끼#스피어피싱첨부파일#런타임C#컴파일#WhiteLabelServices인프라#제조업#정부행정IOCf9 · i1 · d2 · u3지역AT · BD · BR · CH산업항공우주 · 농업 · 자동차
APT회원 전용2026년 6월 19일 03:56 (UTC+9)만료 4년 된 HTC 인증서 달고 나타난 Spring Dragon 드로퍼
2025년 11월 14일, VirusTotal에 처음 등장한 PE32+ 실행 파일 하나가 보안 분석가들의 시선을 끌었다. 파일명은 ViveSoftwareSetup.exe, 내부 문자열은 "VIVE Software", 저작권 표기는 "HTC Corp.(c) All rights reserved." — 겉으로는 HTC의 VR 소프트웨어 설치 패키지처럼 보인다. 그러나 이 파일에 박혀 있는 DigiCert 코드 서명 인증서(일련번호 0C F0 97 A2 E8 28 0E 54 9F 7C A5 DF 08 95 CF 52)의 유효 기간은 2021년 4월 28일에 이미 만료됐다. 드로퍼가 세상에 나타나기 4년 이상 전에 죽은 인증서가, 2025년산 악성코드에 이식된 것이다. 서명 검증은 런타임에서 실패하지만 인증서의 존재 자체는 남는다.
#SpringDragon#GCleaner#wmi_ghost#코드서명위장#만료인증서악용#C2인프라#샌드박스회피#드로퍼행위자Spring Dragon · Lotus BlossomIOCf1 · i0 · d3 · u6MITRE12
FILE공개2026년 6월 19일 00:42 (UTC+9)AveMaria RAT, 5중 분석 회피 장치로 Microsoft 업데이트 위장 C2 재가동
이전 보도(WarzoneRAT 인보이스 미끼, 터키 표적 대상 다층 분석 회피 스택 적용)에서 다룬 캠페인이 페이로드 패밀리를 교체하며 재등장했다. 이번에 새로 식별된 두 개의 파일 해시와 함께, 해당 캠페인의 C2 인프라 중추인 msoftupdate.me 도메인 쌍이 분열된 생애 주기를 드러내고 있다 — 부모 도메인은 DNS 말소 대기 상태로 진입한 반면, 운영 서브도메인 remote.msoftupdate.me는 여전히 45.79.244.209로 독립 해석되며 AveMaria RAT 채널을 유지하고 있다. CTX Team이 이번 업데이트에서 확인한 핵심은 페이로드 자체보다 그것을 감싸는 회피 아키텍처다.
#YoroTrooper#AveMariaRAT#WarzoneRAT#UACMe#C2인프라#스파이활동#중앙아시아#드로퍼행위자YoroTrooperIOCf2 · i0 · d2 · u0MITRE21
FILE공개2026년 6월 19일 00:24 (UTC+9)샌드박스 침묵시킨 10KB — SystemBC 드로퍼, 자동화 탐지 맹점 정밀 공략
76개 안티바이러스 엔진 가운데 62개가 악성으로 판정한 파일이 있다. 그런데 자동화 샌드박스 2개는 모두 이 파일을 무해하다고 결론 내렸다. 탐지율 81%라는 숫자만 보면 이 페이로드는 이미 충분히 알려진 위협처럼 보인다. 그러나 실제 운영 환경에서 이 파일이 마주치는 첫 번째 동적 분석 장벽 — 기업 보안 파이프라인의 자동화 샌드박스 — 은 아무런 경보도 울리지 않는다. 이것이 이번 캠페인의 핵심 신호다. CTX Team이 분석한 샘플(SHA256: 46af9af74a5525e6315bf690c664a1ad46452fef15b7f3aecb6216ad448befaa)은 10KB짜리 서명 없는 PE32 실행 파일로, SystemBC(Coroxy, Boigy, Garvi로도 추적되는 프록시-RAT 패밀리)의 드로퍼 스텁으로 분류된다.
#DragonForce#SystemBC#사우디아라비아통신인프라#샌드박스회피#불릿프루프호스팅#드로퍼#타이밍기반탐지우회#YeezyHost행위자DragonForce · DragonForce MalaysiaIOCf1 · i1 · d0 · u0MITRE8지역SA산업통신
APT공개2026년 6월 18일 23:57 (UTC+9)법률 문서로 위장한 ZIP, Upatre가 CryptoLocker 탐지 규칙까지 동시 발화
수신자가 이메일 첨부 파일을 열었을 때 보이는 것은 평범한 사건 파일이었다. Case_1171807.zip, Case_1787739.zip — 법률이나 금융 업무를 다루는 조직이라면 매일 수십 건씩 받는 형식의 파일명이다. 그러나 압축을 해제하면 단 하나의 실행 파일만 나온다. 27,648바이트짜리 PE32 바이너리, case_10022013.exe. 이 파일이 실행되는 순간 Upatre 드로퍼가 작동을 시작하고, 그 뒤에 무엇이 내려오는지는 아직 완전히 규명되지 않았다. CTX Team이 이 캠페인을 분석하는 과정에서 드러난 가장 이례적인 신호는 단순한 탐지율 수치가 아니었다. Upatre/GenericKDV로 분류된 이 드로퍼가 McAfee ATR 룰셋의 YARA 규칙 CryptoLocker_set1과 CryptoLocker_rule2를 동시에 발화시킨다는 사실이었다.
#GoldEvergreen#BusinessClub#Upatre#CryptoLocker#ZBot#법률기관표적#스피어피싱#C2인프라행위자Gold Evergreen · Business ClubIOCf3 · i0 · d1 · u1MITRE9