FILE회원 전용2026년 6월 11일 06:43 (UTC+9)4년 동일 빌드 파이프라인 유지한 XRed RAT, 페루 정부 기관 겨냥
페루 정부 기관을 겨냥한 XRed 백도어 캠페인이 단순한 상용 RAT 배포 이상의 운영 성숙도를 드러내고 있다. 이 캠페인의 핵심 페이로드 세 개는 2019년 6월부터 2023년 10월까지 최초 제출 시점이 4년 이상 벌어져 있음에도 불구하고 동일한 imphash 332f7ce65ead0adfb3d35147033aabe9를 공유한다 — 컴파일된 임포트 테이블이 단 한 번도 바뀌지 않았다는 뜻이다. 코어 CODE 섹션 크기(629,760바이트)와 진입점(633,728)도 세 샘플 모두 일치한다. 이 수준의 빌드 파이프라인 안정성은 운영자가 핵심 바이너리를 교체할 압력을 거의 받지 않았음을 시사하며, 그 이유는 명확하다.
#XRed#DarkKomet#페루정부기관#원격접속트로이목마#동적DNS#샌드박스우회#AnyDesk위장#빌드파이프라인행위자Cactus · Cactus Ransomware GroupIOCf14 · i1 · d0 · u0MITRE20지역PE산업정부·공공
FILE공개2026년 6월 11일 02:57 (UTC+9)크랙 배포 사이트 통해 SmokeLoader 투하…3중 난독화로 탐지 회피
불법 소프트웨어 활성화 도구를 찾는 사용자를 노린 트로이목마 배포 캠페인이 CTX Team의 분석망에 포착됐다. 표면적으로는 평범한 KMSAuto 계열 윈도우 인증 우회 도구처럼 보이지만, 그 내부에는 AutoIT 컴파일 드로퍼, aPLib 압축 해제 스텁, UPX 런타임 패킹, 그리고 샌드박스 환경을 능동적으로 탐지하는 핑거프린팅 로직이 층층이 쌓여 있다. 최종 페이로드는 SmokeLoader — 모듈식 구조로 추가 페이로드를 내려받고 호스트 정찰을 수행하는 로더 계열 악성코드다. 위협 피드는 이 캠페인을 Smoky Spider 행위자와 연결하며 몽골을 지리적 표적으로 명시하고 있다. 탐지 회피 기법의 조합 자체가 이 캠페인을 단순한 PUA(잠재적 유해 프로그램) 배포와 구분 짓는 핵심 신호다. --- 공격의 진입점은 정교한 스피어피싱이 아니다. 사용자가 스스로 걸어 들어오는 구조다.
#SmokeLoader#SmokySpider#AutoIT드로퍼#aPLib압축#UPX패킹#샌드박스회피#크랙배포벡터#몽골행위자Smoky SpiderIOCf3 · i0 · d0 · u0MITRE28지역MN
FILE회원 전용2026년 6월 11일 02:44 (UTC+9)Autodesk 크랙 패키지로 위장한 DLL 사이드로딩, 브라질 제조업 겨냥 코인마이너 침투
정품 Autodesk Network License Manager(이하 NLM)의 크랙 설치 패키지로 위장한 악성 파일 묶음이 브라질 포장·용기 제조 업계를 중심으로 확산되고 있다. 이 캠페인의 핵심은 단순한 코인마이너 드로퍼가 아니다 — 공격자는 Autodesk의 정식 라이선싱 서비스인 AdskLicensingAgent의 설치 경로에 악성 version.dll을 심어, 합법적인 서비스 프로세스가 공격자 코드를 직접 로드하도록 유도하는 DLL sideloading(T1574.002) 기법을 구사했다. 피해 시스템은 최종적으로 암호화폐 채굴 풀(nanopool.org)에 연결되지만, 분석 시점으로부터 불과 이틀 전에 컴파일된 .NET MSIL 드로퍼가 시스템 루트의 비정상 경로에 투하된 정황은 이 운영팀이 도구 체계를 실시간으로 갱신하고 있음을 시사한다. CTX Team은 이 캠페인을 심각도 100, 신뢰도 85로 분류된 위협 클러스터(CTXcphcqbk2it)로 등록했다.
#DLL사이드로딩#AutodeskNLM#코인마이너#브라질제조업#AdskLicensingAgent#안티디버그#크랙패키지위장#AS213010IOCf13 · i2 · d2 · u0MITRE53지역BR산업포장·용기
FILE회원 전용2026년 6월 10일 23:07 (UTC+9)서명된 uTorrent 설치파일에 숨은 offercore 트로이목마
DigiCert가 발급한 코드 서명 체인으로 정상 서명된 uTorrent Classic 설치파일이, 실제로는 트로이목마 페이로드를 함께 전달하는 정황이 확인됐다. 해시 fd2cb40874ba...89dbc로 식별되는 이 실행파일은 서명 검증 결과가 'Valid'로 표시되고 서명자는 "BitTorrent Inc; DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1; DigiCert Trusted Root G4; DigiCert"로 완전한 4단 체인을 갖추고 있다. 그런데도 VirusTotal에서는 76개 엔진 중 22개가 이를 trojan.offercore/utorrent로 탐지한다.
#uTorrent#offercore#inoci#코드서명위장#TLS인증서위장#텐센트CDN사칭#애드웨어#NSIS설치기IOCf26 · i6 · d2 · u0지역AE · AL · AR · AT산업상업 서비스 · 교육·연구 · 숙박·레저
C&C회원 전용2026년 6월 10일 14:56 (UTC+9)국가·등록기관 다른 자산 5곳, 89일 인증서 주기로 겹쳐
지난 5월 초부터 6월 초 사이, 서로 다른 국가와 서로 다른 등록기관에 걸쳐 있는 다섯 개의 인터넷 자산 — 도메인 세 개와 IP 한 개, 그리고 그 사이를 잇는 또 하나의 IP — 가 정확히 같은 길이의 Let's Encrypt 인증서를 발급받았다. resolvent.net(NAMECHEAP INC 등록, 2026-05-03 발급), bvwebdesign.nl(2026-04-22 발급), platynum.ch(2026-05-12 발급), sjd.se(NMU Group 등록, 2026-05-25 발급), 그리고 프랑스 OVH SAS 소속 IP 135.125.247.10(2026-06-08 발급)까지 모두 valid_from과 valid_until 사이 간격이 정확히 89일이다. Let's Encrypt의 표준 인증서 유효기간이 90일이라는 점을 감안하면 이 89일이라는 값 자체는 특별하지 않지만, 문제는 이 다섯 자산이 서로 아무 접점도 없어 보인다는 점이다.
#mimail#netsky#Let'sEncrypt#인증서자동화#C2서버#SMTP웜#뉴질랜드#다국가인프라IOCf11 · i7 · d5 · u0MITRE22지역NZ
C&C회원 전용2026년 6월 10일 13:03 (UTC+9)Phorpiex 8차 파동, C2 유지한 채 페이로드만 교체 — 신규 바이너리 2개 VT 기록 전무
파키스탄 통신 섹터를 겨냥한 Phorpiex 봇넷 캠페인이 새로운 국면을 드러냈다. 이번 관측에서 확인된 핵심 변화는 C2 인프라가 아니다. 두 개의 C2 IP 주소와 그 위에 얹힌 인증서 구조는 이전 파동과 동일하게 유지되고 있다. 변화는 전적으로 페이로드 층에서 일어났다 — 세 개의 파일이 새로 투입되고 기존 세 개가 동시에 제거됐다. 그런데 새로 들어온 파일 세 개 중 두 개(SHA256 접두사 3708fb7e, 413e0bd2)는 VirusTotal에 메타데이터가 전혀 없다. 탐지 이력도, 제출 기록도, 파일 유형 정보도 없다. CTX Team이 추적해 온 이 캠페인에서 운영자가 스캔 이력이 없는 신선한 바이너리를 의도적으로 스테이징하고 있다는 가장 직접적인 증거다. 이전 보도에서는 이 캠페인의 C2 인프라 지문과 비대칭 교체 패턴을 처음으로 기록했다. 이번 분석은 그 이후 새로 식별된 페이로드 층의 변화에 집중한다.
#Phorpiex#파키스탄통신섹터#봇넷#페이로드교체#C2인프라#샌드박스우회#이메일웜#크립토하이재킹IOCf3 · i2 · d0 · u4MITRE33지역PK산업통신
APT회원 전용2026년 6월 10일 10:17 (UTC+9)중국산 백신 위장 Emotet, 파나마 의료기관 겨냥 5개국 C2망 가동
서명되지 않은 Win32 DLL 하나가 중국어 저작권 문자열과 'MJAntiVirus.EXE'라는 이름표를 달고 파나마 의료 기관 네트워크를 두드리고 있다. 이 파일은 Emotet 로더로, PE 버전 정보 위조(T1036)와 PEiD 패킹, 그리고 인도네시아 대학 서버부터 폴란드 웹호스팅 팜까지 다섯 개의 서로 다른 자율 시스템(AS)에 분산된 C2 풀을 동시에 활용해 탐지와 차단을 동시에 우회하도록 설계돼 있다. CTX Team이 추적 중인 이 캠페인 클러스터(ID: CTXcgu67pzya3)는 2022년 2월 처음 관측된 페이로드가 2024년 5월까지 활성 상태를 유지했으며, C2 노드에 Sectigo DV 인증서와 Let's Encrypt 단기 인증서를 얹어 정상 HTTPS 트래픽으로 위장하는 성숙한 운영 방식을 보여준다.
#Emotet#Dridex#파나마#의료기관#C2인프라#PE위조#JA3지문#로더악성코드행위자Emotet Group · TA542IOCf1 · i5 · d0 · u9MITRE26지역PA산업헬스케어
C&C회원 전용2026년 6월 10일 08:09 (UTC+9)5년 묵은 Phorpiex 드로퍼, 값싼 도메인 위서 여전히 활동
VirusTotal에 처음 포착된 지 5년이 넘은 Phorpiex 계열 드로퍼(5d9b6c49a8c8…)가 2025년 11월까지도 계속 제출되고 있다. 이 파일은 여전히 CPU 타이머를 직접 읽어 분석 환경 여부를 판별하고, 실행을 장시간 지연시키는 전형적인 샌드박스 회피 루틴(T1497.003)을 그대로 유지한 채 svchost.exe·DriveMgr.exe 같은 정상 시스템 프로세스로 위장(T1036)한다. 더 눈에 띄는 건 이 오래된 드로퍼가 최근까지 활성 상태를 유지하는 두 개의 명령제어(C2) 도메인 — trik.ws, trikhaus.top — 과 함께 관측된다는 점이다. 두 도메인은 전용 인프라를 구축하는 대신 남의 인증서와 값싼 등록기관을 빌려 HTTPS 위장막을 두르는 방식으로 운영 비용을 최소화하고 있다. 새로운 무기가 아니라, 오래된 무기가 값싼 인프라 위에서 얼마나 오래 버틸 수 있는지를 보여주는 사례다. 이번 레코드에는 특정 행위자 이름이 붙어 있지 않다.
#Phorpiex#ClipBanker#Botx#C2도메인#샌드박스회피#클립보드하이재킹#웜#인증서위장IOCf3 · i1 · d2 · u11MITRE34지역MX산업정부·공공
FILE회원 전용2026년 6월 10일 07:34 (UTC+9)독일 텔레콤 정적 DSL 20개 노드, Allaple 웜 C2 중계 인프라로 전락
독일 중소기업들이 Deutsche Telekom AG의 T-DSL Business 정적 회선을 통해 인터넷에 직접 노출한 메일 서버, 원격 접속 포털, 그리고 Fritz!Box 공유기 위에 올라탄 Kerio Connect 메일 어플라이언스가 Allaple 웜 캠페인의 C2 중계 인프라로 조용히 흡수되고 있다. CTX Team이 추적한 이번 캠페인은 2026년 2월부터 6월까지 활성 상태를 유지하며, AS3320 DTAG-STATIC02 넷블록(217.86.128.0~217.86.255.255) 안에서 확인된 20개 IP 노드 전체가 공격자가 직접 등록한 호스팅이 아닌 침해된 독일 중소기업 엔드포인트라는 점이 이 캠페인을 구별 짓는 핵심 특징이다. VirusTotal에서 20개 IP 모두 탐지율 0/91을 기록한다는 사실은 이 전략이 네트워크 계층 탐지를 얼마나 효과적으로 세탁하는지를 단적으로 보여준다. --- 이 캠페인의 인프라 지문에서 가장 눈에 띄는 것은 집중도다.
#Allaple#DeutscheTelekom#AS3320#독일중소기업#C2인프라#KerioConnect#정적DSL#웜캠페인IOCf41 · i29 · d0 · u0MITRE25지역US산업소매·유통
C&C회원 전용2026년 6월 10일 06:49 (UTC+9)Proton66 위 8개 .su 도메인 유지된 채 고립된 .qpon 노드 추가
이번 관측 주기에서 가장 눈에 띄는 변화는 페이로드가 아니라 인프라다. LummaStealer 캠페인의 핵심 C2 골격 — Proton66 OOO(AS 198953)의 단일 서버 37.77.150.150 위에 올라선 8개의 .su 도메인 — 은 이전 보도 이후에도 아무런 교체 없이 그대로 유지되고 있다. 그런데 그 바깥에, 등록 기관도 네임서버도 IP도 TLS 발급자도 전혀 다른 도메인 하나가 새로 IOC 목록에 추가됐다. recenjc.qpon이다. 이전 보도에서 CTX Team은 2025년 9월 19일 단 하루에 일괄 등록된 8개의 .su 도메인이 동일한 Let's Encrypt R12 인증서(시리얼 5ee1c638d84322bfe85a6b9e451a954406e)와 단일 Plesk 호스트를 공유하며 C2 풀을 구성한다는 사실을 확인했다. 이번 분석은 그 구조가 유지되는 가운데 새로운 인프라 노드와 20개의 신규 파일 해시가 추가됐음을 보여준다.
#LummaStealer#C2인프라#Proton66#정보탈취악성코드#코드서명위장#스페인#MaaS#윈도우엔드포인트IOCf20 · i1 · d9 · u17MITRE38지역ES
APT회원 전용2026년 6월 10일 06:38 (UTC+9)만료된 MS 인증서 하나로 묶인 KMS 위장 Amadey 4년 배포 체계
2020년 9월 26일 오전 1시 9분, 단 한 번의 서명 타임스탬프가 찍혔다. 그리고 그 서명은 이미 만료된 Microsoft Windows Publisher 인증서(일련번호 33 00 00 02 4B B2 23 0A 43 CD 03 63 62 00 00 00 00 02 4B, 유효 기간 만료일 2021년 1월 22일)에 속한 것이었다. CTX Team이 추적해 온 이 캠페인에서 주목할 점은 바로 이 단일 서명 타임스탬프가 KillAV 트로이목마, PS2EXE 컴파일 AV 킬러, Amadey 로더라는 세 개의 서로 다른 페이로드 스테이지 전체에 동일하게 찍혀 있다는 사실이다. 만료된 인증서를 재활용해 세 단계 페이로드 모두에 동일한 도용 자격증명을 이식하는 빌드 파이프라인 — 그것이 이 캠페인이 4년 넘게 탐지를 피해 온 핵심 구조다. --- 공격 사슬의 출발점은 Microsoft Office 또는 Windows 정품 인증 도구로 위장한 두 개의 실행 파일이다.
#Amadey#KillAV#KMS위장#PS2EXE#만료인증서재활용#러시아C2인프라#불법소프트웨어유통#드로퍼파이프라인IOCf9 · i1 · d0 · u3MITRE31지역ZW
APT회원 전용2026년 6월 9일 23:05 (UTC+9)라벨은 DCRat, 통신은 Amadey — 어긋난 로더 정체
VirusTotal에서 53/76개 엔진이 악성으로 탐지한 Win32 실행 파일 한 개가 세 가지 서로 다른 정체성을 동시에 지니고 있다. 피드 단계의 패밀리 분류는 DCRat이고, VirusTotal이 붙인 위협 라벨은 trojan.abmrisk/common(대체 명칭 abmrisk, common, deyma)이다. 그런데 이 파일이 실제 통신 단계에서 발화시키는 IDS 룰은 DCRat도 abmrisk도 아닌 ET MALWARE Amadey CnC Response와 두 건의 MALWARE-CNC Win.Trojan.Amadey variant outbound connection attempt다. 하나의 바이너리를 놓고 피드 분류·정적 AV 라벨·실시간 네트워크 시그니처가 서로 다른 답을 내놓는 이 불일치야말로, 이번 캠페인에서 가장 재현성 있게 관측되는 트레이드크래프트 신호다.
#APT28#DCRat#Amadey#Plesk#VPS호스팅#C2인프라#사이버스파이#위장서명행위자APT28 · StrontiumIOCf2 · i1 · d0 · u1MITRE25지역BD · BF · BR · DZ산업기술·IT
FILE회원 전용2026년 6월 9일 20:32 (UTC+9)잠든 척하는 드로퍼, 샌드박스 판정 제로로 24개국 침투
2026년 5월 15일, VirusTotal에 처음 제출된 약 1MB짜리 JavaScript 파일 하나가 CTX Team의 분석망에 포착됐다. 파일명은 Sales Order - Order Confrimation VTR 100003087852006 - 00761-27-EXOL-Q_pdf.js — 언뜻 보면 거래처에서 날아온 판매 주문 확인서처럼 읽힌다. 그러나 이 파일의 정체는 Varist 패커로 압축된 UTF-16 LE 인코딩의 난독화 JavaScript 드로퍼이며, 실행 직후 의도적인 슬립 루프에 진입해 자동화 분석 환경의 타임아웃을 소진시킨 뒤 방글라데시에 사전 구축된 인프라에서 2단계 페이로드를 내려받는 구조로 설계돼 있다. 이 캠페인은 TA505로 귀속되며 동기는 스파이 활동(espionage)으로 분류된다. 표적 범위는 엔지니어링·의료·제조·법률·기술·통신 서비스 분야에 걸쳐 24개국에 이른다.
#TA505#rockloader#JavaScript드로퍼#샌드박스회피#스피어피싱#방글라데시인프라#엔지니어링·제조표적#스파이활동행위자TA505 · Hive0065IOCf38 · i0 · d1 · u3지역AE · AT · AZ · BD산업엔지니어링 · 헬스케어 · 제조
C&C회원 전용2026년 6월 9일 19:37 (UTC+9)단일 DGA로 .ru·.su 동시 생성…카자흐스탄 표적 랜섬웨어 싱크홀 회피
단일 DGA(Domain Generation Algorithm) 시드에서 .ru와 .su TLD를 동시에 생성하는 18개의 C2 도메인 세트가 카자흐스탄을 표적으로 삼은 금전 탈취 캠페인에서 확인됐다. 이 캠페인의 핵심 페이로드는 UPX 패킹에 더해 PE 헤더를 의도적으로 손상시킨 trojan.bitmin/razy 드로퍼(SHA256: 3050ee56c677…)로, 불가리아 VPS 노드에 독일어 사명을 사칭한 Let's Encrypt TLS 커버 도메인을 얹어 C2 통신을 정상 HTTPS 트래픽처럼 위장한다. USB 이동식 미디어를 통한 전파 기능(T1091)까지 갖춘 이 페이로드는 2019년 처음 제출된 오래된 도구임에도 불구하고, 2024년대에 새로 구축된 인프라 위에서 여전히 활동 중이다. DGA 이중 TLD 설계, TLS 위장, 헤더 손상이라는 세 겹의 탐지 회피 구조가 이 캠페인의 운영적 특질을 규정한다.
#trojan.bitmin#razy#DGA#카자흐스탄#랜섬웨어#C2인프라#TLS위장#USB전파IOCf3 · i2 · d18 · u20MITRE39지역KZ
FILE회원 전용2026년 6월 9일 16:21 (UTC+9)10년 전 브라질 애드웨어망, 2026년 CDN 인증서에 뒤엉키다
브라질의 인기 다운로드 포털 '바이샤키(Baixaki)'를 사칭한 타이포스쿼팅 도메인 3개가 같은 날, 같은 등록 대행사를 통해 한꺼번에 등록된 흔적이 확인됐다. baixakialtcdn.com, os.baixakialtcdn.com, os2.baixakialtcdn.com 세 도메인 모두 2012-10-23에 PDR Ltd. d/b/a PublicDomainRegistry.com를 통해 생성됐고, 이 가운데 두 개(os., os2.)는 동일한 A-레코드 13.248.196.204로 해석되는 것으로 나타났다. 이 도메인 인프라와, AS52580(Azion Technologies Ltda.) 위에서 동일한 인증서 일련번호를 공유하는 IP 두 곳이 같은 레코드 안에 묶여 있다는 사실은 흥미롭지만, 두 인프라 층위의 관측 시점 사이에는 거의 10년의 간극이 존재한다.
#dealply#애드웨어#PUP#바이샤키#타이포스쿼팅#AzionTechnologies#CDN인증서#브라질IOCf7 · i2 · d3 · u1MITRE33지역BR산업컨설팅
APT회원 전용2026년 6월 9일 11:38 (UTC+9)IPFS 게이트웨이로 진화한 C2 인프라, 도메인 압수 무력화 설계
이전 보도(이전 보도)에서 CTX Team이 추적해 온 이 캠페인은 만료·폐기된 코드 서명 인증서를 악용한 번들러 드로퍼와 PremierOpinion 애드웨어 페이로드를 중심으로 분석됐다. 이번 업데이트에서 새로 식별된 핵심 변화는 페이로드나 도메인이 아닌 IP 레이어에 있다. Protocol Labs가 운영하는 IPFS(InterPlanetary File System) 게이트웨이 네트워크 내 IP 209.94.90.1(ASN 40680)과 King Servers 넷블록의 162.244.34.17(ASN 14576, Hosting Solution Ltd.)이 캠페인 지시자 목록에 새로 등재됐다. 이 두 IP의 추가는 단순한 인프라 확장이 아니다 — 운영자가 탈중앙화 웹 인프라를 C2 또는 페이로드 호스팅 경로로 편입시키기 시작했다는 신호로, 기존의 도메인 압수나 IP 블랙홀 라우팅 같은 표준적 대응 수단이 효력을 잃는 지점을 향해 이 캠페인이 진화하고 있음을 시사한다.
#APT28#PremierOpinion#IPFS악용#코드서명우회#번들러드로퍼#C2인프라#기술섹터#DLL사이드로딩행위자APT28 · StrontiumIOCf4 · i3 · d4 · u0MITRE13산업기술·IT
FILE회원 전용2026년 6월 9일 08:22 (UTC+9)'Sanwhole' 자가서명 인증서로 위장한 개발자 IDE 인포스틸러 번들 해부
빌드 토큰 86FFCDB로 묶인 다섯 개의 파일이 'Netpas DevStudio'라는 이름의 개발자 IDE 설치 패키지로 위장해 유포되고 있다. 이 번들의 핵심은 'Sanwhole'이라는 이름으로 자가 발급된 코드 서명 인증서다 — 인증서 체인이 신뢰되지 않는 루트에서 종료되는, 실존하지 않는 조직의 이름을 빌린 허구의 서명 정체성이다. 인증서 일련번호 26 F4 9B CA 07 79 1C 96 48 EA 3D 5A EA 7F 69 37은 메인 설치 파일, 트로이목마 EXE, MSI 패키지 세 파일에 동일하게 적용됐고, 그 아래에는 ntdll.dll을 사칭하는 악성 DLL과 Cryptbot 계열 인포스틸러가 숨어 있다. 최종 목표는 Exodus와 Coinomi 암호화폐 지갑 파일의 탈취다 — 그리고 탈취된 지갑 파일들은 현재 모든 AV 엔진에서 탐지율 0을 기록하고 있다. 이 캠페인을 단일 운영으로 확인하는 가장 강력한 증거는 하드코딩된 설치 경로다.
#Cryptbot#인포스틸러#자가서명인증서#암호화폐지갑탈취#개발자도구위장#DGAC2#샌드박스회피#트로이목마번들행위자Emotet Group · TA542IOCf30 · i0 · d1 · u2MITRE39지역CI
C&C회원 전용2026년 6월 9일 07:51 (UTC+9)89일 인증서 세 장이 엮은 하나의 C2 발판
지난주 CTX Team이 수집한 C2 인프라 지표 가운데 가장 먼저 눈에 걸리는 것은 파일이 아니라 인증서였다. alphaMountain.ai가 피싱으로 분류한 스페인 도메인 lavers.es와, 전혀 별개의 브랜드처럼 보이는 nuronapp.com, treddle.nuronapp.com 세 곳이 모두 Let's Encrypt의 동일한 발급 체계인 'YR2' 중간 인증서를 통해, 89일이라는 완전히 동일한 유효기간의 인증서를 발급받았다. lavers.es는 2026-06-05 10:36:45부터 2026-09-03 10:36:44까지, treddle.nuronapp.com은 2026-05-29 17:35:32부터 2026-08-27 17:35:31까지, nuronapp.com은 2026-05-30 17:46:00부터 2026-08-28 17:45:59까지 — 발급일이 아흐레 안에 몰려 있고 유효기간 스팬이 소수점까지 일치한다. 이 세 도메인은 표면적으로는 아무 관계가 없다.
#C2인프라#인증서재사용#nuronapp.com#브라우저업데이터위장#애드웨어PUA#코드사이닝인증서폐기#다중ASN분산#도메인팜IOCf2 · i5 · d7 · u0MITRE12산업통신
APT회원 전용2026년 6월 9일 07:24 (UTC+9)가짜 FitGirl 게임 패키지에 숨은 DBatLoader, 브라질 집중 공격
'007 First Light [FitGirl Repack]'이라는 이름으로 유포되고 있는 게임 설치 패키지 안에 DBatLoader 계열 트로이목마 드로퍼 두 개가 은닉돼 있다는 사실이 CTX Team의 분석을 통해 확인됐다. 이 패키지는 단순한 악성 실행 파일 하나를 숨긴 수준이 아니다. Play.bat 런처, game.jpg 커버 이미지, unins000.exe 제거 프로그램까지 갖춘 완성형 가짜 설치 묶음이며, 여기에 가짜 DirectX MSI 인스톨러까지 보조 컴포넌트로 포함돼 있다. 1,011개의 고유 소스에서 1,176건의 제출이 집계된 주 드로퍼의 수치는 이 루어가 이미 브라질 사용자를 중심으로 상당한 규모로 유포됐음을 보여준다. 이 캠페인의 핵심은 악성 코드 자체의 기술적 정교함보다, 크랙 게임 배포 생태계를 정밀하게 모방한 기만 아키텍처와 샌드박스 분석을 무력화하는 복합 회피 기법의 조합에 있다.
#VoidArachne#DBatLoader#브라질#가짜게임인스톨러#샌드박스회피#C2인프라#뱅킹트로이목마#FitGirl사칭행위자Void Arachne · Silver FoxIOCf17 · i4 · d2 · u0지역BR
FILE공개2026년 6월 9일 04:10 (UTC+9)게임 크랙으로 위장한 AutoIT 드로퍼, 2년 동안 동일 빌드 파이프라인 유지
2025년 12월 처음 관측된 실행 파일 fm.exe(SHA256: 3d446b6407545831da12a66d6e8878334b8a230579240d4cebff090adebdd56c)는 겉으로는 Football Manager 26의 크랙 설치본처럼 보인다. 파일 내부에는 Unity Technologies 저작권 메타데이터가 박혀 있고, 경로 힌트는 C:\Games\Football Manager 26\fm.exe를 가리킨다. 그러나 이 파일의 진짜 정체는 AutoIT 컴파일 드로퍼다. CTX Team이 이번 업데이트에서 새로 식별한 9개의 파일 지표를 분석한 결과, 이 드로퍼는 2023년에 Windows 업데이트 유틸리티로 위장했던 선행 샘플(CheckUpdate.exe, SHA256: 19ef6bf006506871ad1a8f07692682ef13a483d95e6e4ede3717203879178ba8)과 동일한 imphash…
#Patchwork#AutoIT드로퍼#XMRig#BYOVD#WinRing0x64#크립토마이너#게임크랙위장#코드서명위조행위자Patchwork · ChinastratsIOCf18 · i0 · d0 · u0MITRE45
C&C회원 전용2026년 6월 9일 03:58 (UTC+9)GlobalSign 인증서 하나로 묶인 악성 PE 20개, 중국 CDN 뒤에 숨어 자격증명 탈취
GlobalSign이 중국 법인 沧州句号网络科技有限公司에 발급한 코드 서명 인증서 하나(일련번호 74 8A E7 40 52 3E E3 39 FF 9C AE 7C)가 2025년 5월부터 9월에 걸쳐 생산된 악성 PE 파일 20개 전체를 단일 서명 앵커로 묶고 있다. GoodZip-WIN助手, WinAssist, WIN-Clear, WIN-GameBox 등 중국어권 사용자에게 익숙한 유틸리티 소프트웨어 브랜드를 사칭한 이 파일들은 VirusTotal 기준 26~47/77의 정적 탐지율을 기록하면서도, Zenbox·C2AE·Yomi Hunter 등 샌드박스에서는 예외 없이 악성 판정 0건을 받았다. 코드 서명 신뢰 채널을 통한 EDR 우회와 동적 분석 무력화가 동시에 작동하는 이 구조는, 단순한 PUA 배포를 넘어 자격증명 수집 기능(DeepData 계열 YARA 룰 매칭)까지 포함한 다층 위협으로 분류된다.
#SaltySpider#DeepData#SoftCnApp#코드서명악용#CDN프론팅#Wangsu#자격증명탈취#중국행위자Salty Spider · KuKuIOCf27 · i40 · d2 · u3
FILE회원 전용2026년 6월 9일 00:37 (UTC+9)USB 클리너로 위장한 7년 생존 로더, 당일 컴파일 Phorpiex 웜 투하
2026년 2월, 교통·물류 분야를 겨냥한 공격 캠페인에서 이례적인 페이로드 조합이 포착됐다. 겉으로는 USB 드라이브 정리 유틸리티처럼 보이는 .NET 트로이목마가 사용자 실행을 유도하고, 그 뒤에서 당일 컴파일된 Phorpiex 웜 변종이 조용히 깨어나는 구조다. 두 파일이 공유하는 것은 imphash도, 코드 서명 인증서도 아니다 — 오직 탐지를 피하기 위한 정교한 타이밍 회피 기법과, 세이셸에 법인을 둔 채 네덜란드 IP 대역을 통해 명령을 받는 전용 불법 호스팅 노드뿐이다. CTX Team이 캠페인 식별자 CTXq2jfrphgql로 추적 중인 이 활동은 Salty Spider(별칭: KuKu, SalLoad, Kookoo, SaliCode, Kukacka)에 귀속되며, 심각도 100·신뢰도 85로 분류됐다. --- 공격의 첫 번째 레이어는 MSIL/AgentB 트로이목마(SHA256: 5e46fc7e…)다.
#SaltySpider#Phorpiex#MSILAgentB#교통·물류#샌드박스우회#불법호스팅#USB위장악성코드#UDPP2P명령제어행위자Salty Spider · KuKuIOCf2 · i1 · d0 · u1MITRE25산업운송·물류
FILE회원 전용2026년 6월 9일 00:21 (UTC+9)만료 서명 딛고 도는 UltraSurf 위장 프록시 바이너리
검열 회피용 프록시 도구로 알려진 UltraSurf/Ultrareach의 재패키징 빌드가, 원 개발사 서명이 이미 3년 전에 유효기간을 넘겼는데도 계속 유통되고 있는 정황이 확인됐다. VirusTotal 상 탐지율 19/74를 기록한 이 Win32 EXE 샘플은 "Ultrareach Internet Corp." 명의의 리프 인증서를 달고 있는데, 이 인증서의 유효기간은 2021년 6월 9일부터 2024년 6월 9일까지였고 현재 상태는 "not time valid"로 표시된다. 그런데 이 리프 인증서를 발급한 상위 체인 — GlobalSign GCC R45 CodeSigning CA 2020, GlobalSign Code Signing Root R45, GlobalSign Root CA - R3 — 은 각각 2029년과 2030년까지 유효한 상태를 유지하고 있다.
#UltraSurf#Ultrareach#Glupteba2#MuddyWater#SilentChollima#Dalbit#코드사이닝우회#에너지섹터행위자MuddyWater · TEMP.ZagrosIOCf1 · i5 · d0 · u0MITRE18산업에너지
C&C회원 전용2026년 6월 8일 23:57 (UTC+9)유효 인증서 2개 동시 운용…루다시 애드웨어, 탐지 회피 이중화 확인
DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인으로 서명된 윈도우 실행 파일 11개가 중국 내 유틸리티 소프트웨어 사용자를 대상으로 지속 유포되고 있다. 이번 분석에서 새롭게 확인된 핵심 신호는 운영자가 첫 번째 서명 법인(北京创想界科技有限公司, 인증서 시리얼 06FE572B…)이 여전히 유효하고 폐기되지 않은 상태에서 두 번째 법인(成都奇鲁科技有限公司, 시리얼 0D078E70…)으로 서명 주체를 추가했다는 점이다. 두 인증서가 동시에 유효한 상태로 공존하는 이 구조는 단순한 인증서 갱신이 아니라 탐지 압력에 대한 선제적 분산 전략으로 해석할 수 있다.
#루다시#애드웨어#코드서명위조#DigiCert인증서남용#CDN인프라악용#샌드박스회피#중국사이버위협#탐지우회행위자FIN6 · Skeleton SpiderIOCf31 · i60 · d0 · u1MITRE5
APT회원 전용2026년 6월 8일 23:36 (UTC+9)정품 서명 두른 가짜 FileZilla, 애드웨어 번들러였다
파일명 FileZilla_3.69.5_win32-setup.exe로 유포된 실행 파일(SHA256 77bd820eb0532cfc5ad6523e6abe7c287d2c53ae1c9b8ddc156706f32092d03b)이 완전하고 현재 시점까지 유효한 Sectigo 코드 서명 체인 — Tim Kosse → Sectigo Public Code Signing CA R36 → Sectigo Public Code Signing Root R46 → AAA Certificate Services — 을 달고 있으면서도, VirusTotal에서는 adware.bundler/filezilla로 분류되고 75개 엔진 중 12개가 악성으로 플래그를 올린다. 반면 샌드박스 판정은 정반대다. Zenbox와 Yomi Hunter 두 곳 모두 CLEAN·harmless로 결론을 냈다.
#FileZilla#애드웨어번들러#코드사이닝남용#APT28#APT15#bumblebee#공급망위장#NSIS인스톨러행위자APT28 · StrontiumIOCf1 · i4 · d1 · u1MITRE9산업교육·연구
APT회원 전용2026년 6월 8일 23:07 (UTC+9)DigiCert 인증서 하나로 완성한 3중 탐지 회피 — LummaC2 스틸러 유포 해부
'INNOVA MEDIA d.o.o.' 명의로 발급된 DigiCert G4 코드 서명 인증서 하나가 게임·유틸리티 설치 파일로 위장한 두 개의 PE32 실행 파일을 묶어냈다. 드로퍼와 자식 페이로드가 2025년 12월 22일 1분 간격으로 서명된 이 빌드 세션은, 정적 AV 탐지를 억제하는 코드 서명, 동적 분석을 무력화하는 다층 샌드박스 회피, 그리고 91개 엔진 전원이 탐지하지 못하는 AWS CloudFront CDN 경유 C2라는 세 겹의 방어 우회 구조를 단 하나의 운영 파이프라인 안에서 완성했다. CTX Team이 추적한 이 캠페인은 금융 서비스 부문을 표적으로 삼고 있으며, 위협 피드 메타데이터는 Lazarus Group을 귀속 행위자로 명시하고 있다. --- 이 캠페인의 가장 명확한 운영 지문은 코드 서명 타임스탬프에 있다.
#LazarusGroup#LummaC2#코드서명악용#AWSCloudFront#샌드박스회피#금융서비스#정보탈취#InnoSetup행위자Lazarus Group · Hastati GroupIOCf2 · i0 · d2 · u0MITRE21지역AE · BR · FR · LY산업금융
FILE회원 전용2026년 6월 8일 19:41 (UTC+9)PayPal 검증 도구로 위장한 3단 페이로드, ConfuserEx로 탐지 우회
'PayPal Valid Email Checker [v1.0].exe'라는 이름의 실행 파일이 자격증명 거래 커뮤니티를 겨냥한 침투 경로로 활용되고 있다. CTX Team이 추적해 온 이 캠페인은 단순한 Amadey 배포 사례가 아니다 — ConfuserEx Mod 난독화를 세 가지 기능적으로 상이한 페이로드 패밀리에 일괄 적용하고, reflective in-memory loading으로 디스크 기록을 회피하며, 모든 명령제어(C2) 트래픽을 도메인 레이어 없이 단일 IPv4 노드(176.111.174.140, AS212136 NUBES LLC, 러시아)로 집중시키는 구조다. 이 C2 호스트가 제시하는 TLS 인증서는 FortiGate 장비 인증서(시리얼 266ee6e, 주체 CN FG100FTK23078935, 발급자 fortinet-subca2001)로, 상용 C2 노드에서는 보기 드문 인프라 이상 징후를 남긴다.
#Amadey#ConfuserEx#Mofksys#GoSys#인메모리로더#자격증명탈취#러시아C2인프라#페이로드난독화IOCf12 · i1 · d0 · u3MITRE36지역RO
FILE회원 전용2026년 6월 8일 15:58 (UTC+9)F-PROT 패커로 묶인 채굴 공격, 화학 산업 워크스테이션 겨냥
화학 산업 분야 윈도우 워크스테이션을 겨냥한 암호화폐 채굴 캠페인이 CTX Team의 분석망에 포착됐다. 이 캠페인의 핵심은 두 개의 서로 다른 악성코드 컴포넌트가 단일 빌드 파이프라인에서 조립된다는 점이다. Carambis/Rostpay 번들러 트로이목마(39b64964f46a…)가 초기 접근 드로퍼로 작동하고, 이것이 MinerGate 6.8 NSIS 인스톨러(5392c2dbee28…)를 내려받아 실행하는 구조다. 두 컴포넌트는 위협 레이블도, 파일 크기도, 탐지 패턴도 서로 다르지만 F-PROT 패커 시그니처를 공유한다 — 이 패커 시그니처가 두 파일을 동일한 제작 환경으로 묶는 유일한 빌드 지문이다. 채굴 페이로드는 Tor 채널을 통해 명령제어 통신을 수행하고, 인프라는 우크라이나 VPS 제공자 AS211632와 러시아 bulletproof 호스팅 Proton66 OOO(AS198953)에 분산 배치돼 있어 단일 노드 차단에 강한 탄력성을 갖추고 있다.
#MinerGate#Carambis번들러#암호화폐채굴#화학산업#TorC2#Proton66bulletproof호스팅#샌드박스회피#PinchySpider행위자Pinchy Spider · SodinokibiIOCf3 · i6 · d0 · u0산업화학
C&C회원 전용2026년 6월 8일 15:26 (UTC+9)EV 코드 서명 인증서 악용해 악성 페이로드 4종 동시 서명, 샌드박스 전면 우회
Sectigo가 법인 신원 검증을 거쳐 발급하는 Extended Validation(EV) 코드 서명 인증서 — 운영체제와 보안 제품이 가장 높은 신뢰를 부여하는 신원 보증 수단 — 가 트로이목마·애드웨어 페이로드 번들을 통째로 서명하는 데 악용됐다. ORYON TECH LIMITED 명의로 발급된 단일 EV 인증서(시리얼 21 E3 D5 C7 00 22 7E A0 2E E6 84 AF 4F 8F 88 40, 썸프린트 42C9BFD69C303BC2B46DCCB979D6B9DB4D40B44D)가 2026년 4월 23일 오전 8시 36분, 단 한 번의 서명 이벤트로 Win32 EXE 3개와 Windows Installer MSI 1개에 동시 날인됐다.
#EV코드서명인증서#Microleaves#ORYONTECHLIMITED#샌드박스우회#페이퍼인스톨#트로이목마#애드웨어#C2인프라IOCf21 · i1 · d5 · u6MITRE13지역AR · IN
APT회원 전용2026년 6월 8일 15:09 (UTC+9)유효 DigiCert 인증서로 17개월간 악성 빌드 서명…폐기 없이 현재도 진행 중
DigiCert가 발급하고 현재도 유효한 코드 서명 인증서(시리얼 0D 7E F8 80 11 79 BF 12 A7 46 6F 7D A5 B3 27 7A, 유효 기간 2023년 4월 28일~2026년 7월 7일)가 악성 애드웨어 컴포넌트 7개에 지속적으로 적용되고 있다. 가장 최근 서명 날짜는 2026년 4월 7일 — 즉 이 인증서는 첫 번째 악성 샘플이 관측된 이후에도 새 빌드에 계속 찍혀 나왔으며, 서명 창이 2024년 11월부터 2026년 4월까지 17개월에 걸쳐 열려 있었다. 서명 주체는 Shanghai 2345 Mobile Technology Co., Ltd.이며, 발급 체인은 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1을 거쳐 DigiCert Trusted Root G4까지 이어진다. 운영자는 최초 탐지 이후에도 인증서를 교체하지 않았다 — 이것이 이 캠페인의 가장 핵심적인 운영 결정이다.
#SaltySpider#코드서명인증서남용#애드웨어#HaoZip#2345SafeCenter#알리바바CDN위장#소프트웨어업데이트채널악용#중국행위자Salty Spider · KuKuIOCf15 · i16 · d2 · u2MITRE16
C&C회원 전용2026년 6월 8일 07:30 (UTC+9)루다시 캠페인, 두 번째 코드 서명 법인으로 폐기 충격 분산
이전 보도(이전 보도) 이후 CTX Team이 추적해 온 Ludashi(鲁大师) 기반 악성 바이너리 캠페인에서 구조적으로 독립된 두 번째 코드 서명 정체성이 확인됐다. 2025년 11월 28일, 성도(成都)에 등록된 신규 법인 成都赤侠信息科技有限公司 명의로 DigiCert가 발급한 인증서(시리얼 0D 16 29 35 15 97 69 FC C4 B5 02 55 64 86 C8 07, 유효 기간 2025-08-20~2028-08-18)로 서명된 두 개의 Polarwind DLL이 동시에 최초 관측됐다. 이 인증서는 기존 주력 서명 정체성인 成都奇鲁科技有限公司의 인증서와 동일한 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 CA 체인에 뿌리를 두고 있으면서도, 완전히 별개의 중국 법인 등록을 기반으로 한다. 운영자가 단일 인증서 폐기로 인한 피해 범위를 제한하기 위해 서명 정체성을 의도적으로 분산시키고 있다는 신호로 해석된다.
#Ludashi#코드서명인증서#DigiCert#Polarwind#중국모바일AS9808#AlibabaCDN#페이로드분산#방어회피행위자FIN6 · Skeleton SpiderIOCf42 · i7 · d1 · u2MITRE13
C&C회원 전용2026년 6월 8일 07:18 (UTC+9)Exodus 지갑 6개 파일 통째로 탈취…스틸러 로그가 드러낸 수집 해부도
알제리, 에티오피아, 인도 피해자 기기에서 수집된 스틸러 로그 아카이브가 연이어 위협 인텔리전스 피드에 등록되면서, WoodyRAT 계열로 태그된 이번 캠페인의 수집 범위가 처음으로 구체적인 파일 단위로 드러났다. 이전 보도(관련 기사)가 AS214351 기반 C2 인프라와 Stealc v2·ClipBanker·AgentB 페이로드의 존재를 확인했다면, 이번에 추가된 35개 파일 IOC는 악성 바이너리가 아닌 피해자 기기에서 실제로 빠져나간 데이터 아티팩트다. 그 목록은 단순한 패스워드 덤프가 아니다 — Exodus 암호화폐 지갑의 암호화 파일 여섯 종, Telegram tdata 세션 토큰, FileZilla FTP 자격증명 XML, Pidgin 메신저 계정 설정 파일이 동일한 피해자 로그 번들 구조 안에서 함께 발견됐다. 오퍼레이터가 무엇을 원하는지, 그리고 얼마나 체계적으로 가져가는지가 이번 분석의 핵심이다.
#WoodyRAT#Stealc#Exodus지갑#암호화폐탈취#AS214351#C2인프라#알제리·에티오피아·인도#인포스틸러IOCf52 · i3 · d0 · u5MITRE57지역DZ · ET · IN
APT회원 전용2026년 6월 7일 23:21 (UTC+9)12년 생존 Nemim 트로이목마, 세 겹 방어막으로 탐지 회피
2013년 2월 VirusTotal에 처음 등장한 56KB짜리 PE32 바이너리가 2025년 3월까지 17회에 걸쳐 재제출되며 꾸준히 관측되고 있다. 이 파일(SHA256: f47508db…)은 단순한 장수 악성코드가 아니다. 정적 분석 도구를 체계적으로 무력화하기 위해 빌드 단계에서 의도적으로 설계된 세 겹의 방어막이 하나의 56KB 패키지 안에 압축돼 있다. Armadillo/PEiD 패킹, XOR로 난독화된 PE DOS 스텁, 그리고 런타임 환경 탐지 루틴 — 이 조합이 10년이 넘는 기간 동안 이 임플란트를 탐지 경계선 아래에 머물게 한 핵심 설계 결정이다. CTX Team이 추적해 온 이 캠페인은 인도 지역을 표적으로 한 스파이 활동으로 분류되며, DarkHotel(Dubnium, Fallout Team, Tungsten Bridge 등 다수의 추적 명칭으로 알려진 행위자)에 귀속된다.
#DarkHotel#Nemim#인도표적스파이활동#정적분석회피#DDNSC2#Armadillo패킹#불가리아인프라#APT행위자DarkHotel · Fallout TeamIOCf2 · i1 · d0 · u9MITRE28지역IN
APT회원 전용2026년 6월 7일 23:07 (UTC+9)FileZilla 위장 인증서·도메인 같은 날 생성…XMRig 다단계 공격 체인 해부
2025년 12월 24일, 두 가지 사건이 동시에 일어났다. 'FileZilla FTP Client'라는 이름의 자가서명 코드 서명 인증서가 발급됐고, 같은 날 filezilla.cc 도메인이 NICENIC INTERNATIONAL GROUP CO., LIMITED를 통해 등록됐다. 인증서 일련번호 30 10 ED B3 26 DC 0F 81, 도메인 생성 타임스탬프 2025-12-24T19:23:28Z — 두 값이 가리키는 날짜는 정확히 일치한다. 이것은 우연이 아니다. 운영자는 피해자가 실행 파일을 열기 전에 이미 브랜드 위장 인프라를 완성해 두었다. CTX Team이 추적한 이 캠페인은 콩고민주공화국을 표적으로 XMRig 크립토마이너를 배포하는 다단계 공격 체인으로, 2026년 1월 12일 단 한 번의 빌드 세션에서 생성된 11개 ZIP 페이로드를 중심으로 구성된다.
#BlueBottle#XMRig#크립토마이너#FileZilla위장#콩고민주공화국#코드서명위조#다단계드로퍼#방어회피행위자BlueBottle · Opera1erIOCf19 · i1 · d1 · u2MITRE29지역CD
C&C회원 전용2026년 6월 7일 20:10 (UTC+9)중국 5대 플랫폼 TLS 인증서로 위장한 C2 노드 18개 추적
중국 인터넷 생태계를 구성하는 주요 플랫폼들의 TLS 인증서가 명령제어(C2) 인프라를 은폐하는 수단으로 활용되고 있다. CTX Team이 추적한 이번 캠페인은 알리바바 CDN, 바이두, 2345.com, 바이두 DNS, 치후 360이라는 다섯 개 중국 플랫폼 브랜드의 정식 TLS 인증서를 공유하는 18개 IP를 C2 노드로 운용하고 있으며, 이들 노드는 중국 유니콤(AS 4837), 차이나텔레콤(AS 4811·AS 4134), 알리바바 클라우드(AS 24429) 등 중국의 주요 백본 사업자에 분산 배치돼 있다. TLS 핸드셰이크 계층에서 이 C2 트래픽은 타오바오·바이두·2345.com으로 향하는 일상적인 HTTPS 통신과 구조적으로 구분되지 않는다.
#C2인프라#TLS위장#알리바바CDN#바이두#치후360#Chrome확장프로그램#샌드박스회피#중국사이버위협IOCf50 · i18 · d0 · u0MITRE29
C&C회원 전용2026년 6월 7일 19:58 (UTC+9)DigiCert G4 인증서 두 장으로 묶인 중국발 애드웨어·트로이목마 툴킷, 통신사 표적
2024년 9월 19일, 중국 법인 北京创想界科技有限公司 명의로 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 인증서 하나가 발급됐다. 일련번호 06 FE 57 2B A6 2E 8E C3 18 03 0F DC 9B AC A2 81, 유효 기간 2027년 9월까지 — 이 단 하나의 코드 서명 인증서가 이후 수개월에 걸쳐 archelper.dll, base.dll, ScrRun.dll, AcMgr.dll, ComputerZ12.dll, DumpUper.exe를 포함한 12개 파일 전체에 찍혔다. 기능적으로 분산된 모듈들이 단일 서명 파이프라인에서 생산됐다는 의미다.
#DigiCert코드서명악용#애드웨어#PubNubRAT#DLL사이드로딩#통신서비스표적#샌드박스회피#중국위협클러스터#다중컴포넌트툴킷행위자FIN6 · Skeleton SpiderIOCf40 · i5 · d12 · u33MITRE20산업통신
C&C회원 전용2026년 6월 7일 19:39 (UTC+9)게임 치트 도구로 위장한 커널 침투 캠페인, LummaStealer와 BYOVD 결합
2026년 4월부터 6월 사이, 게이밍 커뮤니티를 겨냥한 HWID 스푸퍼 툴킷 배포 캠페인이 단순한 정보탈취 작전 이상의 기술적 깊이를 드러냈다. 'Monotone-HWID-Spoofer-master.zip'이라는 이름의 ZIP 번들(6241813c, 43/77 탐지)은 표면적으로는 하드웨어 ID 우회 도구처럼 보이지만, 내부에는 만료된 Sectigo EV 코드 서명 인증서로 서명된 취약 커널 드라이버, WDK 테스트 인증서로 서명된 스푸퍼 드라이버, 그리고 LummaStealer 로더가 함께 패키징돼 있었다. 이 캠페인이 주목받는 이유는 단순한 스틸러 배포가 아니라 — BYOVD(Bring-Your-Own-Vulnerable-Driver) 기반 커널 수준 방어 회피, paste 사이트 URL 스테이징, Telegram C2 신호, 그리고 브라우저 보안 스토어 수집까지 — 하나의 사회공학 래퍼 안에 완성도 높은 공격 체인이 압축돼 있다는 점이다.
#LummaStealer#BYOVD#커널드라이버#게이밍커뮤니티#브라우저자격증명탈취#WinDivert#정보탈취악성코드#사회공학행위자APT28 · StrontiumIOCf17 · i5 · d3 · u6MITRE24
C&C회원 전용2026년 6월 7일 07:53 (UTC+9)ByteDance CDN 위장 역방향 프록시, 13개 IP 단일 인증서로 묶인 C2 계층 확인
이전 보도 이후 CTX Team의 추적 대상 캠페인에서 가장 주목할 만한 변화가 확인됐다. 새로 식별된 C2 도메인 intf-pc.whnuowo.cn이 처음으로 모습을 드러냈고, 이와 동시에 13개 IP가 단일 Sectigo DV 와일드카드 인증서(시리얼 152bfd07c372d944c3ac6feff2e606bd, subject CN .bytecdn.cn)로 묶인 CDN 위장 역방향 프록시 계층이 가시화됐다. 이 인증서의 SAN 목록에는 .meituan.net, .dianping.com, .flash.cn, *.kfcbest.com 등 중국 대형 소비자 브랜드 도메인이 나란히 등재돼 있어, 운영자가 TLS 핸드셰이크 수준에서 C2 트래픽을 정상적인 CDN 흐름으로 위장하려 했음을 보여준다. 이전 보도에서 다룬 코드 서명 인증서 남용 구조는 이번 업데이트에서도 그대로 유지되고 있으며, 캠페인은 페이로드 배포 단계를 넘어 활성 C2 수집 단계로 진입한 것으로 판단된다.
#PubNubRAT#CDN위장#역방향프록시#코드서명인증서남용#C2인프라#중국위협행위자#ByteDance#UnionPay행위자FIN6 · Skeleton SpiderIOCf73 · i77 · d1 · u2MITRE10
APT회원 전용2026년 6월 7일 07:20 (UTC+9)가짜 터치패드 드라이버 로더, 3년째 XRed·XWorm 실어나른다
Windows 터치패드 드라이버로 흔히 알려진 'Synaptics Pointing Device Driver'라는 제품명을 내부에 새긴 언사인 로더 파일 세 개가, 2020년 말부터 2023년 말까지 3년에 걸쳐 동일한 빌드 계보를 유지하며 재유포된 흔적이 확인됐다. 세 샘플 — 9f9ba373c49dccb093030c89afb1ad24ba121342ee361b41583da535f4e870d8, 6a759847ba2664338a968dd1e0d8b4f7c37f8165ea47fb06b1041dba169a0ed0, 147952b38a3f3ecb419102b31e550f82ad731d30c66df44cbd6f640d9253d44d — 는 모두 임포트해시 332f7ce65ead0adfb3d35147033aabe9를 공유하며, PE 섹션 구조(CODE/DATA/.idata/.rdata/.reloc)가 바이트 단위로 일치하고, 심지어 1992년 6월 19일로 조작된 동일한 컴파일 타임스탬프까지…
#DarkComet#XRed#XWorm#로더재활용#다이나믹DNS#CDN위장인증서#Indra#PE위장행위자Indra · Predatory SparrowIOCf13 · i5 · d0 · u0지역EC
C&C회원 전용2026년 6월 7일 03:54 (UTC+9)공유 로더 스텁으로 묶인 6종 페이로드, 단일 AS에 집중된 C2 인프라 해부
2026년 5월 하순, VirusTotal에 9개의 윈도우 실행 파일이 짧은 간격으로 제출되기 시작했다. 개별 파일만 보면 각각 다른 악성코드 패밀리 — 뱅킹 트로이목마, ClipBanker, BazarLoader DLL, Amadey 드로퍼, StealC v2 로더, EDR 우회 변종 — 로 분류된다. 그러나 CTX Team의 분석이 이 파일들을 교차 비교하자 전혀 다른 그림이 나타났다. 기능적으로 서로 다른 세 페이로드가 동일한 reflective 로더 스텁을 공유하고, EDR 우회 쌍은 같은 날 동일한 빌드 환경에서 컴파일됐으며, 모든 C2 통신은 단 하나의 자율 시스템(AS214351, Femo IT Solutions Limited)에 집중돼 있었다. 이것은 독립적인 상용 악성코드를 조합한 것이 아니라, 단일 운영자가 목적에 맞게 설계한 다단계 프레임워크의 흔적이다.
#APT27#StealCv2#Amadey#ClipBanker#reflective로더#EDR우회#알제리#C2인프라행위자APT27 · TEMP.HippoIOCf64 · i3 · d0 · u7지역DZ
C&C회원 전용2026년 6월 7일 03:39 (UTC+9)폐기된 Valve 인증서·커널 드라이버·침해 도메인, 세 겹 신뢰 우회 캠페인 포착
2026년 6월 초, CTX Team은 게이밍 커뮤니티를 겨냥한 이례적인 캠페인을 포착했다. 표면적으로는 GTA V 그래픽 모드 설치 파일이나 러시아 인터넷 우회 유틸리티처럼 보이는 파일들이 유통되고 있었지만, 그 내부에는 세 가지 서로 다른 신뢰 우회 메커니즘이 동시에 작동하고 있었다. 2012년에 만료되고 명시적으로 폐기된 Valve의 코드 서명 인증서를 탑재한 SilverFox 드로퍼, Sectigo EV 인증서로 합법적으로 서명됐지만 만료된 WinDivert 커널 드라이버를 이용한 BYOVD, 그리고 터키 교육 기관의 합법적 도메인을 침해해 PowerShell 스테이저를 호스팅하는 방식 — 이 세 가지 기법이 하나의 캠페인 안에서 동시에 운용되고 있다는 사실이 이 캠페인을 단순한 정보 탈취 작전과 구분 짓는 핵심 신호다.
#TA505#LummaStealer#SalatStealer#Amadey#BYOVD#게이밍커뮤니티#코드서명위조#암호화폐클리퍼행위자TA505 · Hive0065IOCf16 · i5 · d2 · u7MITRE27
C&C회원 전용2026년 6월 6일 23:59 (UTC+9)DigiCert 합법 서명 뒤에 숨은 PubNubRAT — 8개월간 17개 파일 서명한 중국 법인 인증서
2024년 9월, 중국 법인 北京创想界科技有限公司 명의로 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인을 통해 발급된 코드 서명 인증서(일련번호 06 FE 57 2B A6 2E 8E C3 18 03 0F DC 9B AC A2 81) 하나가 이후 8개월에 걸쳐 주력 파일 17개의 서명에 반복 사용됐다. DupsClean과 LargeFileClean이라는 두 개의 윈도우 유틸리티 브랜드로 위장한 이 파일들은 정상적인 코드 서명 채널을 통해 Windows SmartScreen과 대부분의 AV 휴리스틱을 통과했고, 그 뒤에는 Ludashi/PolarWind 애드웨어 프레임워크와 PubNub 클라우드 메시징 기반 RAT 채널이 숨어 있었다.
#PubNubRAT#Ludashi#PolarWind#코드서명남용#중국위협행위자#클라우드C2#애드웨어위장#DigiCert인증서악용행위자APT28 · StrontiumIOCf42 · i65 · d0 · u0MITRE26
APT회원 전용2026년 6월 6일 23:10 (UTC+9)다섯 법인·하나의 공장 — DigiCert G4 서명 인프라 산업화한 Ludashi 애드웨어
DigiCert Trusted G4 코드 서명 인증서를 발급받은 다섯 개의 중국 법인이 단일 페이로드 제조 라인을 공유하며 통신 서비스 부문을 겨냥한 Ludashi 계열 애드웨어를 지속 유포하고 있다. 이 캠페인의 핵심 지문은 단순한 악성코드 패밀리가 아니라 서명 인프라의 산업화 방식에 있다 — 성도(成都), 베이징, 텐진(天津)에 각각 등록된 법인들이 DigiCert G4 체인을 통해 유효한 코드 서명을 획득하고, 단일 인증서 시리얼(0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98)로 묶인 아홉 개의 페이로드를 최소 9개월에 걸쳐 생산해 왔다. 여기에 overlay 기법으로 해시를 변이시키고, 텐센트 클라우드 오브젝트 스토리지와 운영자 직접 통제 CDN을 통해 배달하는 3단 인프라가 결합되면서, 이 캠페인은 합법 서명 채널을 통한 엔드포인트 탐지 우회를 체계적으로 구현한 사례로 분류된다. 가장 선명한 신호는 인증서 코호트의 응집도다.
#Ludashi#DigiCertG4코드서명남용#애드웨어#통신서비스표적#텐센트클라우드#중국위협행위자#오버레이해시변이#다중법인인증서회전행위자Gorgon Group · SubaatIOCf29 · i22 · d4 · u0MITRE10산업통신
APT회원 전용2026년 6월 6일 19:24 (UTC+9)만료·폐기 인증서 동시 악용, 이중 서명 남용 캠페인 포착
DigiCert가 발급한코드 서명 인증서가 만료된 지 두 달이 넘도록 악성 바이너리에 붙어 유통되고 있다. 동시에, Certum의 EV(확장 검증) 인증서가 명시적으로 폐기된 상태임에도 불구하고 동일한 배포 체계 안에서 또 다른 페이로드에 서명하는 데 쓰이고 있다. 만료된 인증서와 폐기된 인증서 — 서로 다른 CA, 서로 다른 실패 유형, 그러나 같은 목적. 이 두 가지 코드 서명 남용이 하나의 배포 사슬 안에서 동시에 관측된다는 사실이 이번 캠페인의 가장 뚜렷한 운영 지문이다. CTX Team이 분석한 이 캠페인은 세 개의 악성 PE 파일과 다섯 개의 도메인, 다섯 개의 IP로 구성된 인프라를 중심으로 전개된다. 위협 피드는 APT28을 행위자로 지목하고 있으나, 이 귀속 판단을 뒷받침하는 공개 참조 자료가 현 단계에서는 확인되지 않는다. 따라서 행위자 귀속에 관한 단정적 결론은 현 단계에서 어렵다.
#APT28#코드서명남용#PremierOpinion애드웨어#DigiCert#CertumEV#안티샌드박스#DLL사이드로딩#공급망공격행위자APT28 · StrontiumIOCf4 · i5 · d5 · u0MITRE7산업기술·IT
FILE공개2026년 6월 6일 16:11 (UTC+9)KMS 정품 인증 도구로 위장한 Gamaredon 스파이웨어 캠페인 포착
정품 인증 도구를 찾는 사용자가 직접 실행 파일을 내려받아 클릭하는 순간, 공격은 이미 완료된다. 스피어피싱 이메일도, 취약점 익스플로잇도 필요 없다. CTX Team이 추적한 이번 캠페인은 KMSpico, KMSAuto, AAct, DriverPack이라는 이름의 윈도우 정품 인증 도구와 드라이버 설치 프로그램 7개 파일로 구성된 클러스터로, 파일 전체에 걸쳐 자가서명 신뢰 불가 루트 인증서, WinDivert 패킷 캡처 드라이버, Dotfuscator 난독화, Windows Defender 레지스트리 비활성화 코드가 중첩 적용돼 있다. 그 가운데 AAct_x64.exe(SHA256: db3aa782e297b2b5d9e2a1281ebb9afd416c82722c2d2a285ef94070e4cdd5d2)에서는 Malpedia/Fraunhofer FKIE 출처의 YARA 룰 win_konni_auto가 발화했다 — 겉으로는 평범한 KMS 활성화 도구처럼 보이는 파일이 Konni…
#GamaredonGroup#Konni스파이웨어#KMSpico위장악성코드#WinDivert패킷캡처#방위산업표적공격#코드서명우회#소프트웨어불법복제루어#윈도우정품인증도구악용행위자Gamaredon Group · CTIGIOCf7 · i0 · d0 · u0MITRE6산업방위산업
FILE공개2026년 6월 6일 16:00 (UTC+9)Microsoft 인증서 이식·3중 회피 스택으로 칠레 표적 자격증명 탈취
Microsoft의 코드 서명 체인을 통째로 이식한 PE 바이너리가 칠레 표적을 겨냥한 자격증명 탈취 작전의 핵심 구성 요소로 확인됐다. 이 파일(SHA256: 3c7b3da15d0f960c1d7d0dc5…)은 Microsoft Corporation → Microsoft Code Signing PCA 2011 → Microsoft Root Certificate Authority 2011로 이어지는 완전한 인증서 체인을 달고 있지만, 서명 검증 결과는 "The digital signature of the object did not verify"로 실패한다. 리프 인증서의 서명 날짜는 2021년 12월 3일인 반면 PE 컴파일 타임스탬프는 2022년 5월 18일 — 약 5개월의 역전 간격이 이 인증서가 정상 발급된 것이 아니라 탈취되거나 이식됐음을 직접적으로 시사한다.
#OperationSpalax#RedlineStealer#BroPass#인포스틸러#칠레#자격증명탈취#코드서명위조#NSIS드로퍼행위자Operation SpalaxIOCf3 · i0 · d0 · u1MITRE30지역CL
C&C회원 전용2026년 6월 6일 15:47 (UTC+9)2345PCSafe 트로이 목마, CDN 이중 채널로 배달망 확장
이전 보도에서 확인된 download.2345cdn.com 단일 엔드포인트 구조가 이번 분석 주기에서 이중 채널로 확장됐다. 새롭게 확인된 dl-up.2345cdn.com은 download.2345cdn.com과 동일한 등록자(eName Technology Co., Ltd.), 동일한 WHOIS 생성일(2019-08-29), 동일한 TrustAsia DV 와일드카드 인증서(시리얼 54162008a7bf1ddb0a8b67fd81b4674af00924f7)를 공유하며, 두 도메인 모두 *.kunluncan.com으로 CNAME 연결돼 있다 — 이 패턴은 두 도메인이 운영상 짝으로 관리됐을 가능성을 강하게 시사하지만, 단일 운영자가 처음부터 의도적으로 쌍으로 설계했는지는 현 단계 증거로는 단정이 어렵다. 이와 함께 23개의 신규 IP가 추가됐고, 새로운 페이로드 URL 두 건이 확인됐다.
#SaltySpider#2345PCSafe#트로이목마#CDN인프라악용#코드서명우회#애드웨어#중국#공급망공격행위자Salty Spider · KuKuIOCf59 · i25 · d2 · u2MITRE2
C&C회원 전용2026년 6월 6일 11:58 (UTC+9)DigiCert 체인 유지하며 법인만 교체 — 8개월 코드서명 인증서 회전 캠페인
2024년 5월 21일, 중국 청두 소재 법인 成都奇鲁科技有限公司 명의로 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인에서 코드서명 인증서 한 장이 발급됐다. 일련번호 0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98. 이 인증서는 이후 8개월에 걸쳐 Ludashi·Chinad 계열 악성 페이로드 15개를 인증했고, 2025년 5월부터 2026년 1월까지 VirusTotal에 최초 제출된 파일들이 모두 같은 서명자 체인을 달고 등장했다. 운영자는 여기서 멈추지 않았다. 2024년 9월에는 베이징 법인 北京创想界科技有限公司 명의로, 2025년 8월에는 또 다른 청두 법인 成都赤侠信息科技有限公司 명의로 인증서를 추가 취득했다 — 세 인증서 모두 동일한 DigiCert Trusted G4 중간 CA(thumbprint…
#Ludashi#Chinad#코드서명인증서남용#DigiCert#중국위협행위자#샌드박스우회#애드웨어#TA551행위자TA551 · ShathakIOCf35 · i18 · d3 · u0MITRE3
C&C회원 전용2026년 6월 6일 11:40 (UTC+9)합법 인증서 뒤에 숨은 스틸러 — APT28, DigiCert 서명 SDK 악용
DigiCert가 발급한 유효한 코드 서명 인증서를 보유한 상업용 프록시 에이전트 바이너리가 PBot 스틸러 페이로드를 내부에 은닉한 채 유포되고 있다. 76개 엔진 가운데 단 8개만이 이 파일을 탐지하는 상황에서, 샌드박스는 악성으로 분류하고 YARA 룰 네 개가 동시에 발화하는 역설적 구도가 펼쳐진다. CTX Team이 추적한 이번 캠페인은 세 가지 서명 전략을 계층적으로 배치한다 — 신뢰 루트가 없는 자가서명, 서명 없음, 그리고 완전히 유효한 상업 체인. 각 실행 단계마다 다른 신뢰 프로파일을 제시해 방어자의 탐지 스택에서 가장 취약한 고리를 순서대로 공략하는 구조다. 이 캠페인은 APT28에 귀속되며, 동기는 첩보 수집으로 기록돼 있다. 이 캠페인의 운영 핵심은 net_updater64.exe(SHA256: 9f4ed343...)다.
#APT28#PBot스틸러#코드서명악용#BrightDataSDK#KMS활성화도구#C2인프라#방어회피#첩보수집행위자APT28 · StrontiumIOCf4 · i2 · d7 · u1MITRE11
APT회원 전용2026년 6월 6일 11:07 (UTC+9)중국 법인 4곳, DigiCert 인증서 반복 취득해 RAT·애드웨어 동시 유포
중국에 등록된 법인 4곳이 각각 별도의 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 인증서를 취득해 Ludashi/Chinad 계열 애드웨어-트로이목마 혼합 페이로드와 PubNubRAT 임플란트를 유포하는 캠페인이 CTX Team의 분석을 통해 확인됐다. 이 캠페인의 핵심은 페이로드 자체의 기술적 정교함이 아니라, 코드서명 인증서를 반복 취득하는 운영 구조에 있다. 세 개의 현재 유효한 DigiCert G4 리프 인증서가 19개 파일 중 16개를 서명하고 있으며, 이 서명이 Zenbox 샌드박스로부터 일관되게 'harmless/CLEAN' 판정을 끌어내는 동안 AV 엔진은 동일 파일에 대해 21~35/76의 탐지율을 기록한다. 유효한 신뢰 체인이 동적 분석 환경을 무력화하는 구조적 비대칭이 이 캠페인의 작동 원리다.
#PubNubRAT#Ludashi#코드서명인증서남용#DigiCert#중국위협행위자#애드웨어#소프트웨어공급망공격#AS4837행위자FIN6 · Skeleton SpiderIOCf40 · i5 · d3 · u1MITRE18