FILE공개2026년 5월 31일 09:27 (UTC+9)Plesk 기본 인증서 하나가 LummaStealer C2 서버 8개 도메인 전체 노출
Let's Encrypt R12 인증서 하나가 LummaStealer 캠페인의 핵심 명령제어(C2) 인프라 전체를 한 줄로 꿰었다. 인증서 시리얼 5ee1c638d84322bfe85a6b9e451a954406e의 subject CN은 admiring-poincare.37-77-150-150.plesk.page — Plesk 제어 패널이 자동 생성하는 호스트명으로, 서버의 실제 IP 주소인 37.77.150.150을 그대로 인코딩하고 있다. 이 인증서는 bendavo.su, ozonelf.su, squatje.su, conxmsw.su, exposqw.su, narroxp.su, squeaue.su, vicareu.su 등 8개 .su 도메인과 호스팅 IP에 동시 적용돼 있으며, 모두 러시아 상트페테르부르크 소재 Proton66 OOO(ASN 198953)의 단일 서버 위에 올라간 가상 호스트다.
#LummaStealer#Proton66#명령제어인프라#PE64드로퍼#코드서명위조#LOLBin위장#스페인·멕시코표적#정보탈취악성코드IOCf18 · i1 · d9 · u17MITRE25지역ES · MX산업기술·IT
C&C회원 전용2026년 5월 31일 09:10 (UTC+9)DigiCert 서명 악용한 PBot 스틸러, Bright VPN 설치 경로 침투
DigiCert가 발급한 유효한 코드 서명 인증서로 서명된 윈도우 실행 파일이 Bright VPN과 DriverHub의 설치 경로에 심어진 채 상용 서비스 부문 엔드포인트를 표적으로 유포되고 있다. 파일 하나가 세 가지 독립적인 탐지 회피 계층을 동시에 가동한다는 점이 이 캠페인의 핵심이다. 합법적인 코드 서명 체인이 파일 수준 탐지를 억제하고, Dotfuscator 기반 .NET 난독화가 정적 분석을 무력화하며, 15개 IP로 구성된 화웨이 CDN 인증서 코호트가 C2 트래픽을 정상적인 기업 클라우드 통신으로 위장한다. 세 계층 각각이 단독으로도 단일 통제 기반 탐지 체계를 무너뜨릴 수 있는 수준이며, 이 셋이 동시에 작동한다는 사실이 이 캠페인의 운영 성숙도를 시사한다. CTX Team이 분류한 이 위협 클러스터(심각도 100, 신뢰도 80)는 2026년 5월 30일 처음 등록됐으며, 상용 서비스 산업을 유일한 표적 산업 태그로 달고 있다.
#PBot스틸러#BrightDataSDK#코드서명남용#공급망공격#화웨이CDN위장#Dotfuscator난독화#상용서비스산업#중국인프라IOCf41 · i17 · d2 · u0산업상업 서비스
C&C회원 전용2026년 5월 31일 08:55 (UTC+9)유효한 DigiCert 서명으로 15개월간 지속된 Ludashi 악성 배포 작전
DigiCert가 발급한 유효한 코드 서명 인증서로 서명된 16개의 윈도우 실행 파일이 중국어권 PC 최적화 소프트웨어 브랜드를 사칭해 지속적으로 유포되고 있다. 이 파일들은 VirusTotal에서 최대 38/77의 탐지율을 기록하고 있음에도 불구하고, 샌드박스 환경에서는 예외 없이 CLEAN 판정을 받는다 — 유효한 Authenticode 서명이 동적 분석 엔진의 악성 판정을 체계적으로 억제하고 있기 때문이다. CTX Team이 추적한 이 캠페인은 단순한 애드웨어 배포 사례를 넘어, 두 개의 중국 법인 명의로 획득한 DigiCert 인증서를 계층적으로 운용하고 CDN 프론팅 기반 명령제어(C2) 인프라를 구축한 성숙한 배포 운영 체계를 드러낸다. 이 캠페인의 가장 두드러진 특징은 코드 서명 인증서를 두 개의 별개 중국 법인 명의로 분리해 운용한다는 점이다.
#Ludashi#코드서명악용#DigiCert인증서#중국법인#애드웨어#CDN프론팅#샌드박스우회#윈도우악성코드행위자TA551 · ShathakIOCf32 · i23 · d5 · u2MITRE6
C&C회원 전용2026년 5월 31일 08:41 (UTC+9)Orange France 신규 IP·16년 된 베네수엘라 도메인으로 Upatre C2 인프라 확장
이전 보도에서 처음 식별된 Upatre 드로퍼 캠페인이 새로운 C2 인프라를 추가하며 활동을 이어가고 있다. 이번 업데이트에서 새로 확인된 파일 샘플은 없지만, C2 IP 1건과 도메인 2건, URL 경로 3건이 추가로 식별됐다. 이 중 가장 주목할 만한 것은 2025년 4월에야 RIPE에 할당된 Orange France AS 5511 소속 /24 블록(141.105.141.0/24)에 위치한 C2 노드 141.105.141.87과, 2009년에 등록된 뒤 2026년 4월에 새로 TLS 인증서를 발급받은 도메인 escolaresonline.com이다. 신규 파일 없이 인프라만 확장된 이번 업데이트는, 운영팀이 캠페인을 방치하지 않고 C2 노드를 능동적으로 유지·교체하고 있음을 보여주는 운영 신호다. 이번 캠페인의 핵심 파일은 SHA256 8df66778…cad894로 식별되는 41KB짜리 Win32 PE32 실행 파일이다.
#Upatre#C2인프라#OrangeFrance#베네수엘라도메인#미국미디어산업#드로퍼#브로드밴드IP악용#도메인재무장IOCf3 · i1 · d2 · u3MITRE17지역US산업미디어
APT공개2026년 5월 31일 08:29 (UTC+9)단일 DigiCert 인증서로 17개 악성 파일 묶은 2345 소프트웨어 트로이목마 2차 웨이브
DigiCert가 발급한 유효한 코드 서명 인증서 하나가 17개의 악성 Windows 실행 파일을 하나의 작전으로 묶고 있다. 인증서 일련번호 0D 7E F8 80 11 79 BF 12 A7 46 6F 7D A5 B3 27 7A — Shanghai 2345 Mobile Technology Co., Ltd. 명의로 2023년 4월 28일 발급되어 2026년 7월 7일까지 유효한 이 인증서는, 중국 내 수천만 명이 설치한 소비자용 보안 소프트웨어 '2345 SafeCenter'와 압축 유틸리티 'HaoZip'의 구성 파일로 위장한 페이로드 전체를 서명하는 데 사용됐다. 이전 보도(CTXyu677e6p2n)에서 SafeCenter 컴포넌트 일부를 다룬 이후, CTX Team은 동일 인증서로 서명된 11개의 신규 파일과 6개의 미서명 실행 파일, 그리고 2345 자체 CDN을 통해 배포되는 LZMA 압축 업데이트 패키지를 추가로 확인했다.
#2345소프트웨어#트로이목마#코드서명우회#SafeCenter#HaoZip#공급망공격#중국#애드웨어행위자APT28 · StrontiumIOCf17 · i43 · d1 · u2MITRE8
C&C회원 전용2026년 5월 31일 04:56 (UTC+9)피해자 브라우저 먼저 검사…교육·연구기관 겨냥 다층 우회 피싱 인프라 포착
교육·연구 기관을 표적으로 삼은 스피어피싱 캠페인이 CTX Team의 추적망에 포착됐다. 이 캠페인이 주목받는 이유는 단순히 피싱 링크를 뿌리는 방식이 아니라, 피해자의 브라우저 환경을 먼저 검사한 뒤 리다이렉트 여부를 결정하는 트래픽 분배 퍼널 구조 때문이다. 13개의 개별화된 URL은 모두 /tsf/126078 경로를 공유하며, 각각 고유한 base64 인코딩 파라미터(md=)를 통해 피해자의 화면 해상도, 세션 식별자, 브라우저 UA 문자열, 리퍼러 URL을 수집한다. 이 데이터가 운영자의 검증 기준을 통과해야만 다음 단계 — 자격증명 탈취 페이지 또는 페이로드 전달 — 로 이어지는 구조다. 여기에 DGA 태그가 붙은 도메인, 60초 TTL로 순환하는 8개의 A 레코드, 미분석 2차 도메인으로의 CNAME 리다이렉트, 그리고 자동 갱신되는 단명 TLS 인증서가 겹겹이 쌓여 있다.
#스피어피싱#교육·연구기관#트래픽분배퍼널#fast-fluxDNS#DGA#자격증명탈취#C2인프라#탐지우회IOCf0 · i2 · d1 · u13MITRE10산업교육·연구
APT회원 전용2026년 5월 31일 04:42 (UTC+9)인증서 하나로 18개월, 14개 악성 바이너리를 서명한 중국발 adware 캠페인
중국 청두(成都) 소재 법인 성도기로과기유한공사(成都奇鲁科技有限公司) 명의로 발급된 DigiCert 코드 서명 인증서 한 장이 2024년 11월부터 2026년 5월까지 최소 14개의 악성 PE 바이너리에 공통으로 사용됐다. 인증서 일련번호 0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98, 유효 기간 2024년 5월 21일~2027년 5월 20일 — 이 단일 Authenticode 서명이 AI 디스크 클리너, DLL 수리 도구, 메모리 최적화 유틸리티 등 최소 열 개의 브랜드 이름을 달고 유통된 Ludashi 계열 adware/트로이목마의 공통 신뢰 앵커 역할을 했다. 더 주목할 점은 타이밍이다. 이 인증서는 첫 번째 샘플이 VirusTotal에 관측되기 정확히 6개월 전에 발급됐다 — 배포 캠페인을 시작하기 전에 서명 신원을 미리 확보해 두는 사전 포지셔닝 패턴이다.
#Ludashi#코드서명악용#DigiCert인증서남용#중국adware#통신서비스부문#C2인프라#Tencent클라우드프론팅#Authenticode우회행위자FIN6 · Skeleton SpiderIOCf26 · i1 · d7 · u12MITRE10산업통신
FILE회원 전용2026년 5월 30일 23:44 (UTC+9)여섯 겹 회피막 두른 Vidar 변종, 이중 C2로 인도네시아 노렸다
인도네시아를 겨냥한 정보 탈취 캠페인에서 여섯 가지 안티 분석 기법을 중첩 적용한 Vidar 스틸러 변종이 확인됐다. 이 페이로드는 Telegram을 C2 설정 채널로, 두 개의 베어 IP 엔드포인트를 페이로드 스테이징과 데이터 유출 채널로 분리 운용하는 이중 C2 아키텍처를 채택하고 있다. 단순한 상용 스틸러의 배포처럼 보이지만, 그 내부에는 샌드박스와 디버거를 동시에 회피하는 다층 방어막, 암호화폐 지갑 브라우저 확장 프로그램을 정조준하는 수집 루틴, 그리고 캠페인 태그로 기능하는 공유 URI 경로가 정교하게 맞물려 있다. CTX Team이 이 캠페인을 추적한 결과, 단일 파일 IOC만으로도 운영팀의 전술적 선택을 상당 부분 재구성할 수 있었다. SHA256 9fa94a3f17c838980aaeeb6bcd747ec663cb44c198b7c69f52dd23f39d282c87로 식별된 이 파일은 1.41 MB 크기의 서명 없는 Win32 PE 실행 파일이다.
#Vidar스틸러#GoldEvergreen#인도네시아#이중C2#암호화폐지갑탈취#샌드박스회피#정보탈취#TelegramC2행위자Gold Evergreen · Business ClubIOCf1 · i0 · d0 · u4MITRE11지역ID
C&C회원 전용2026년 5월 30일 23:28 (UTC+9)Phorpiex 봇넷, 이중 C2로 우즈베키스탄 겨냥
우즈베키스탄을 겨냥한 Phorpiex 봇넷 캠페인에서 주목할 만한 인프라 설계가 포착됐다. 두 개의 C2 서버 — 러시아 상트페테르부르크 소재 Prospero OOO(AS200593)가 운영하는 91.202.233.141과, ASN 조회가 불가능한 세이셸 소재 185.215.113.66 — 가 각각 _1, _2, _3이라는 동일한 번호 경로 구조를 노출하고 있다. 두 노드가 서로 다른 등록 기관 관할권(RIPE NCC와 AFRINIC)에 분산 배치된 채 동일한 페이로드 스테이징 규약을 공유한다는 사실은, 이 캠페인이 단순한 일회성 배포가 아니라 가용성을 의식한 운영 설계 위에 구축돼 있음을 시사한다. Prospero OOO 노드는 Let's Encrypt가 발급한 89일짜리 단명 인증서로 ledgersinsured.com이라는 금융 서비스 도메인명을 TLS 커버로 두르고 있어, 저비용 합법성 위장이라는 추가적인 운영 보안 레이어가 확인된다.
#Phorpiex#봇넷#C2인프라#우즈베키스탄#랜섬웨어#클립보드탈취#ProsperoOOO#모듈형악성코드IOCf1 · i2 · d0 · u8MITRE47지역UZ
FILE회원 전용2026년 5월 30일 21:27 (UTC+9)FM2024 크랙 설치파일에 숨겨진 BYOVD 커널 드라이버와 XMRig 채굴기
피라티드 게임 설치파일을 위장 벡터로 삼아 커널 수준 방어 우회 기법과 암호화폐 채굴기를 동시에 배포하는 캠페인이 CTX Team의 분석을 통해 포착됐다. Football Manager 2024의 크랙 설치파일로 위장한 AutoIT 컴파일 드로퍼(48ca169ffec2ce7831b408c4f7c762d2714c40162093bbf25682092be4656565)는 내부에 LOLDrivers 목록에 등재된 취약 커널 드라이버 WinRing0x64.sys를 통째로 품고 있으며, 최종 페이로드로는 'Microsoft Windows'라는 이름의 자가서명 인증서를 달고 정품 윈도우 텔레메트리 프로세스를 사칭하는 XMRig 채굴기를 투하한다. 소비자용 소프트웨어 배포 채널, BYOVD 커널 접근, 인증서 위조라는 세 가지 기법을 단일 캠페인 패키지에 결합한 이 구성은 — 공식 귀속 동기가 '스파이 활동'으로 분류된 행위자에게서 관측된다는 점에서 — 분석적으로 주목할 만한 이례적 조합이다.
#Patchwork#BYOVD#XMRig#WinRing0x64#AutoIT드로퍼#커널드라이버악용#암호화폐채굴#통신서비스행위자Patchwork · ChinastratsIOCf16 · i0 · d0 · u0MITRE41지역AU · BR · CM · IT산업통신
FILE회원 전용2026년 5월 30일 21:15 (UTC+9)Adobe 플러그인 위장 악성코드, Lumma 스틸러·암호화폐 채굴기 동시 가동
adobe-plugin.info/yc.exe라는 경로 하나가 이 캠페인의 시작점이다. 도메인 이름은 Adobe 소프트웨어 업데이트를 연상시키도록 설계됐고, 그 경로 끝에 매달린 실행 파일의 내부 제품명은 'YCleanner', 파일명은 'YC.exe'다. 피해자가 이 파일을 내려받아 실행하는 순간, 자격증명 탈취와 암호화폐 채굴이 동시에 시작되는 다단계 페이로드 체인이 가동된다. CTX Team이 추적한 이 캠페인의 핵심은 단일 도메인이나 특정 악성코드 패밀리가 아니다 — 그 배후에서 작동하는 자동화된 빌드 파이프라인, 그리고 하나의 감염 호스트에서 두 가지 수익화 경로를 동시에 가동하는 이중 운영 구조가 이 캠페인을 분석적으로 주목할 만하게 만든다. 이 캠페인의 가장 선명한 기술 지문은 'trojan.genericfca/binder ZIP dropper cluster'라고 명명된 다섯 개의 ZIP 파일에서 드러난다.
#BlueBottle#Lumma스틸러#CoinMiner03#Adobe위장악성코드#다단계드로퍼#암호화폐채굴#자격증명탈취#Nitol행위자BlueBottle · Opera1erIOCf13 · i0 · d1 · u1지역US
APT회원 전용2026년 5월 30일 20:24 (UTC+9)게임 크랙 위장 CyberGate RAT, 9개국 교육·통신 부문 표적 공격
피라티드 게임 콘텐츠를 미끼로 삼아 원격 접속 트로이목마(RAT)를 유포하는 캠페인이 유럽, 동남아시아, 북미에 걸친 9개국 교육·통신 부문을 표적으로 삼고 있다. CTX Team이 추적 중인 이 캠페인의 핵심 페이로드는 Rebhip(CyberGate·Spynet으로도 탐지)으로, sims4update.exe, setup_TS4.exe, anadius64.exe 등 The Sims 4 업데이터·설치파일로 위장한 PE32 실행 파일 세 종을 전달 수단으로 사용한다. 단순한 파일명 위장에 그치지 않고 NSIS 자가 압축 해제 드로퍼, 샌드박스·디버거 능동 탐지, XOR 난독화 PE 스텁이라는 다층 회피 스택을 구축했다는 점이 이 캠페인의 가장 두드러진 기술적 특징이다.
#Snowglobe#CyberGate#Rebhip#원격접속트로이목마#교육기관#통신사업자#NSIS드로퍼#DDNS악용행위자Snowglobe · Animal FarmIOCf10 · i0 · d1 · u1MITRE41지역BE · LT · PL · RS산업교육·연구 · 통신
FILE회원 전용2026년 5월 30일 17:21 (UTC+9)구매 발주서 위장 ZIP에 숨긴 XWorm, 3단계 탐지 우회로 21개국 침투
2026년 5월 7일, 에너지·제조·통신·운송 등 7개 산업군에 걸쳐 21개 국가의 조직을 겨냥한 피싱 캠페인이 처음 관측됐다. 표면적으로는 평범한 구매 발주 요청(RFQ) 이메일이었지만, 첨부된 ZIP 파일(63a094…, 689 KB) 안에는 단 하나의 .bat 파일이 들어 있었고, 그 파일명은 'RFQ - Purchase Order #POTT40494820.bat'였다. 이 .bat 파일이 실행되면 PEiD로 패킹된 .NET PE32 페이로드(88d52e…, 760 KB)가 투하되며, 이후 세 겹의 탐지 우회 절차를 거쳐 XWorm RAT과 SpyEx, KeyloggerGeneric이 피해 시스템에 자리를 잡는다. CTX Team이 이 캠페인을 추적한 결과, 단순한 상용 RAT 배포를 넘어 탐지 파이프라인의 작동 원리를 이해하는 운영자가 설계한 다층 우회 체계가 확인됐다. --- 이 캠페인의 초기 접근 경로는 이메일 첨부 파일이다.
#XWorm#스피어피싱#구매발주서위장#탐지우회#에너지·제조·통신#RAT#키로거#다단계페이로드IOCf4 · i1 · d0 · u1MITRE40지역AL · AU · BD · CA산업에너지 · 제조 · 소매·유통
FILE회원 전용2026년 5월 30일 11:53 (UTC+9)Reason Cybersecurity 인증서 악용 .NET 페이로드, 76개 엔진 전원 미탐지
Reason Cybersecurity Inc. 명의의 유효한 DigiCert 코드 서명 인증서(시리얼 07 8A A6 13 E0 E5 D5 AB 31 96 67 B9 3D 2B 96 73)로 서명된 .NET 페이로드 번들 5종이 단 한 차례의 서명 세션에서 생성돼 VirusTotal 기준 76개 엔진 전원 미탐지를 기록하고 있다. 이 번들은 BitTorrent Inc. 서명이 붙은 트로이목마 uTorrent 설치 파일을 1차 진입로로 삼아 AWS CloudFront 배포 서브도메인을 통해 전달되며, 아이슬란드·싱가포르·루마니아에 걸친 CDN 위장 C2 인프라와 통신한다. CTX Team이 추적한 이 캠페인은 LummaStealer 패밀리와 연관된 자격증명 탈취 작전으로, 합법적 코드 서명 채널을 통한 EDR 우회와 PE 타임스탬프 조작을 결합한 성숙한 배포 체계를 보여준다. 이 캠페인이 주목받는 이유는 탐지 회피 기법의 조합 자체에 있다.
#LummaStealer#코드서명악용#ReasonCybersecurity#자격증명탈취#AWSCloudFront#EDR우회#PE타임스탬프조작#CDN위장C2IOCf67 · i4 · d1 · u0MITRE49지역AE · AR · AT · AU산업컨설팅 · 교육·연구 · 통신
APT회원 전용2026년 5월 30일 10:44 (UTC+9)Chrome 사칭 macOS 악성코드, 76개 백신 전량 우회…정부 표적 공격
Apple Developer 체인으로 서명됐지만 구조적으로 불완전한 두 개의 macOS 실행 파일이 정부 부문 표적을 향해 유포되고 있다. 두 파일 모두 Google LLC 명의의 Apple 발급 코드 서명 인증서(일련번호 B4 A9 AB 6D DC DB 7B, 지문 765BB3620A0F7A33500DA39B20122B1CEC41140F)를 공유하며, 번들 식별자로 각각 com.google.Chrome.helper와 com.google.Chrome을 내세운다. 그러나 두 파일 모두 코드 서명 검증 결과는 MissingPlist — Info.plist가 존재하지 않는 불완전한 서명 번들이라는 의미다. Gatekeeper의 전체 번들 유효성 검사를 통과하지 못하는 구조임에도 불구하고, VirusTotal 기준 76개 보안 엔진 전체가 이 파일들을 악성으로 분류하지 않았다.
#Cactus#macOS악성코드#Mach-O#코드서명우회#정부부문#DNS-over-HTTPS#Cloudflare프록시#Chrome사칭행위자Cactus · Cactus Ransomware GroupIOCf2 · i2 · d4 · u4MITRE5산업정부·공공
FILE회원 전용2026년 5월 30일 07:30 (UTC+9)9일 만에 C2 도메인 2개 추가…템플릿화된 인프라 확장 포착
이전 보도(이전 보도)에서 CTX Team은 ORYON TECH LIMITED 명의의 Sectigo EV 코드 서명 인증서로 묶인 'AW Manager' 애드웨어 설치 체인을 추적했다. 이번 관측 주기에서 확인된 가장 큰 변화는 페이로드가 아니라 인프라다. 2026년 5월 12일부터 21일 사이 단 9일 간격으로 두 개의 신규 C2 도메인이 동일한 템플릿 워크플로우로 프로비저닝됐고, 이와 별개로 Omegatech LTD(ASN 202412) 소속의 원시 IP 엔드포인트 158.94.209.95가 페이로드 전달 채널로 새롭게 등장했다. 파일 지표 10개가 추가됐고, 그 중에는 CryptOne 패킹 기반의 고탐지율 세컨더리 드로퍼와 모든 AV 엔진을 우회하는 암호화 DLL이 포함돼 있다. 이전 보도가 다룬 EV 서명 애드웨어 체인은 그대로 유지된 채, 그 위에 더 공격적인 페이로드 레이어가 얹혔다.
#ORYONTECHLIMITED#AWManager#CryptOne#pay-per-install#C2인프라#코드서명인증서악용#애드웨어#OmegatechLTDIOCf23 · i1 · d3 · u6MITRE31지역BR · EG · GB · PL산업기술·IT
C&C회원 전용2026년 5월 30일 07:04 (UTC+9)GlobalSign EV 인증서 악용 WireVPN 트로이목마, 커널 드라이버까지 투하
GlobalSign이 발급한 EV(Extended Validation) 코드 서명 인증서 하나가 세 개의 악성 PE32 바이너리를 묶어 단일 신뢰 체인으로 위장하고 있다. 인증서 일련번호 03 A9 18 8A A5 10 C0 F8 34 34 26 BF — WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의로 2023년 4월 26일 발급돼 2026년 4월 26일 만료된 이 인증서는, 만료 전 마지막 수개월 동안 WireVPN 브랜드 인스톨러(f5111a55…), 핵심 프록시 바이너리 wire.exe(6729c713…), 업데이터 upWire.exe(90b89a6d…)에 차례로 서명되며 엔드포인트 보안 경고를 억제하는 데 활용됐다.
#WireVPN#PBot스틸러#EV인증서악용#커널드라이버#BrightDataSDK#코드서명우회#다중C2인프라#공급망신뢰악용행위자Sprite Spider · Gold DupontIOCf27 · i27 · d94 · u12MITRE24
APT회원 전용2026년 5월 30일 06:22 (UTC+9)중국 법인 명의 DigiCert 인증서 하나로 15개 악성 파일 서명, 12개월 운영
성도(成都) 소재 중국 법인 성도기로과기유한공사(成都奇鲁科技有限公司)의 이름으로 DigiCert가 발급한 코드 서명 인증서 하나가 12개월에 걸쳐 15개의 악성 PE32 실행 파일에 서명하는 데 사용됐다. Ludashi, Chinad, Doina, Jaik, Fragtor, Tedy — 여섯 개의 위협 패밀리 레이블을 달고 유포된 이 페이로드들은 LuDaShi, LdsLite, ShieldDocs, AISmartClean, ProZip 같은 중국산 유틸리티 소프트웨어 브랜드를 위장 껍데기로 삼았다. 인증서 일련번호 0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98, 지문 EC5BB0C4BE5D6F7CD9D863D6585CF1F3EF58FDA0 — 이 인증서는 2027년 5월 20일까지 유효하며, 현재도 폐기되지 않은 상태다.
#코드서명인증서남용#DigiCert#Ludashi#PUA캠페인#중국위협행위자#SaltySpider#인포스틸러#중국인프라행위자Group123 · Venus 121IOCf23 · i5 · d2 · u0MITRE16
FILE회원 전용2026년 5월 30일 01:34 (UTC+9)5년간 동결된 빌더, XRed RAT 운영자의 인프라는 여전히 살아있다
freedns.afraid.org의 TLS 인증서가 2026년 5월 27일 갱신됐다. 발급 기관은 Sectigo Public Server Authentication CA DV R36, 일련번호는 b037fc4e3839a40346d742680516642b. 이 인증서가 붙어 있는 IP 주소 69.42.215.252는 유타주 오그든에 본사를 둔 소규모 호스팅 사업자 objx.net, LLC(AS 33333)의 블록 안에 있다. 91개 보안 엔진 가운데 단 1개만이 이 IP를 악성으로 분류한다. 그러나 이 IP와 연결된 파일 세 개는 VirusTotal에서 57~67개 엔진에 의해 탐지되며, 그 중 두 개는 RussianPanda가 작성한 YARA 룰 mal_xred_backdoor의 직격을 받는다.
#XRedRAT#DarkKomet#klovbot#몰도바기술분야#dynamic-DNS악용#빌더재사용#샌드박스회피#C2인프라IOCf16 · i1 · d0 · u0MITRE24지역MD산업기술·IT
C&C회원 전용2026년 5월 30일 00:50 (UTC+9)세이셸 등록 AS에서 순번 C2 패널 두 개 — 인포스틸러 인프라 구조 노출
이전 보도(이전 보도)에서 SmokeLoader와 Rhadamanthys를 축으로 한 킬체인의 윤곽이 확인됐다면, 이번 분석에서 새롭게 드러난 것은 그 킬체인을 떠받치는 C2 인프라의 구조다. 세이셸에 법인 주소를 둔 Omegatech LTD(AS202412)의 IP 두 개가 각각 /cvdfnaFJBmC1/index.php와 /cvdfnaFJBmC2/index.php라는 순번 붙은 패널 경로를 서빙하고 있으며, 두 RIPE 할당은 불과 한 달 간격(2025년 8월 19일, 9월 19일)에 생성됐다. 이와 별도로 세 번째 IP(AS214351, Femo IT Solutions)는 89일짜리 단명 Let's Encrypt 인증서로 도메인 id0945.cfd를 제시하며 이 캠페인에서 가장 높은 악성 평판 점수(-72)를 기록하고 있다. 세 IP 모두 이번에 처음 식별된 신규 인프라다.
#SmokeLoader#Rhadamanthys#C2인프라#인포스틸러#bulletproof호스팅#Exodus지갑#Telegram세션탈취#스페인행위자APT28 · StrontiumIOCf34 · i3 · d0 · u4MITRE49지역ES
APT회원 전용2026년 5월 30일 00:33 (UTC+9)SmokeLoader 캠페인, 카드 체커 미끼로 이중 초기 접근 벡터 확장
스페인을 겨냥한 SmokeLoader 기반 정보 탈취 캠페인이 새로운 국면에 접어들었다. 이전 보고(이전 보고)에서 확인된 순차 번호 C2 패널 경로와 Omegatech 인프라 클러스터가 여전히 가동 중인 가운데, 이번 업데이트에서는 일곱 개의 신규 파일 지표가 추가됐고 세 개의 C2 IP 전체가 교체됐다. 가장 주목할 변화는 초기 접근 벡터의 이중화다. 'CreditCard Checker by Mirai.exe'라는 이름의 트로이목마 카드 체커 도구(trojan.marsilia)가 기존 SmokeLoader 드로퍼와 병렬로 배포되고 있으며, 탈취된 피해자 데이터에는 Exodus 암호화폐 지갑 시드 키, FileZilla FTP 자격증명, Telegram 세션 데이터가 '@MERCEDESLOGS' 로그 마켓플레이스 브랜딩과 함께 패키징돼 있다.
#SmokeLoader#APT39#인포스틸러#스페인#불릿프루프호스팅#Exodus지갑탈취#카드체커루어#로그마켓플레이스행위자APT39 · ChaferIOCf35 · i3 · d0 · u5MITRE48지역ES
C&C회원 전용2026년 5월 29일 20:56 (UTC+9)6년 된 Phorpiex, 3중 회피로 샌드박스 속이고 암호화폐 지갑 탈취
카자흐스탄의 교육기관과 정부 기관을 겨냥한 Phorpiex 봇넷 드로퍼가 2026년 3월 이후 꾸준히 활성 상태를 유지하고 있다. 이 캠페인이 주목받는 이유는 단순한 악성코드 유포가 아니다 — 샌드박스 DLL 후킹 감지, 장시간 슬립 딜레이, Windows Defender 레지스트리 비활성화라는 세 겹의 회피 기법을 순차적으로 실행한 뒤, ClipBanker 페이로드가 피해자의 클립보드에서 암호화폐 지갑 주소를 조용히 교체하는 구조다. CTX Team이 분석한 샘플(SHA-256: 81dab278...)은 VirusTotal에서 76개 엔진 중 57개가 탐지했지만, Zenbox 샌드박스는 99% 신뢰도로 'CLEAN' 판정을 내렸다 — 회피 기법이 실제 분석 환경에서 성공했다는 직접적인 증거다. 이 드로퍼가 처음 VirusTotal에 등장한 것은 2019년 7월 22일이다.
#Phorpiex#ClipBanker#암호화폐탈취#샌드박스회피#카자흐스탄#교육·정부기관#USB웜#C2인프라IOCf8 · i1 · d0 · u10MITRE36지역KZ산업교육·연구 · 정부·공공
APT회원 전용2026년 5월 29일 19:27 (UTC+9)DigiCert 인증서 두 개로 무장한 Ludashi, 통신사 노린다
성도(成都)에 등록된 두 개의 별개 법인이 각각 DigiCert Trusted G4 코드 서명 인증서를 취득해 29개 윈도우 실행 파일에 유효한 Authenticode 서명을 입히고 있다. 인증서 일련번호 0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98(성도기로과기유한공사, 成都奇鲁科技有限公司, 유효기간 2024년 5월~2027년 5월)과 0D 16 29 35 15 97 69 FC C4 B5 02 55 64 86 C8 07(성도적협정보과기유한공사, 成都赤侠信息科技有限公司, 유효기간 2025년 8월~2028년 8월) — 두 인증서는 각각 15개, 5개 파일을 커버하며 동시에 유효 상태를 유지하고 있다. 이 이중 서명 구조는 단순한 중복이 아니다. 한쪽 인증서가 폐기되더라도 나머지 클러스터가 즉시 작동을 이어갈 수 있도록 설계된 취소 내성(revocation resilience) 아키텍처다.
#FIN6#TA428#lockergoga#ncctrojan#lummastealer#Telecommunications행위자FIN6 · Skeleton SpiderIOCf29 · i2 · d4 · u4MITRE6산업통신
APT회원 전용2026년 5월 29일 18:20 (UTC+9)취소 인증서로 1/76 탐지율…세 번째 서명 정체성 등장
중국발 PC 최적화 소프트웨어로 위장한 애드웨어 캠페인이 새로운 국면으로 접어들었다. 이전 보도에서 확인된 두 개의 DigiCert 코드 서명 인증서 체계에 더해, 이번에는 이미 취소(revoke)된 Certum 인증서를 보유한 세 번째 중국 법인 — 深圳市禹仁科技有限公司 — 이 서명한 ProZip 브랜드 샘플 두 건이 2026년 5월 23일 처음 관측됐다. 분석 시점 기준 불과 6일 전에 등장한 이 페이로드(449d28… 및 9f32ea…)는 VirusTotal에서 각각 1/76, 21/76의 탐지율을 기록했다 — 인증서가 이미 취소 상태임에도 대다수 스캐닝 엔진이 이를 무해한 서명으로 처리했다는 의미다. 이와 함께 CTX Team은 2026년 2월 단 20일 간격으로 자동 프로비저닝된 완전 미러링 이중 C2 도메인 아키텍처(whnuowo.cn / tjbxldkj.cn)를 확인했다.
#FIN6#SaltySpider#lockergoga#lummastealer#sality행위자FIN6 · Skeleton SpiderIOCf26 · i11 · d10 · u8MITRE16
APT회원 전용2026년 5월 29일 17:53 (UTC+9)유령 법인 4곳·DigiCert 중간 CA 하나로 무장한 중국발 서명 공급망 공격
##코드 서명 공급망을 무기화하다: 네 개의 유령 법인과 DigiCert 중간 CA 성도(成都)와 천진(天津)에 등록된 네 개의 중국 법인이 DigiCert의 동일한 중간 인증기관(CA)을 통해 코드 서명 인증서를 발급받아 17개의 악성 페이로드에 유효한 Authenticode 서명을 부여하고 있다. 이 서명들은 텐센트 미팅(腾讯会议), ZXStoreX, WinClean, MangoZip 등 중국어권 사용자에게 친숙한 소프트웨어를 사칭한 설치 파일에 적용됐으며, 페이로드 배포 인프라 전체는 2025년 3월 10일 단 하루 만에 일괄 등록된 xhyktech.com 서브도메인 10개 위에 구축됐다. 서명 법인의 교체, 의도적인 PE 헤더 조작, 그리고 Alibaba CDN 명명 규칙을 모방한 도메인 설계가 결합된 이 구조는 단순한 악성코드 배포를 넘어 탐지 회피를 위한 체계적인 운영 설계를 보여준다.
#Patchwork행위자Patchwork · ChinastratsIOCf20 · i8 · d10 · u52MITRE18
FILE회원 전용2026년 5월 29일 14:42 (UTC+9)EV 인증서 하나로 악성 파일 4종 세탁…PPI 배포망 정밀 해부
'ORYON TECH LIMITED' 명의로 Sectigo가 발급한 단 하나의 확장 검증(EV) 코드 서명 인증서가 2026년 4월 23일 오전 8시 36분, PE32·PE32+·MSI 형식의 악성 페이로드 4종에 동시 서명됐다. 인증서 일련번호 21 E3 D5 C7 00 22 7E A0 2E E6 84 AF 4F 8F 88 40으로 묶인 이 파일들은 'Advanced Windows Manager', 'Windows Manager', 'Windows Updater'라는 이름을 달고 C:\Program Files (x86)\AW Manager\Windows Manager\ 경로에 설치되며, 서명 기반 엔드포인트 탐지를 정면으로 우회한다.
#ORYONTECHLIMITED#GCleaner#EvilCh/CryptOne#EV인증서남용#PPI배포망#자격증명탈취#영국·이집트#코드서명우회IOCf23 · i1 · d3 · u7MITRE48지역EG · GB산업기술·IT
C&C회원 전용2026년 5월 29일 14:28 (UTC+9)64비트 재컴파일로 탐지율 9/76…PBot 스틸러 빌드 전환 포착
이전 보도에서 CTX Team이 추적해 온 VPN 루어 기반 PBot 스틸러 캠페인에서 주목할 만한 변화가 포착됐다. 이전 보도 이후 새로 관측된 페이로드 가운데 가장 분석적으로 유의미한 신호는 단 하나의 파일에서 나온다. 2026년 5월 19일 처음 제출된 9f4ed343…은 이 캠페인 전체 파일셋에서 유일한 PE32+(x86-64) 바이너리로, 기존 세 개 샘플이 공유하던 imphash 코호트(a4383347bad6319cb6d1cefa3c6272d8)에서 이탈해 고유한 imphash(80b88097eceef6162a6c3b306393fca5)를 갖는다. 탐지율은 9/76으로 Bright Data Ltd / DigiCert G4 계열 net_updater 패밀리 전체에서 가장 낮다.
#ramnit#beaconIOCf9 · i28 · d51 · u6MITRE23
APT회원 전용2026년 5월 29일 10:16 (UTC+9)Ludashi 캠페인, 클라우드 역방향 프록시로 이중 C2 채널 구축
2026년 2월 25일, 중국 도메인 등록 대행사 阿里云计算有限公司（万网）를 통해 등록된 tjbxldkj.cn 아래 서브도메인 4개가 단일 와일드카드 DV 인증서(시리얼 14f471254a8d311d67b56086c621dd86, 발급사 iTrust DV TLS CA)를 공유하며 동시에 프로비저닝됐다. 설정 수신, 업데이트 폴링, 기기 식별 텔레메트리를 각각 담당하는 기능 분화된 엔드포인트들이 단일 인증서 아래 일제히 배치된 것은 임시방편적 도메인 재활용이 아니라 목적 설계된 다중 엔드포인트 명령제어(C2) 아키텍처가 새로 가동됐음을 의미한다. 이와 동시에 dllfix.cn 서브도메인 쌍은 전혀 다른 방식의 은폐 계층을 도입했다 — ss.dllfix.cn은 Tencent API Gateway의 OV 인증서(SAN *.tencentcnapigw.com)를, api.dllfix.cn은 bluewhalechat.com 명의의 RapidSSL 인증서를 각각 제시하며 실제 백엔드를 TLS…
#TA551#icedid행위자TA551 · ShathakIOCf19 · i21 · d6 · u7MITRE12
APT회원 전용2026년 5월 29일 10:04 (UTC+9)15년 묵은 도메인 3개, 17일 만에 Emotet C2 인프라로 부활
2026년 4월 17일부터 5월 4일까지, 불과 17일 사이에 세 개의 오래된 닷컴 도메인이 일제히 새 TLS 인증서를 발급받았다. frituraslavictoria.com(2008년 11월 등록), henneli.com(2008년 1월 등록), heyfoxcomic.com(2007년 11월 등록) — 각각 15년에서 18년의 역사를 지닌 이 도메인들은 오랜 기간 양성 사이트로 분류돼 있었다. CTX Team이 이번에 포착한 것은 단순한 도메인 재활용이 아니다. 세 노드 모두 89일짜리 Let's Encrypt 인증서를 자동화된 ACME 방식으로 발급받았고, 노르웨이와 미국의 공유 호스팅 인프라 위에 페이로드 스테이징과 C2 엔드포인트를 구축했으며, 그 중 하나는 Cloudflare 리버스 프록시 뒤에 숨어 원본 서버를 완전히 차단했다.
#EmotetGroup#emotet행위자Emotet Group · TA542IOCf3 · i2 · d3 · u6지역CL
APT회원 전용2026년 5월 29일 09:53 (UTC+9)CDN 인증서로 위장한 VjW0rm, 크랙 설치파일 통해 3중 C2 인프라 운용
이전 보도 이후 이 캠페인의 파일 지표 9건과 C2 IP 1건이 새로 추가됐다. 핵심 전달 메커니즘은 변하지 않았다 — Wondershare Dr.Fone의 크랙 설치파일로 위장한 NSIS 드로퍼가 VjW0rm JavaScript 웜을 투하하고, 세 개의 서로 다른 ASN에 분산된 C2 서버들이 Akamai·Alibaba CDN·Tencent myqcloud의 와일드카드 SAN 인증서를 제시하며 비컨 트래픽을 정상 CDN 흐름 속에 숨긴다. 이번 업데이트에서 주목할 변화는 새로 추가된 IP 155.102.212.191(ASN 24429, Zhejiang Taobao/Alibaba Cloud)이 세 번째 CDN 브랜드 위장 노드로 합류하면서 이 인프라 패턴이 완성됐다는 점이다. 위협 피드에서 TA2541(Operation Layover)로 분류된 이 클러스터는 이집트·프랑스·루마니아·미국을 표적 지역으로 기록하고 있으며, 현재까지 활성 상태가 유지되고 있다.
#TA2541#VjW0rm#피라티드소프트웨어#CDN위장C2#NSIS드로퍼#TLS인증서악용#동적DNS#이집트·프랑스·루마니아·미국행위자TA2541 · Operation LayoverIOCf17 · i3 · d1 · u2지역EG · FR · RO · US
FILE회원 전용2026년 5월 29일 06:45 (UTC+9)단일 .NET 빌더가 AgentTesla·XWorm 동시 생산 — 동일 imphash로 확인
단일 .NET 빌더 키트가 정보 탈취형 악성코드와 원격 접근 트로이목마(RAT)를 동시에 생산하고 있다는 사실이 CTX Team의 분석을 통해 확인됐다. 핵심 증거는 imphash f34d5f2d4577ed6d9ceec516c1f5a744 — AgentTesla PE(2cbe0104)와 XWorm PE(aaeb85c0), 서로 다른 패밀리로 분류된 두 파일이 동일한 값을 공유한다. 같은 빌드 템플릿에서 컴파일됐다는 뜻이다. 여기에 PEiD 패킹이 두 파일 모두에 균일하게 적용돼 있어, 난독화 처리까지 빌더 수준에서 자동화돼 있음을 시사한다. 이 캠페인은 모로코와 튀르키예의 숙박·레저 및 기술 업종을 겨냥하고 있으며, C2 트래픽은 2026년 4월 1일 RIPE에 등록된 신규 튀르키예 클라우드 IP(203.202.232.149, ASN 44382)를 통해 라우팅된다 — 페이로드 첫 관측 시점보다 불과 26일 앞서 프로비저닝된 인프라다.
#agenttesla#HospitalityLeisure#TechnologyIOCf21 · i1 · d0 · u1MITRE41지역MA · TR산업숙박·레저 · 기술·IT
APT회원 전용2026년 5월 29일 05:53 (UTC+9)DigiCert 인증서 하나로 14개월·18개 악성 빌드 — 폐기 없이 진행 중
성도(成都) 소재 법인 成都奇鲁科技有限公司 명의로 발급된 DigiCert 코드 서명 인증서(시리얼 0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98, 유효기간 2024년 5월 21일~2027년 5월 20일)가 현재까지 단 한 차례도 폐기되지 않은 채 18개의 악성 PE 빌드에 서명하는 데 쓰이고 있다. 첫 빌드가 VirusTotal에 등장한 2024년 11월부터 가장 최근 샘플이 관측된 2026년 1월까지 — 14개월이 넘는 기간 동안 운영자는 인증서를 교체할 필요조차 느끼지 못했다. 그 결과 모든 서명 바이너리는 Windows Authenticode 검증을 통과하고, 샌드박스 환경에서는 일관되게 클린 판정을 받으며, 탐지율은 세대를 거듭할수록 낮아지고 있다.
#FIN6#TA428#Group123#lockergoga#ncctrojan#lummastealer행위자FIN6 · Skeleton SpiderIOCf60 · i27 · d4 · u1MITRE13
FILE회원 전용2026년 5월 29일 02:45 (UTC+9)2081년 위조 타임스탬프로 위장한 스틸러, 7개국 의료기관 동시 침투
2026년 3월부터 5월 사이, 벨기에·인도·이탈리아·스리랑카·파키스탄·튀니지·미국의 의료 기관을 표적으로 삼은 .NET 기반 스틸러/트로이목마가 꾸준히 관측되고 있다. 이 악성코드가 주목받는 이유는 단순한 탐지 회피 수준을 넘어서는 정교한 안티포렌식 설계에 있다. PE 컴파일 타임스탬프를 2081년 5월 5일로 위조해 타임라인 기반 트리아지를 무력화하고, 런타임 리졸빙 패커로 정적 분석을 차단하며, 샌드박스 타이밍 회피와 디버거 탐지를 중첩 적용한 이 페이로드는 CTX Team이 추적해 온 캠페인 가운데 의료 섹터를 향한 가장 정교한 회피 스택 중 하나로 분류됐다. Contabo 호스팅 C2 서버(154.12.226.43)와의 통신에는 2019년에 만료된 자가서명 인증서가 2026년 현재까지 그대로 사용되고 있으며, 이 인증서 지문은 AsyncRAT과 DCRat 두 RAT 패밀리의 C2 패턴을 동시에 매칭하는 IDS 룰 3건에 의해 독립적으로 확인됐다.
#HealthcareIOCf3 · i1 · d0 · u1MITRE24지역BE · IN · IT · LK산업헬스케어
APT회원 전용2026년 5월 29일 01:53 (UTC+9)합법 서명 뒤에 숨은 모듈형 애드웨어, 중국 법인 3곳이 단일 빌드 파이프라인 공유
DigiCert G4 코드 서명 인증서로 서명된 20개의 윈도우 PE32 파일이 DupsClean, LargeFileClean, BirdWallpaper, BlueDoveUnist('소란비극속卸载') 등 소비자용 유틸리티·엔터테인먼트 소프트웨어로 위장해 유포되고 있다. 세 개의 중국 법인 명의로 발급된 인증서가 모든 구성 요소에 체계적으로 적용됐으며, 20개 IP로 구성된 중국 CDN 풀이 단일 Sectigo 와일드카드 TLS 인증서로 묶여 명령제어(C2) 및 업데이트 채널을 제공한다. 특히 archelper.dll의 한 변종이 C2AE 샌드박스에서 PubNubRAT으로 분류된 점은, 이 캠페인이 단순 애드웨어를 넘어 원격 접근 역량을 내포하고 있을 가능성을 시사한다. CTX Team은 이 캠페인을 심각도 100, 신뢰도 80으로 분류된 위협으로 등록했다. --- 이 캠페인의 가장 두드러진 특징은 합법적인 코드 서명 인프라를 체계적으로 남용한다는 점이다.
#APT33#shapeshift#icedid행위자APT33 · MagnalliumIOCf41 · i77 · d3 · u2MITRE15
FILE회원 전용2026년 5월 28일 23:13 (UTC+9)IE5 캐시 경로 위장한 Amadey, 11개국 교육·연구기관 자격증명 탈취
2026년 5월 7일, VirusTotal에 처음 제출된 2MB 크기의 Win32 실행 파일 하나가 CTX Team의 레이더에 포착됐다. 서명 체인이 끊긴 채 유포된 이 PE32 바이너리(SHA256: 2368e264cafd9c6699c2ef958e873926b7f7575e52318c705127a166e4ab53dc)는 76개 엔진 가운데 53개가 악성으로 분류했고, CAPE Sandbox와 Zenbox는 독립적으로 Amadey 패밀리를 명시했다. 페이로드는 IE5 브라우저 캐시 경로를 위장 통로로 삼아 피해 시스템에 안착한 뒤, 도메인 해석 없이 IPv4 주소로 직접 C2와 통신하며 자격증명 수집 모듈을 내려받는 구조를 취하고 있다. 배후로 지목된 인프라는 세이셸 등록 법인이 운영하는 ASN 202412(Omegatech LTD) 블록 내 단일 노드로, 이미 Spamhaus DROP 목록에 올라 있는 bulletproof-adjacent 호스팅 환경이다.
#APT28#EducationResearch행위자APT28 · StrontiumIOCf2 · i1 · d0 · u1MITRE25지역BA · BO · CO · IN산업교육·연구
FILE회원 전용2026년 5월 28일 22:59 (UTC+9)9년 만료 인증서로 무장한 Process Hacker 2, 절반의 백신 여전히 통과
2016년 3월 28일과 29일, 오픈소스 개발자 'Wen Jia Liu'는 자신이 만든 Windows 프로세스 관리 유틸리티 Process Hacker 2의 배포 바이너리에 DigiCert 코드 서명 인증서를 찍었다. 그 인증서는 2017년 1월 4일에 만료됐다. 그로부터 9년이 지난 2026년 5월, CTX Team은 그 만료된 서명 체인을 그대로 달고 있는 17개 파일이 하나의 통합 패키지로 조립돼 유포되고 있음을 확인했다 — 메인 GUI 실행 파일(x86·x64), LOLDrivers 목록에 등재된 커널 드라이버, PE 뷰어, 그리고 네트워크 정찰·서비스 열거·하드웨어 인벤토리·샌드박스 탐지 기능을 갖춘 13개 플러그인 DLL이 단일 아카이브 경로 아래 묶인 채로. 만료된 Authenticode 서명이 9년 뒤에도 AV 탐지율을 절반 이하로 억제하고 있다는 사실 자체가 이 캠페인의 핵심 메시지다. --- 이 캠페인의 응집력은 네트워크 인프라가 아니라 코드 서명 레이어에 있다
#RoyalRansomware#CommentCrew#glasses#prochack행위자Royal Ransomware · Team OneIOCf19 · i0 · d0 · u0MITRE10
C&C회원 전용2026년 5월 28일 22:40 (UTC+9)DigiCert 서명 인증서 악용한 2345SafeCenter 트로이목마, 샌드박스 전면 무력화
2026년 3월 18일을 기점으로 단일 빌드 이벤트에서 생성된 아홉 개의 PE32 실행 파일이 중국 소비자 보안 소프트웨어 2345SafeCenter의 정식 설치 트리를 그대로 흉내 낸 채 유포되고 있다. 이 파일들 가운데 네 개는 DigiCert Trusted G4 체인으로 발급된 현재 유효한 코드 서명 인증서(일련번호 0D 7E F8 80 11 79 BF 12 A7 46 6F 7D A5 B3 27 7A, 유효 기간 2026년 7월 7일까지)를 달고 있으며, 이 서명 덕분에 샌드박스 분석 환경에서 악성 판정을 단 한 건도 받지 않았다. AV 탐지율이 최대 38/76에 달함에도 자동화 분석 파이프라인이 사실상 무력화된 것이다. 서명된 바이너리에 대한 신뢰 기반 방어 체계가 어떻게 공격자의 은폐 도구로 전환될 수 있는지를 보여주는 이 캠페인은, 페이로드 자체보다 그것을 감싸는 회피 아키텍처가 훨씬 더 정교하게 설계돼 있다는 점에서 주목할 만하다.
#SaltySpider#sality행위자Salty Spider · KuKuIOCf9 · i21 · d2 · u5MITRE22
C&C회원 전용2026년 5월 28일 22:28 (UTC+9)DigiCert 인증서 하나로 9개월간 14개 악성 파일 서명한 중국 애드웨어 캠페인
성도(成都) 소재 법인 成都奇鲁科技有限公司 명의로 DigiCert가 발급한 코드 서명 인증서 하나가 9개월에 걸쳐 14개의 서로 다른 PE32 실행 파일에 연속 서명되며 중국 내 PUA(잠재적 유해 프로그램) 배포 생태계의 핵심 발판으로 활용되고 있다. 인증서 일련번호 0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98은 2024년 5월 21일 발급돼 2027년 5월 20일까지 유효하며, 이 단일 서명 신원이 샌드박스 탐지를 전면 차단하는 동안 정적 탐지율은 10~34/76에 달한다. 여기에 더해 18개의 C2 연계 IP가 UnionPay International의 와일드카드 TLS 인증서(*.unionpayintl.com)를 제시하며 금융 섹터 트래픽으로 위장하고, PE 오버레이 기법으로 서명 무결성을 훼손하지 않은 채 추가 페이로드를 은닉하는 3중 회피 스택이 이 캠페인의 핵심 구조다.
#FIN6#Group123#SaltySpider#lockergoga#sality행위자FIN6 · Skeleton SpiderIOCf23 · i25 · d4 · u1MITRE11
APT회원 전용2026년 5월 28일 21:56 (UTC+9)DigiCert 인증서 2장으로 8개월간 61개 악성 파일 배포한 중국 RAT 캠페인
중국 등록 법인 두 곳의 이름으로 발급된 유효한 DigiCert Trusted G4 코드 서명 인증서가 8개월에 걸쳐 61개 이상의 윈도우 실행 파일에 찍혔다. 겉으로는 중복 파일 정리, 대용량 파일 청소, 위챗 캐시 삭제 같은 중국어권 유틸리티 소프트웨어처럼 보이는 패키지들이다. 그러나 그 안에는 Ludashi/PolarWind 애드웨어 프레임워크의 DLL 플러그인 구조를 빌려 배포되는 페이로드가 숨어 있었고, 그 페이로드 중 일부는 C2AE 샌드박스에서 PubNubRAT으로 분류됐다. 합법적인 코드 서명 채널을 통해 EDR 화이트리스트를 우회하면서, 동시에 디버그 환경 탐지와 장시간 슬립으로 자동화 분석 환경을 무력화하는 다층 회피 구조 — 이것이 이 캠페인을 단순한 애드웨어 배포 사건과 구분짓는 핵심이다.
#FIN6#TA428#APT23#lockergoga#ncctrojan#lummastealer행위자FIN6 · Skeleton SpiderIOCf61 · i5 · d3 · u3MITRE20
FILE회원 전용2026년 5월 28일 19:00 (UTC+9)lpk.dll 위장 Nitol 로더, 싱가포르 건설업 겨냥 다층 회피 구조 확인
2010년대 초반에 컴파일된 것으로 표시된 PE 파일 두 개가 2026년 5월까지 활성 상태를 유지하며 싱가포르 건설 섹터를 겨냥하고 있다는 사실이 CTX Team의 분석을 통해 확인됐다. 이 두 파일은 단순한 오래된 악성코드 재활용이 아니다. DLL search-order hijacking, 능동적 샌드박스 탐지, 실행 후 자가 삭제, 그리고 비(非)Windows User-Agent 문자열을 이용한 HTTP C2 비콘이라는 네 가지 회피 기법을 계층적으로 결합한 구조를 갖추고 있으며, 이 조합이 단일 로더 DLL 안에 압축돼 있다. 핵심은 악성 lpk.dll이다. Windows 언어팩 라이브러리로 위장한 이 DLL은 프로세스 기동 초기에 정상 시스템 DLL보다 먼저 로드되는 Windows의 DLL 탐색 순서를 악용해 권한 상승 없이 코드 실행을 달성한다.
#GoblinPanda#avzhan#Construction행위자Goblin Panda · CycldekIOCf2 · i0 · d0 · u0MITRE23지역SG산업건설
FILE회원 전용2026년 5월 28일 18:49 (UTC+9)만료 인증서로 위장한 VPN 트로이 목마, 식음료 업계 겨냥 스파이 캠페인 포착
DigiCert가 발급한 코드 서명 인증서 하나가 세 개의 악성 PE32 실행 파일을 하나의 운영 단위로 묶고 있다. 인증서 일련번호 0C 8F 89 21 C5 36 49 3E 67 DF 84 FB 82 23 B0 92는 이미 2026년 4월 2일 만료됐지만, 그 서명은 VPNMaster.exe, Startup.exe, master_vpn-service.exe라는 이름으로 포장된 트로이 목마 번들 전체에 여전히 박혀 있다. 이 세 파일은 C:\Program Files\VPNMaster 경로 아래 정품 VPN 소프트웨어 설치 구조를 그대로 모방하면서, 내부적으로는 디버그 환경 탐지 로직을 탑재해 Zenbox 샌드박스를 84~99% 신뢰도로 통과시켰다. 정적 분석 엔진 13~23개가 악성으로 분류하는 동안 샌드박스는 CLEAN 판정을 내린 이 간극이, 이 캠페인의 가장 날카로운 운영 신호다.
#Barium#APT15#Cactus#ramnit#FoodBeverages행위자Barium · Wicked SpiderIOCf14 · i1 · d6 · u1MITRE7산업식음료
C&C회원 전용2026년 5월 28일 18:31 (UTC+9)GlobalSign EV 인증서 하나로 묶인 두 페이로드, 자동차 산업 겨냥 다층 회피 캠페인
GlobalSign이 발급한 EV(Extended Validation) 코드 서명 인증서 하나가 두 개의 악성 페이로드를 단일 빌드 파이프라인으로 묶고 있다. 일련번호 03 A9 18 8A A5 10 C0 F8 34 34 26 BF, 썸프린트 5CCC0717179EBC7C6165253405840FE33518E5D6로 식별되는 이 인증서는 WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의로 발급됐으며, wire.exe와 upWire.exe라는 두 trojan.jumper 페이로드 모두에 동일하게 적용돼 있다. 2025년 9월부터 2026년 1월에 걸쳐 서명된 두 파일은 WireVPN 클라이언트를 사칭하며 자동차 산업을 표적으로 유포되고 있다. 이 캠페인이 단순한 서명 악용에 그치지 않는 이유는 두 번째 회피 레이어에 있다.
#beacon#AutomotiveIOCf6 · i6 · d6 · u0MITRE12산업자동차
C&C회원 전용2026년 5월 28일 18:11 (UTC+9)Bright Data SDK 위장 PBot 스틸러, 서명 인증서 3중 악용으로 탐지 우회
Bright Data Ltd 명의로 DigiCert에서 발급받은 유효한 코드 서명 인증서로 서명된 실행 파일 하나가 이 캠페인의 새로운 무게중심이다. 겉으로는 정상적인 SDK 업데이터(net_updater32.exe)처럼 보이는 이 9,272KB짜리 PE32 바이너리 안에는 Dotfuscator로 패킹되고 암호화된 .NET 스틸러 페이로드가 숨어 있다 — 샌드박스 C2AE는 이를 PBot 패밀리의 STEALER로 분류했고, YARA 룰 INDICATOR_EXE_Packed_Dotfuscator와 INDICATOR_EXE_DotNET_Encrypted가 동시에 발화했다. 이전 보도(이전 보도)가 INNOVATIVE CONNECTING PTE. LIMITED와 WEILAI NETWORK TECHNOLOGY CO., LIMITED라는 두 페이퍼 컴퍼니의 EV 인증서를 통한 이중 파이프라인 구조를 다뤘다면, 이번 분석은 그 위에 세 번째 서명 벡터가 추가됐음을 확인한다.
#SpacePirates#ramnit#beacon행위자Space Pirates · WebwormIOCf14 · i18 · d26 · u4MITRE17
FILE회원 전용2026년 5월 28일 14:45 (UTC+9)GlobalSign·MS·Intel 서명 세 겹으로 무장한 APT28 침투 캠페인, 8개 파일 중 4개 탐지율 0
러시아 법인 'РОСТПЭЙ(ROSTPAY LTD)'에 발급된 GlobalSign EV 코드 서명 인증서, 정품 Microsoft Windows Publisher 서명이 붙은 시스템 바이너리, 그리고 Intel Corporation 명의의 Sectigo EV 인증서로 포장된 PyInstaller 임플란트 — 단일 침투 체인 안에서 세 개의 독립적인 신뢰 계층이 동시에 악용되고 있다. CTX Team이 추적 중인 이 캠페인은 서명 기반 탐지와 샌드박스 분석을 동시에 무력화하도록 설계된 다층 신뢰 전복(trust subversion) 구조를 보여주며, 8개 파일 가운데 4개가 76개 엔진 전체에서 탐지율 0을 기록한 채 유통되고 있다. 이 캠페인은 APT28로 귀속(attribution)되어 있으며, 스파이 활동을 동기로 한 상업 서비스 부문 대상 작전으로 분류된다.
#APT28#nitol#ghost#Commercial행위자APT28 · StrontiumIOCf8 · i2 · d0 · u0MITRE11산업상업 서비스
FILE회원 전용2026년 5월 28일 10:58 (UTC+9)XWorm 캠페인, 유럽 VPS 두 곳 동시 C2로 추가…인프라 다변화 확인
이전 보도에서 CTX Team은 스페인어 발주서 미끼를 활용한 XWorm 캠페인을 최초 보고하며 25개국에 걸친 광범위한 표적 분포와 핵심 페이로드 구조를 분석했다. 이후 꾸준히 활성 상태를 유지하던 이 캠페인에서 이번에 새로 확인된 신호는 파일 수준의 기법 변화가 아니다. 2025년 말 RIPE NCC에 신규 할당된 두 개의 독립 ASN 블록 — Omegatech LTD(ASN 202412, 세이셸 등록)와 Freakhosting Ltd(ASN 215703, 영국 등록) — 이 캠페인의 C2 노드로 동시에 등장했으며, 여기에 무료 DDNS 서비스 기반의 호스트명 jar5.ydns.eu까지 새로운 네트워크 채널로 추가됐다. 이전 활동의 연속선 위에 있지만, 운영자가 C2 인프라를 의도적으로 분산·교체하고 있다는 점에서 의미 있는 진화가 확인된다. 이번 스냅샷에서 가장 명확한 변화는 네트워크 인프라다.
#Commercial#Government#Manufacturing#Media#SupportServiceActivities#TechnologyIOCf12 · i2 · d0 · u1MITRE33지역AT · BE · BS · CA산업상업 서비스 · 정부·공공 · 제조
C&C회원 전용2026년 5월 28일 06:11 (UTC+9)Ludashi PUA, C2 인프라 전면 교체…텐센트 게이트웨이로 탐지 우회
이전 보도 이후 Ludashi PUA 캠페인의 네트워크 레이어가 전면 교체됐다. 새로 확인된 지표는 도메인 6개, IP 주소 12개, URL 7개로 구성되며, 이전 활동에서 추적되던 파일 세트는 현재 관측 가능한 활성 지표에서 완전히 사라졌다. 페이로드 자체가 바뀐 것이 아니라 C2 인프라 전체가 한 번에 회전된 것이다. 이 패턴은 운영자가 탐지 사실을 인지하고 네트워크 레이어를 의도적으로 교체했을 가능성을 시사한다. 특히 주목할 부분은 dllfix.cn 서브도메인이 텐센트 클라우드 API 게이트웨이 인증서를 TLS 종단점으로 제시하는 방식으로, 이는 C2 트래픽을 합법적인 클라우드 서비스 호출과 구별 불가능하게 만드는 새로운 회피 기법이다. CTX Team이 이번에 분석한 인프라 지문은 두 개의 운영자 제어 apex 도메인(tjbxldkj.cn과 dllfix.cn)을 중심으로 구성된 역할 분리형 C2 프레임워크를 보여준다.
#TA551#icedid행위자TA551 · ShathakIOCf19 · i12 · d6 · u7MITRE12
APT회원 전용2026년 5월 28일 05:53 (UTC+9)합법 인증서 뒤에 숨은 RAT — 청두 이중 서명 캠페인, 첩보 수집 단계로 격상
LuDaShi(鲁大师) PC 최적화 소프트웨어의 업데이트 채널을 통해 유포되는 페이로드 클러스터에서, 이전까지 애드웨어·PUA 범주에 머물던 캠페인이 처음으로 원격 접속 트로이목마(RAT) 판정을 받은 DLL을 포함하고 있음이 확인됐다. CTX Team이 추적해 온 이 캠페인은 성도(成都) 소재 두 법인 명의로 발급된 DigiCert 코드 서명 인증서를 핵심 무기로 삼아 Windows SmartScreen 및 다수 엔드포인트 보안 제품의 탐지를 우회해 왔다. 이번에 새로 식별된 RightsExt.exe(cf644fce)는 성도적협정보과기유한공사(成都赤侠信息科技有限公司) 명의 인증서로 서명된 DLL로, C2AE 샌드박스가 PubNubRAT 패밀리로 분류했다 — 클라우드 메시징 서비스 PubNub을 C2 채널로 활용하는 기법은 악성 트래픽을 정상 SaaS API 호출과 구분 불가능하게 만든다.
#APT23#lummastealer행위자APT23 · KeyBoyIOCf28 · i26 · d2 · u3MITRE13
FILE회원 전용2026년 5월 28일 02:47 (UTC+9)KMSpico 위장 악성 패키지, 10년짜리 자가서명 인증서로 LummaStealer 유포
KMSpico 소프트웨어 불법 복제 도구로 위장한 악성 설치 패키지가 케냐 기술 분야를 표적으로 유포되고 있다. 겉으로는 흔한 윈도우 인증 우회 도구처럼 보이지만, 그 내부에는 단일 자가서명 인증서로 묶인 4개의 실행 파일, Dotfuscator 난독화, WinDivert 패킷 캡처 드라이버, Formbook 계열 안티훅 우회 코드가 층층이 쌓여 있다. 그리고 이 KMS 설치 체인의 끝에는 2025년 5월 25일 처음 관측된 LummaStealer 드로퍼 두 개가 자리 잡고 있으며, 이들은 .top TLD 기반 C2 도메인 6개에 TLS 암호화 채널로 비콘을 전송하고 있다. 전형적인 크랙 도구 캠페인이라 보기에는 지나치게 정교한 회피 계층 — 이것이 이번 분석의 출발점이다. CTX Team은 이 캠페인을 심각도 44, 신뢰도 85로 분류된 위협 클러스터(CTXyftd6jnlwf)로 등록했다. 이 캠페인의 가장 뚜렷한 지문은 코드 서명 인증서다.
#LazarusGroup#lummastealer#Technology행위자Lazarus Group · Hastati GroupIOCf17 · i1 · d0 · u0MITRE42지역KE산업기술·IT
FILE공개2026년 5월 28일 02:32 (UTC+9)17년 된 커널 드라이버, 9개국 통신망 채굴 캠페인에 재활용
2026년 4월 16일 컴파일된 드로퍼 하나가 VirusTotal에 처음 모습을 드러낸 것은 불과 이틀 뒤인 4월 18일이었다. 단 2건의 제출, 2개의 고유 출처 — 이 수치는 표적화된 초기 배포 또는 극도로 제한된 유포 경로를 암시한다. 그러나 이 신선한 페이로드가 선택한 권한 상승 도구는 전혀 새롭지 않았다. WinRing0x64.sys. 2008년 GlobalSign이 서명하고, 2009년 처음 VirusTotal에 등장한 뒤 17년간 29,355건이 제출된 이 14KB짜리 커널 드라이버가, 2026년에 다시 통신 서비스 인프라를 겨냥한 암호화폐 채굴 캠페인의 핵심 부품으로 재활용됐다. 이 조합이 주목받는 이유는 단순한 재활용이 아니다.
#LazarusGroup#WinRing0x64#BYOVD#암호화폐채굴#통신인프라#커널드라이버악용#HashVault#LOLDrivers행위자Lazarus Group · Hastati GroupIOCf4 · i1 · d0 · u0MITRE31지역AR · BG · BR · GR산업통신
C&C회원 전용2026년 5월 28일 02:13 (UTC+9)CN에 'malware.com' 박힌 인증서로 8년 운영된 C2 인프라 포착
update.buffernavpose.com과 errors.buffernavpose.com — 이름만 보면 평범한 소프트웨어 업데이트 서버처럼 보이는 두 서브도메인이 단일 IP(34.209.195.255)에 집결해 있고, 두 도메인 모두 CN이 문자 그대로 *.malware.com인 자가서명 TLS 인증서를 제시한다. 인증서 발급 기관명에 악성코드를 뜻하는 단어가 박혀 있음에도 이 인프라는 2018년 5월 등록 이후 현재까지 8년 가까이 운영 상태를 유지하고 있다. CTX Team이 이번에 분석한 shlayer 계열 PUP(잠재적 유해 프로그램) 캠페인은 'Internet Speed Checker'라는 가짜 유틸리티를 미끼로 삼아 에너지 부문 윈도우 엔드포인트를 표적으로 삼으며, 그 배후 인프라는 단일 운영자가 사전에 계획적으로 구축한 어필리에이트 추적 기반 배포 체계의 특징을 고스란히 드러낸다. 이 캠페인에서 가장 주목할 만한 신호는 페이로드 자체가 아니라 인프라의 설계 방식이다
#shlayer#EnergyIOCf2 · i0 · d2 · u10MITRE15산업에너지