APT회원 전용2026년 10월 20일 09:35 (UTC+9)메일 호스트 이름, 과거 HTTPS 인증서에서도 확인
lru.li의 메일 수신 서버 목록에 있는 turing.lru.li가 IP 주소 49.12.115.177에서 관찰된 HTTPS 인증서에도 등장한다. DNS와 인증서에 같은 호스트명이 기록된 것이다. 이 일치는 해당 IP의 역할을 좁혀 주지만, 메일 서버를 찾은 것과 악성 메일의 발신지를 확인한 것은 다르다. 함께 검토된 웜 계열 의심 실행파일까지 이 관계에 연결할 수 있을까. CTX Threat Intelligence 자료에서 확인되는 연결은 호스트명 수준이다. lru.li의 MX 레코드는 turing.lru.li를 메일 수신 대상으로 지정하며, 해당 IP의 과거 인증서는 같은 이름을 담고 있다. CTX Team은 이를 메일 호스트의 인프라를 추적할 구체적인 단서로 평가한다. 다만 실행파일이 이 호스트를 사용했다는 설정이나 통신 기록은 제공되지 않았다. MX 레코드는 도메인 앞으로 오는 메일을 어느 호스트로 전달하도록 설정했는지 보여 준다.
#메일수신서버#MX레코드#HTTPS인증서#호스트명#IP주소#악성의심실행파일#인프라조사행위자Lazarus Group · Hastati GroupIOCf67 · i9 · d5 · u0지역US산업소매·유통
FILE회원 전용2026년 10월 19일 18:24 (UTC+9)임시 실행파일, 실행 설정과 자식 프로세스로 이어져
bofuv.exe가 만든 임시 실행파일은 자식 프로세스로 실행됐고, 같은 경로가 레지스트리의 Windows\Run 값에도 기록됐다. CAPE Sandbox에서는 fofog.exe, Zenbox에서는 zapyb.exe가 이 자리를 차지했다. 이름이 다른 파일들이 무엇을 하는지 이해하려면 파일명보다 관계를 봐야 한다. 최초 실행파일이 만든 구성요소와 실행한 구성요소, 실행 설정이 가리키는 구성요소가 각 분석 안에서 일치하는지가 핵심이다. CTX Threat Intelligence가 검토한 기록은 이 관계가 세 샌드박스 보고서에서 반복됨을 보여 준다. 두 보고서에서는 임시 실행파일이 다시 다른 실행파일을 생성하고 실행한 관계까지 확인된다. 네트워크에서도 단순한 주소 목록보다 구체적인 연결이 있다. 추출된 설정에서 명령제어(C2) 대상으로 분류된 두 IP가 실제 샌드박스 TCP 트래픽의 목적지와 일치했다.
#윈도실행파일#샌드박스분석#자식프로세스#임시실행파일#레지스트리실행설정#지속성관련설정#C2설정#TCP트래픽행위자Spring Dragon · Lotus BlossomIOCf5 · i2 · d0 · u4지역US산업소매·유통
C&C회원 전용2026년 10월 19일 18:17 (UTC+9)qh88eu 두 호스트는 주소·인증서 일치, 다른 도메인은 지문만 공유
backdoor.qh88eu.com과 상위 도메인 qh88eu.com은 기록된 IPv4 주소 두 개가 같고, HTTPS 인증서도 동일하다. 여기에 다른 두 도메인까지 같은 TLS 서비스 지문을 보인다. 그렇다면 이들은 하나의 명령제어(C2) 인프라인가, 아니면 외부에 드러난 서비스 특성만 닮은 것인가. CTX Threat Intelligence 자료에서 가장 강하게 연결되는 것은 qh88eu.com과 그 하위 도메인이다. 반면 qh88b3.com, qq88.fan까지 범위를 넓히면 연결 근거는 공통 서비스 지문으로 좁아진다. CTX Team은 이 차이가 중요하다고 판단한다. 같은 조사 묶음으로 살펴볼 근거와, 같은 운영자가 통제하는 C2 서버라고 결론 내릴 근거는 다르기 때문이다. qh88eu.com과 backdoor.qh88eu.com의 DNS 기록에는 모두 104.21.59.81, 172.67.219.27이 들어 있다. IPv6 주소 두 개도 일치한다.
#도메인조사#DNS기록#HTTPS인증서#TLS지문#JARM#Cloudflare#C2인프라IOCf52 · i0 · d7 · u3지역US산업소매·유통
APT회원 전용2026년 10월 19일 18:16 (UTC+9)큰 설치 파일이 남긴 update.exe, 자식 프로세스로도 확인
setup.exe의 자식으로 update.exe가 실행되고, 그 아래에는 임시 폴더의 update.tmp가 나타났다. 이름만 보면 설치 프로그램이 업데이트를 처리하는 모습이다. 그러나 샌드박스가 기록한 update.exe의 내용은 별도로 분석된 다른 setup.exe 표본과 정확히 같았다. 여기서 질문은 두 파일이 비슷한 이름을 쓰는지에서, 한 설치 프로그램이 다른 설치 프로그램을 어떤 관계로 실행했는지로 바뀐다. CTX Threat Intelligence 자료를 검토한 CTX Team은 파일 생성 기록과 같은 보고서의 부모·자식 프로세스 관계를 통해 이 연결을 확인했다. 더 큰 실행 파일은 더 작은 실행 파일을 update.exe라는 이름으로 기록했고, 해당 경로는 자식 프로세스로도 등장했다. 작은 파일을 따로 실행한 분석에서는 큰 파일의 실행 중 나타난 것과 내용이 같은 임시 실행 파일까지 확인됐다.
#설치프로그램#파일생성#자식프로세스#해시일치#임시실행파일#샌드박스분석#채굴풀조회행위자Void Arachne · Silver FoxIOCf16 · i4 · d2 · u1지역BR
C&C회원 전용2026년 10월 19일 03:33 (UTC+9)HTTP 요청은 404, 동일 실행 파일은 두 경로에 자동 실행 설정
Zenbox에 기록된 두 IP 대상 HTTP 요청 여섯 건은 모두 ‘404’를 돌려받았지만, 같은 샌드박스 보고서에는 실행 파일을 두 위치에 배치하고 각각을 자동 실행 대상으로 등록한 흔적이 남았다. 서버에서 원하는 내용을 받지 못했다면 이 프로그램은 아무것도 하지 못한 것일까. CTX Threat Intelligence가 검토한 기록은 그렇게 보기 어렵다는 점을 보여 준다. 원격 요청의 결과와 로컬 시스템에 남긴 실행 기반은 별개의 문제였다. 이 사례의 핵심은 winakrosvsa.exe라는 파일명 자체가 아니다. 사용자 프로필과 Windows 디렉터리에 기록된 파일의 해시가 분석 대상과 같고, Run 레지스트리 값은 그 두 경로를 가리킨다. 다른 한편으로 185.215.113.66과 91.202.233.141은 단순히 파일 옆에 나열된 의심 주소가 아니라, 실제 HTTP 요청 대상으로 보고됐다. 다만 제공된 응답에서 명령이나 추가 실행 파일을 받아 온 정황은 확인되지 않는다.
#악성코드분석#Windows실행파일#자동실행#레지스트리변경#보안센터알림#HTTP요청#외부IPIOCf1 · i2 · d0 · u8MITRE13지역RO
APT회원 전용2026년 10월 19일 03:02 (UTC+9)드롭 파일의 해시 일치로 확인한 두 악성 표본의 전달 관계
한 실행 파일을 분석한 샌드박스에서 C:\uflt72e\ba4q0elt.exe가 드롭됐고, 그 파일의 SHA-256은 별도로 분석된 다른 악성 표본과 일치했다. 두 표본의 분석에서는 같은 HTTP 주소로 보내는 POST 요청도 기록됐다. 단순히 의심스러운 서버 하나를 공유하는 파일들일까, 아니면 한쪽이 다른 쪽의 코드를 전달하는 관계일까. CTX Threat Intelligence가 검토한 자료는 후자에 더 구체적인 근거를 제공한다. 두 샌드박스가 첫 표본에서 동일한 내용의 두 번째 표본이 드롭됐다고 기록했다. 두 번째 표본에서는 메모리에서 추출한 C2 설정과 실제 HTTP 요청의 전체 URL이 맞아떨어졌고, 임시 디렉터리의 실행 파일을 로그온 시 시작하도록 지정하는 레지스트리 변경도 확인됐다. 이 사례의 핵심은 악성코드 이름의 유사성이 아니라, 파일 내용의 동일성으로 확인한 전달 관계에 통신과 실행 유지 설정이 더해진다는 점이다.
#악성코드분석#샌드박스분석#파일드롭#HTTP통신#C2설정#레지스트리Run키#예약작업행위자TA505 · Hive0065IOCf10 · i1 · d0 · u2MITRE38지역PK
FILE회원 전용2026년 10월 18일 09:43 (UTC+9)해시로 연결된 스크립트와 실행 파일, 서로 다른 로그온 설정
자바스크립트 분석에서 임시 폴더에 생성된 WindowsUpdate.exe가 별도로 분석된 실행 파일과 같은 SHA-256을 가진 것으로 확인됐다. 이 연결은 파일 이름이 주는 인상보다 중요하다. 스크립트 분석에는 adobe.js를 실행하는 프로세스와 자동 시작 설정이, 해당 실행 파일의 분석에는 WindowsUpdate라는 로그온 작업을 만드는 명령이 기록돼 있다. 서로 다른 이름으로 나타난 이 흔적들은 어디까지 하나의 작동 구조로 설명할 수 있을까. CTX Threat Intelligence 자료를 검토한 CTX Team은 스크립트가 생성한 실행 파일의 내용 동일성, 스크립트와 실행 파일에 각각 연결된 로그온 실행 설정, 일부 설정 주소와 일치하는 네트워크 관찰을 확인했다. 핵심은 악성코드 이름이나 탐지 건수가 아니라 이 관계들이다. 해시는 두 파일 분석을 직접 연결하고, 프로세스 트리와 명령은 각 구성 요소의 역할을 보여 준다.
#자바스크립트#파일해시#드롭된실행파일#로그온자동시작#예약작업#DNS조회#목적지트래픽행위자TA2541 · Operation LayoverIOCf14 · i0 · d2 · u1MITRE24
APT회원 전용2026년 10월 18일 09:36 (UTC+9)이름 달라도 내용 같은 C# 소스, MSBuild 아래 크롬 실행
윈도 .NET 빌드 도구인 MSBuild.exe 아래에서 크롬이 실행됐다. 명령줄에는 화면 없이 동작하는 --headless, 원격 디버깅 포트 9223, 기존 크롬 사용자 데이터 경로와 Default 프로필을 지정하는 옵션이 함께 있었다. 샌드박스에서 분석된 실행 파일은 왜 빌드 도구를 호출하고, 그 도구 아래에 브라우저를 실행했을까. CTX Threat Intelligence가 검토한 기록은 이 질문을 단순한 의심 프로세스 탐지보다 구체적으로 좁혀 준다. 분석 대상은 C# 소스 파일을 생성하고 .NET 컴파일러를 호출했다. 별도의 네트워크 증거에서는 메모리에서 추출한 명령제어(C2) 설정의 IP·포트와 실제 트래픽 목적지가 일치했다. 다른 호스트에서는 실행 파일 경로에 대한 HTTP 요청과 200 응답도 기록됐다. 핵심은 이들을 하나의 완성된 공격 순서로 묶는 데 있지 않다.
#BoodyF.exe#샌드박스분석#C#소스생성#.NET컴파일#MSBuild#헤드리스크롬#C2설정#HTTP실행파일요청행위자Scully Spider · TA547IOCf13 · i1 · d0 · u2MITRE18지역PK
FILE회원 전용2026년 10월 17일 17:38 (UTC+9)같은 하위 이름, 서로 다른 CNAME으로 갈라진 DNS 경로
yzzcommon.tyui54345.xyz와 yzzcommon.zxcv56745.xyz는 같은 하위 도메인 이름을 쓰지만, 기록된 CNAME 대상은 서로 다르다. 반면 두 상위 도메인은 같은 네임서버 쌍을 사용한다. 겉으로 닮은 이 주소들은 하나의 접속처를 가리키는 것일까, 아니면 이름 구성만 공유하는 것일까. CTX Threat Intelligence 자료에서 확인되는 것은 공통된 이름 구성과 서로 다른 DNS 별칭 대상이다. 이는 두 도메인을 함께 조사할 구체적인 근거지만, 같은 서버나 운영자가 사용했다는 증거는 아니다. 이번 비교에서 추가된 실행 파일도 이 DNS 관계를 실제 통신으로 이어 주지는 않는다. 이 사례의 핵심은 지표들을 하나로 묶는 데 그치지 않고, 각각 어떤 종류의 연결을 보여 주는지 구분하는 데 있다. 두 yzzcommon 호스트의 CNAME은 각각 긴 16진수 형태의 .com 이름을 가리킨다.
#DNS#CNAME#네임서버#하위도메인#Windows실행파일#파일지표#CTXThreatIntelligence행위자Gold Evergreen · Business ClubIOCf5 · i0 · d7 · u2지역US산업소매·유통
C&C회원 전용2026년 10월 17일 17:37 (UTC+9)DNS·TLS로 연결된 도메인과 IP, C2 통신은 미확인
dfkjgoi3.info의 DNS A 레코드는 213.108.199.215를 가리킨다. 두 대상에는 동일한 HTTPS 인증서 지문과 JARM 지문도 기록돼 있다. 도메인과 IP가 단순히 같은 목록에 실린 것이 아니라, 주소 해석 결과와 TLS 서비스 특성으로 연결된 것이다. 그렇다면 이 연결은 해당 IP가 악성코드의 명령제어(C2) 서버라는 사실까지 입증할까. CTX Threat Intelligence 자료에서 확인되는 답은 더 구체적이다. 이 IP는 도메인의 인프라를 추적할 직접적인 조사 지점이다. 그러나 도메인에 붙은 C2 분류와 달리, 파일이나 프로세스가 이곳에 접속해 명령을 교환한 기록은 제공되지 않았다. CTX Team은 이 사례의 핵심을 도메인과 서버 주소의 관계는 뒷받침되지만, 악성코드와 서버 사이의 통신 관계는 아직 연결되지 않은 상태로 평가한다. 가장 직접적인 근거는 A 레코드다. 저장된 DNS 응답에는 도메인의 주소로 해당 IP가 명시돼 있다.
#DNS#TLS#HTTPS인증서#JARM#명령제어#악성웹사이트#인프라조사행위자Salty Spider · KuKuIOCf9 · i1 · d2 · u37MITRE46지역UA
C&C회원 전용2026년 10월 16일 23:24 (UTC+9)메모리 속 C2 주소와 실제 POST 경로 일치…다른 파일은 설정만
196.251.107.130으로 향한 HTTP POST가 서로 다른 샌드박스 보고서에 기록됐다. 요청 경로는 모두 /16b022998f754137b60a.php였고, 한 보고서에는 HTTP 200 응답도 남았다. 그런데 다른 실행파일에서 추출한 설정에도 같은 IP가 등장한다. 경로는 /api.php로 다르다. 두 파일은 같은 서버를 사용하는 한 공격의 구성요소일까, 아니면 주소만 겹치는 별개의 사례일까. CTX Threat Intelligence가 검토한 자료에서 가장 강하게 확인되는 사실은 한 파일의 메모리에서 추출한 통신 목적지가 실제 POST 요청의 주소·포트·경로와 일치한다는 점이다. 다른 파일은 같은 호스트를 설정에 포함하고 있으며, 별도로 자동 시작 설정과 예약 작업 생성 명령이 관찰됐다. 두 파일을 연결하는 구체적인 인프라 단서는 있지만, 한 파일이 다른 파일을 내려받거나 실행했다는 연결은 없다. 이 차이는 조사 범위를 바꾼다.
#C2서버#HTTPPOST#샌드박스분석#Stealc#Solarisloader#자동시작#예약작업행위자APT28 · StrontiumIOCf29 · i4 · d0 · u10MITRE22지역US산업소매·유통
FILE회원 전용2026년 10월 16일 23:22 (UTC+9)‘N.jpg’ 추출 명령이 드러낸 스크립트 실행 경로
N.jpg를 여는 프로그램은 이미지 뷰어가 아니라 Windows의 압축 해제 도구였다. 샌드박스의 프로세스 생성 기록에는 PowerShell이 tar -xf N.jpg -C $env:public을 호출한 흔적이 남아 있다. 사진처럼 보이는 이름의 파일을 왜 아카이브로 풀려고 했을까. CTX Threat Intelligence가 검토한 자료에서 같은 이름으로 제출된 파일은 JPEG가 아닌 POSIX TAR 아카이브였고, 내부 목록에는 PowerShell과 VBScript 파일이 포함돼 있었다. 이 사례의 핵심은 확장자와 실제 형식의 불일치에서 끝나지 않는다. 관련 실행 기록에는 N.vbs를 처리하는 WScript가 N.ps1을 실행하는 PowerShell을 자식으로 만드는 관계가 나타난다. 또 N.ps1 분석에서는 문자 코드로 명령 이름을 조립해 Microsoft Defender의 검사 제외를 요청하는 PowerShell 명령이 확인된다.
#TAR아카이브#확장자위장#스크립트실행#PowerShell#VBScript#Defender검사제외#채굴실행인자행위자Operation Epic ManchegoIOCf23 · i3 · d1 · u3지역US산업기술·IT
C&C회원 전용2026년 10월 16일 07:50 (UTC+9)윈도 방화벽 끄기 명령과 보안 알림·UAC 설정 변경 포착
윈도 방화벽을 끄는 명령이 실행 파일의 자식 프로세스에서 포착됐다. Tencent HABO 샌드박스의 프로세스 트리는 이름이 가려진 ****.exe 아래에 netsh.exe를 두고, 명령줄에 netsh firewall set opmode disable을 기록했다. 같은 보고서에는 보안 센터의 알림 설정과 사용자 계정 컨트롤(UAC) 정책 값을 바꾼 기록도 있다. 이 조합은 단순히 수상한 프로그램이 실행됐다는 사실보다 구체적인 질문을 던진다. 프로그램은 호스트의 어떤 보호 장치를 바꾸려 했으며, 기록은 그 결과까지 보여 주는가. CTX Threat Intelligence가 검토한 자료에서 가장 강한 발견은 보호 기능과 보안 상태 알림을 약화하려는 시도다. 방화벽 비활성화 명령은 프로세스의 부모·자식 관계로 뒷받침되고, 레지스트리 기록은 변경 대상이 무엇이었는지 드러낸다. 다만 보호 기능의 설정을 건드리는 행위와 실제로 보호가 해제된 상태는 다르다.
#윈도#방화벽#보안알림#UAC#레지스트리변경#샌드박스분석#방어간섭행위자Salty Spider · KuKuIOCf11 · i1 · d2 · u29MITRE50지역UA
FILE회원 전용2026년 10월 16일 07:28 (UTC+9)임시 파일로 실행된 자식, 다른 경로를 자동 시작에 등록
software.exe가 임시 폴더에 만든 avto1.exe는 단순히 저장된 파일로 끝나지 않았다. 샌드박스의 프로세스 트리에서는 원본 실행 파일의 자식으로 나타났고, 같은 프로세스 ID를 가진 레지스트리 이벤트에서는 C:\Windows\svw.exe를 가리키는 자동 시작 값을 설정했다. 하나의 실행 파일 주변에 등장한 여러 EXE는 서로 어떤 관계였을까. 이 사례의 핵심은 파일 수가 아니라, 파일 생성과 실행, 다음 실행을 위한 설정 사이에 남은 연결이다. CTX Threat Intelligence가 검토한 기록은 여러 실행 파일을 배치하고, 그중 일부가 Windows 디렉터리의 별도 경로를 자동 시작 대상으로 등록하는 구조를 보여 준다. 특히 임시 폴더의 구성요소가 설정을 쓰는 주체이고, Windows 디렉터리의 파일은 그 설정이 가리키는 대상이라는 역할 구분이 중요하다.
#악성파일분석#샌드박스#파일생성#자식프로세스#레지스트리변경#자동시작#DNS조회IOCf22 · i0 · d7 · u6MITRE30지역UA
FILE회원 전용2026년 10월 15일 15:24 (UTC+9)설정된 sa1atik.cn, DNS 조회와 목적지 트래픽에서도 확인
메모리에서 추출한 접속 설정에 있던 sa1atik.cn이 샌드박스의 DNS 조회에도 나타났다. 같은 CAPE 보고서에는 이 이름으로 조회된 IP를 향한 TCP 443번 포트 트래픽이 기록돼 있다. 설정 속 주소가 실제 네트워크 활동과 맞닿는 지점이다. 그렇다면 이 파일은 설정된 명령제어 서버와 통신한 것일까, 아니면 아직 주소를 찾고 접속하는 단계의 흔적만 남긴 것일까. CTX Threat Intelligence 자료를 검토한 결과, sa1atik.cn은 이 표본에서 설정과 실행 관찰이 가장 구체적으로 연결되는 호스트다. 메모리 덤프에서 나온 설정에는 네 호스트에 걸쳐 다섯 HTTPS 엔드포인트가 들어 있지만, 제공된 기록에서 설정된 이름과 DNS 응답, 목적지 IP·포트를 함께 대조할 수 있는 것은 이 호스트다. 다른 이름들은 인증서나 포트 구성으로 관련성을 더 살펴볼 수 있으나, 같은 수준의 통신 증거를 갖춘 것은 아니다. 이 차이는 단순히 확신의 정도를 나누는 문제가 아니다.
#윈도우실행파일#악성코드분석#메모리설정#샌드박스#DNS조회#HTTPS엔드포인트#TCP트래픽행위자Snowglobe · Animal FarmIOCf1 · i1 · d1 · u1지역BG · DE · PH · PL산업통신
APT회원 전용2026년 10월 15일 15:24 (UTC+9)이름 다른 두 프로세스, 같은 해시로 연결된 자동 시작 경로
샌드박스에서 conhost.exe가 svchost.exe를 자식 프로세스로 실행했다. 두 이름은 서로 다른 프로그램처럼 보이지만, 프로세스 생성 이벤트에 기록된 파일 해시는 같았다. 하나는 Windows 오류 보고 경로 아래의 임시 폴더에, 다른 하나는 사용자 AppData 폴더에 있었다. 이름과 위치가 바뀌었을 뿐 같은 실행 파일 내용이 두 프로세스에 쓰인 것이다. 이 관계는 단순한 시스템 프로세스 이름 위장인지, 다른 위치에서 실행을 이어가기 위한 구조인지를 묻게 한다. CTX Threat Intelligence가 검토한 자료는 후자의 해석을 뒷받침한다. 상위 실행 파일이 임시 폴더에 구성 요소를 생성했고, 그 구성 요소 아래에서 같은 해시의 AppData 실행 파일이 실행됐다. 같은 샌드박스 보고서에는 AppData 경로를 가리키는 사용자 Run 값도 남았다. 핵심은 의심스러운 파일명이 여러 개 발견됐다는 사실이 아니다.
#샌드박스분석#프로세스생성#파일해시#부모·자식관계#실행파일생성#자동시작#레지스트리Run#DNS조회행위자APT27 · TEMP.HippoIOCf10 · i1 · d4 · u8
FILE회원 전용2026년 10월 14일 23:37 (UTC+9)AppData의 bin.exe 경로, 사용자 Run 값과 일치
사용자 데이터 폴더에 기록된 bin.exe의 경로가 레지스트리 Run 값에도 들어 있었다. 한 샌드박스에서는 폴더명이 C1DC2400, 다른 보고서에서는 D74ACD95였지만, 각 보고서 안에서는 파일 기록 위치와 자동 실행 설정의 대상이 맞물렸다. 이 관계는 무엇을 보여 주는가. 단순히 파일을 남긴 것인지, 다음 로그온을 위한 실행 지점을 마련한 것인지가 이 표본을 이해하는 첫 번째 질문이다. CTX Threat Intelligence가 확보한 분석 자료는 후자의 해석을 뒷받침한다. 세 샌드박스 보고서에서 사용자별 AppData 아래 실행 파일 기록과 그 경로를 가리키는 Run 값이 함께 확인됐다. 같은 표본의 네트워크 기록에는 두 .pw 도메인의 동일한 URL 경로로 향하는 HTTP POST 요청도 있었다. 핵심은 자동 실행 설정과 외부 요청이 구체적인 경로로 남았다는 점이다.
#윈도실행파일#샌드박스분석#AppData#레지스트리Run#로그온지속성설정#HTTPPOST#도메인분석행위자Smoky SpiderIOCf10 · i0 · d3 · u3지역RO
C&C회원 전용2026년 10월 14일 23:12 (UTC+9)두 샌드박스서 같은 설정 조회형 요청…응답 내용은 미확인
같은 윈도 실행파일을 분석한 두 샌드박스에서 udo.jxwan.com의 /index/getcfg?id=59522를 향한 HTTP GET 요청이 기록됐다. 한 보고서는 요청뿐 아니라 HTTP 200 응답과 Content-Length: 3550 헤더까지 담고 있다. 이름만 보면 설정을 가져오는 기능처럼 보인다. 그러나 이 서버가 실제로 무엇을 전달했고, 실행파일이 그것을 어떻게 사용했는지는 어디까지 확인할 수 있을까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 이 요청을 중심으로 형성된다. CAPE와 Zenbox는 각각 같은 호스트의 DNS 조회와 같은 URL 요청을 기록했다. 조회 결과에 포함된 두 IP 중 하나는 CAPE의 TCP 통신 기록에, 다른 하나는 해당 URL에 대한 네트워크 탐지 이벤트에 등장한다. 단순히 실행파일 안에서 발견한 문자열이나 인프라의 외형적 유사성이 아니라, 분석 환경에서 실제 요청 대상으로 기록된 관계다.
#윈도실행파일#샌드박스분석#HTTP요청#설정조회#DNS#네트워크탐지IOCf21 · i8 · d28 · u2지역US산업소매·유통
APT회원 전용2026년 10월 14일 23:12 (UTC+9)텔레그램 시작 보고 요청에 로그온 재실행 설정까지
한 Windows 실행 파일의 샌드박스 기록에 텔레그램으로 향하는 메시지 전송 요청이 남았다. 내용은 [CLIPPER STARTED]라는 시작 알림과 실행 환경 정보였다. 같은 분석 보고서에는 이 프로그램을 로그온 때 다시 실행하도록 설정하는 레지스트리 쓰기와 예약 작업 생성 명령도 기록됐다. 단순히 외부 서비스에 접속한 프로그램인가, 아니면 자신의 시작을 알리고 다음 실행까지 준비하는 프로그램인가. CTX Threat Intelligence가 검토한 자료에서 가장 구체적으로 드러나는 것은 후자에 가깝다. 표본 #87b45bdb940b는 텔레그램 봇 API에 시작 상태를 보고하는 요청을 내보냈으며, 로컬에서는 로그온 실행 설정과 방화벽 변경, 이벤트 로그 삭제를 시도했다. 다만 메시지에 적힌 ‘클리퍼’라는 자기 설명과 실제 클립보드 조작은 구분해야 한다. 제공된 기록이 직접 보여 주는 것은 클립보드 탈취가 아니라 외부 상태 보고와 지속 실행을 위한 로컬 설정 행동이다.
#CTXThreatIntelligence#텔레그램봇API#Windows실행파일#샌드박스분석#시작상태보고#로그온실행설정#방화벽규칙변경시도#이벤트로그삭제시도행위자Comment Crew · Byzantine CandorIOCf4 · i1 · d1 · u0MITRE19지역SG
FILE회원 전용2026년 10월 14일 07:14 (UTC+9)실행 파일 아래 모인 복구 도구들, 삭제·설정 변경 시도 확인
분석 대상 실행 파일이 띄운 cmd.exe 아래에 윈도 복구 도구들이 모였다. CAPE 샌드박스의 프로세스 트리에는 섀도 복사본 삭제를 요청하는 vssadmin과 WMIC, 부팅 복구 설정을 바꾸는 bcdedit, 백업 카탈로그 삭제를 요청하는 wbadmin이 같은 명령 셸의 자식으로 기록됐다. 중요한 질문은 악성코드가 어떤 이름으로 탐지됐느냐보다 구체적이다. 이 도구들의 조합은 시스템의 어떤 복구 경로를 겨냥했으며, 실행 파일과는 어떻게 연결되는가. CTX Threat Intelligence가 확보한 자료는 그 연결을 프로세스 관계로 보여 준다. 분석 대상은 복구 방해 명령을 담은 셸을 직접 자식으로 두고 있으며, 셸 아래에서는 명령에 대응하는 도구들이 실제로 시작됐다. 같은 CAPE 보고서에는 분석 대상의 경로를 가리키는 로그인 실행 설정과, 해당 프로세스가 생성한 Restore-My-Files.txt도 있다.
#랜섬웨어지향동작#복구방해#섀도복사본#부팅복구설정#백업카탈로그#로그삭제#로그인실행설정행위자Lockbit GangIOCf37 · i0 · d0 · u0MITRE35지역RO
C&C회원 전용2026년 10월 14일 07:14 (UTC+9)낯선 확장자의 파일, DLL과 같은 해시로 확인
regsvr32.exe의 실행 대상은 .dll이 아니라 fgjgjgv.tsu였다. 그러나 샌드박스가 기록한 이 파일의 SHA-256은 분석 대상 DLL과 같았다. 낯선 확장자의 파일이 별도 구성요소였을까, 아니면 같은 내용이 다른 경로에서 실행 대상으로 쓰였을까. CTX Threat Intelligence가 검토한 기록은 두 번째 해석을 뒷받침한다. 중요한 단서는 파일 이름이 아니라, 내용의 동일성과 그 파일을 인자로 받은 명령의 결합이다. 네트워크에서도 단순한 주소 목록보다 구체적인 관찰이 나왔다. 서로 다른 두 샌드박스 보고서에 165.22.61.235를 향한 HTTPS GET 요청과 HTTP 200 응답이 남았다. 로컬에서는 같은 DLL 내용이 서로 다른 경로의 실행 대상으로 등장했고, 통신에서는 같은 IP가 별도 보고서에 반복됐다. 이 두 관계가 이 표본을 이해하는 핵심이다. 다만 두 관계를 곧바로 하나의 공격 순서로 이을 수는 없다.
#DLL분석#regsvr32실행#SysWOW64#해시일치#샌드박스분석#HTTPSGET#HTTP응답행위자Emotet Group · TA542IOCf1 · i4 · d0 · u8MITRE27지역RO
APT회원 전용2026년 10월 14일 07:13 (UTC+9)한 DLL의 C2 설정에 묶인 세 호스트, DNS·TLS 특성은 달랐다
한 DLL에서 추출한 설정에 호스트 이름만 다른 세 개의 HTTP 주소가 들어 있었다. 모두 80번 포트의 /8/forum.php를 가리켰고, 설정 분석 결과에서는 명령제어(C2) 접속 대상으로 분류됐다. 이 주소들은 같은 악성 파일과 연결된다는 점에서는 동등하다. 그렇다면 세 호스트도 같은 시기에 같은 방식으로 운영된 서버라고 볼 수 있을까. CTX Threat Intelligence가 검토한 자료는 그보다 구체적인 구분을 가능하게 한다. 두 도메인은 설정상의 경로뿐 아니라 기록된 네임서버와 TLS 서비스 지문도 같았다. 나머지 하나는 다른 DNS·TLS 특성을 보였고, 제공된 도메인 생성일은 파일의 최초 제출일보다 늦었다. 하나의 접속 대상 묶음 안에 들어 있다는 사실과, 같은 운영 이력을 가진 인프라라는 판단 사이에 차이가 드러나는 대목이다. 이 사례의 핵심은 세 서버에 대한 통신을 재구성하는 데 있지 않다.
#WindowsDLL#C2설정#HTTP#DNS#TLS#JARM#샌드박스분석행위자TA511 · MAN1IOCf1 · i0 · d3 · u6지역RO
FILE회원 전용2026년 10월 13일 15:19 (UTC+9)AAct, 자기 경로와 관련 도구 경로를 Defender 검사 제외 대상으로 요청
실행 중인 프로그램이 Windows 관리 도구를 호출해 자신의 경로를 Microsoft Defender 검사 제외 대상으로 지정했다. CTX Threat Intelligence가 검토한 AAct 표본의 샌드박스 기록에는 실행 파일에서 cmd.exe, 다시 WMIC.exe로 이어지는 부모·자식 관계가 남아 있다. 제외 요청은 자기 자신에 그치지 않았다. 작업 폴더와 그 안의 KMSSS.exe, 시스템 디렉터리의 실행 파일과 DLL도 대상으로 등장했다. 이 기록이 던지는 질문은 단순히 “정품 인증 도구가 탐지됐는가”가 아니다. 이 프로그램은 어떤 파일을 Defender의 검사 범위 밖에 두려 했으며, 그 대상으로 적힌 파일을 별도로 분석된 KMS 에뮬레이터와 어디까지 연결할 수 있을까. CTX Team은 이 사례의 핵심을 실행 파일이 자신의 경로뿐 아니라 관련 도구 경로까지 검사 제외 대상으로 추가하려 한 행위로 판단한다.
#AAct#KMSSS#KMS에뮬레이터#Defender검사제외#WMIC#보안설정변경행위자Gamaredon Group · CTIGIOCf2 · i0 · d0 · u0MITRE17산업정부·공공
C&C회원 전용2026년 10월 13일 15:19 (UTC+9)저장된 sidebar.exe 경로, .exe 열기 명령의 첫 실행 대상으로
사용자 영역에 기록된 sidebar.exe의 경로가 Windows의 .exe 열기 명령에도 들어갔다. CAPE 샌드박스가 기록한 값은 원래 실행할 파일 앞에 이 프로그램과 /START 인수를 배치했다. 단순히 수상한 실행 파일 하나를 저장한 것일까, 아니면 다른 실행 파일을 여는 과정에 그 프로그램을 끼워 넣으려 한 것일까. CTX Threat Intelligence가 검토한 기록에서 가장 설명력이 큰 부분은 파일 저장 위치와 레지스트리 명령이 정확히 맞물린다는 점이다. 같은 CAPE 분석에서 %APPDATA%\Microsoft\SDL\sidebar.exe에 대한 쓰기가 기록됐고, 현재 사용자의 .exe 열기 명령은 바로 그 경로를 가리켰다. 이는 이름이 수상하다는 판단을 넘어, 실행 파일을 여는 경로에 별도 프로그램을 개입시키는 설정을 보여 준다. 본문의 %APPDATA%는 기록에 나온 사용자별 AppData\Roaming 경로를 줄여 쓴 표현이다.
#윈도실행파일#사용자영역#레지스트리변경#실행경로재지정#프로세스생성#HTTPPOST요청행위자Gamaredon Group · CTIGIOCf12 · i1 · d0 · u9지역US산업소매·유통
APT회원 전용2026년 10월 13일 15:19 (UTC+9)설정 속 두 도메인, 샌드박스 POST 요청 대상으로 확인
악성코드에서 추출한 설정에 들어 있던 두 도메인이 샌드박스의 HTTPS POST 요청 대상에도 나타났다. 같은 파일을 분석한 다른 보고서에서는 파일명에 붙은 문자열이 안내문 이름, 아이콘 파일, 윈도 파일 연결 레지스트리에 반복됐다. 외부 통신과 호스트 변경은 각각 무엇을 말해 주며, 어디까지 하나의 작동 방식으로 연결할 수 있을까. CTX Threat Intelligence가 검토한 자료는 이 파일의 통신 대상과 랜섬웨어성 호스트 변경을 구체적으로 뒷받침한다. 두 도메인은 단순히 실행 파일에 남아 있는 문자열에 그치지 않았다. 로컬 흔적 역시 낯선 확장자를 가진 파일 몇 개가 아니라, 해당 확장자의 표시 방식까지 함께 설정한 관계로 나타났다. 다만 외부에서 받은 명령이 파일 변경을 일으켰다는 인과관계까지 기록된 것은 아니다. 이 사례의 핵심은 그 빈틈을 가상의 공격 순서로 메우는 대신, 서로 맞물리는 관찰을 통해 각 요소의 역할을 밝히는 데 있다.
#DarkSide계열#랜섬웨어#악성코드분석#HTTPSPOST#윈도레지스트리#파일연결설정#샌드박스행위자Darkside · Gold WaterfallIOCf87 · i0 · d1 · u3MITRE37지역RO
FILE회원 전용2026년 10월 12일 23:27 (UTC+9)서로 다른 이름의 압축 파일·PE, 해제 크기로 일곱 쌍 대응
압축 데이터로 분류된 launch.exe의 해제 크기는 176,386바이트다. 별도로 등록된 Windows 실행 파일 ntmstart.exe의 크기도 정확히 같다. 다른 압축 파일 att.dll은 해제 크기가 235,266바이트로, 별도 DLL인 NtProcMon.dll과 일치한다. 서로 다른 이름의 파일들이 압축 전후의 형태로 연결되는 것일까. CTX Threat Intelligence 자료에서 이처럼 ZLIB 압축 해제 크기와 별도 PE 파일 크기가 맞아떨어지는 대응은 일곱 쌍에서 확인된다. 압축 객체에는 각각 자식 파일 하나와 PE 헤더가 보고돼 있다. CTX Team은 이를 단순히 비슷한 이름을 가진 파일들의 집합보다 구체적인, 압축 객체와 실행 가능한 구성 요소 사이의 대응 후보로 평가한다. 다만 실제 배포·설치 관계까지 확인된 것은 아니다. 이 사례의 핵심은 파일 수를 세는 데서 벗어나, 같은 구성 요소가 서로 다른 형태와 이름으로 표현됐을 가능성을 구분하는 데 있다.
#ZLIB#PE파일#파일해시#샌드박스분석#파일쓰기#자동실행#분석환경행위자Lazarus Group · Hastati GroupIOCf29 · i0 · d0 · u0MITRE29지역SG
C&C회원 전용2026년 10월 12일 23:15 (UTC+9)서로 다른 Bright SDK 파일, 같은 서비스 이름 공유
Bright Data가 서명한 한 net_updater.exe의 자동 시작 관련 기록에 서로 다른 세 이름이 등장한다. epicpen_com, brightvpn_com, drvhub_net으로 끝나는 Windows 서비스 경로다. 같은 파일에는 한 샌드박스가 내린 ‘PBot·정보탈취형 악성코드’ 판정도 붙어 있다. 여러 제품을 가리키는 서비스 이름과 유효한 서명, 악성 판정은 이 업데이트 프로그램의 역할을 어디까지 설명할까. CTX Threat Intelligence 자료에서 가장 구체적으로 확인되는 것은 서로 다른 Bright SDK 업데이트 파일들이 동일한 서비스 이름을 공유한다는 관계다. 이는 파일명만 같은 경우보다 분명한 조사 단서다. 다만 서비스 경로가 보고됐다는 사실과 실제 서비스 생성·실행, 정보 탈취는 각각 다른 수준의 증거다. 이 사례를 이해하는 핵심은 서명과 탐지 판정 중 하나를 택하는 것이 아니라, 파일과 서비스의 연결을 먼저 좁혀 보는 데 있다.
#BrightData#BrightSDK#Windows서비스#자동시작#코드서명#샌드박스판정행위자Space Pirates · WebwormIOCf18 · i35 · d29 · u9MITRE19
APT회원 전용2026년 10월 12일 23:15 (UTC+9)같은 파일 가리킨 로그인 실행·Defender 제외 설정
%WINDIR%\rss\csrss.exe라는 경로가 파일 기록, 로그인 실행 설정, 보안 검사 예외 항목에 거듭 등장한다. Windows 시스템 프로세스를 연상시키는 이름이지만, 분석 기록이 주목한 것은 이름 자체보다 rss라는 하위 디렉터리와 그곳을 가리키는 설정들이다. 이 파일은 단지 시스템 파일처럼 보이려 한 것일까, 아니면 그 위치를 지속적인 실행 거점으로 삼으려 한 것일까. CTX Threat Intelligence가 검토한 샌드박스 자료는 후자의 해석을 뒷받침한다. 해당 경로에 놓인 실행 파일은 분석 대상 표본과 SHA-256이 같았고, 사용자 Run 값은 그 경로를 실행 대상으로 지정했다. 별도의 규칙 일치 이벤트에는 같은 파일을 로그온 때 실행하도록 예약 작업을 만드는 명령이 남았다. Defender 검사 제외 설정을 겨냥한 레지스트리 쓰기에도 rss 경로와 csrss.exe 이름이 나타났다.
#윈도우#자동시작#예약작업#Defender제외#지속성시도#Tor#샌드박스분석행위자Barium · Wicked SpiderIOCf5 · i0 · d2 · u0MITRE46지역SA
FILE회원 전용2026년 10월 12일 07:22 (UTC+9)원본과 같은 PCSuite.exe, 자동 시작 경로는 달랐다
PCSuite.exe라는 이름으로 저장된 파일의 내용은 분석 대상 실행 파일과 같았다. 하지만 같은 표본의 샌드박스 기록에는 내용이 서로 다른 sta-css.exe와 stat-cpe.exe도 남았다. 하나의 실행 파일이 이름만 바꿔 존재하는 것일까, 아니면 다른 구성요소로 실행을 확장하는 것일까. 이 사례의 핵심은 파일 개수가 아니라, 그 파일들이 실행 명령과 자동 시작 설정에 어떻게 연결되는지에 있다. CTX Threat Intelligence가 확보한 기록은 두 방향의 확장을 보여 준다. 원본과 같은 내용의 PCSuite.exe가 기록되고, 사용자 로그인 시 해당 이름의 프로그램을 실행하도록 하는 레지스트리 값이 설정됐다. 다른 한편으로는 별도 실행 파일, rundll32.exe가 호출하는 로컬 DLL, 임시 배치 파일을 실행하는 명령 셸이 확인됐다. CTX Team은 이를 원본 실행 파일 하나에 머물지 않는 구성요소 배치와 지속 실행 지향의 구조로 평가한다.
#악성파일#윈도자동시작#레지스트리Run키#DLL로드#임시배치파일#프로세스트리#HTTPPOSTIOCf18 · i1 · d13 · u0MITRE48지역US산업소매·유통
C&C회원 전용2026년 10월 12일 07:19 (UTC+9)방화벽 규칙 삭제 대상, 서비스 이름과 일치
netsh.exe에 전달된 삭제 대상은 upWire와 wire라는 두 방화벽 규칙이었다. upWire 표본의 샌드박스 분석 보고서에는 이 이름을 각각 지정한 명령 실행이 기록돼 있다. 별도로 보고된 서비스 레지스트리 위치에도 같은 이름이 등장한다. 단순한 ‘방화벽 변경’ 경보보다 구체적인 질문을 던지는 조합이다. 이 명령은 보안 장벽을 낮추려는 동작이었을까, 아니면 관련 소프트웨어 구성요소를 정리하는 작업이었을까. CTX Threat Intelligence 자료에서 가장 분명하게 확인되는 것은 두 이름을 겨냥한 방화벽 규칙 삭제 시도와, 그 이름에 대응하는 서비스 흔적이다. CTX Team은 이 대응 관계가 서비스 중심으로 구성된 소프트웨어의 유지관리라는 해석을 뒷받침한다고 평가한다. 다만 삭제 명령의 목적이나 결과까지 정해 주지는 않는다. 이 사례의 핵심은 악성 여부를 하나의 경보로 판정하는 데 있지 않다.
#방화벽규칙삭제시도#서비스레지스트리#프로세스생성#netsh#코드서명#샌드박스분석행위자Space Pirates · WebwormIOCf19 · i17 · d6 · u2MITRE19
C&C회원 전용2026년 10월 11일 15:50 (UTC+9)upWire 분석서 ‘wire’ 방화벽 규칙 삭제 명령 확인
Windows 방화벽 전체를 끄는 명령은 아니었다. upWire 파일의 샌드박스 분석에 포함된 프로세스 생성 기록에는 netsh advfirewall firewall delete rule 명령이 두 건 남아 있었고, 삭제 대상으로 지정된 이름은 각각 upWire와 wire였다. 이 이름들은 소프트웨어 구성요소를 가리키는 것일까, 아니면 보안 통제를 제거하려는 흔적일까. 답을 가르는 것은 경고의 심각도가 아니라, 명령이 겨냥한 대상과 다른 호스트 기록 사이의 관계다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적으로 확인되는 것은 이름이 지정된 방화벽 규칙을 삭제하도록 netsh가 실행됐다는 사실이다. 별도의 wire.exe 파일 자료에는 Windows 서비스 레지스트리 위치가 보고돼 있다. 두 관찰은 Wire 관련 소프트웨어를 단순한 실행 파일이 아니라 서비스와 방화벽 설정에 관계된 구성요소로 살펴볼 이유를 제공한다.
#윈도우방화벽#방화벽규칙삭제#netsh#윈도우서비스#프로세스생성#코드서명#Sysmon행위자Space Pirates · WebwormIOCf16 · i18 · d21 · u6MITRE18
C&C회원 전용2026년 10월 11일 00:28 (UTC+9)서로 다른 목적지로 향한 두 유틸리티의 유사한 활동 보고
UninstallerTray.exe의 샌드박스 기록에는 같은 웹 경로로 보내는 두 종류의 요청이 남아 있다. 하나는 type=operate&action=run, 다른 하나는 type=autoitem&action=nowork라는 값을 담았다. 프로그램 이름만 보면 제거 도구의 구성요소지만, 네트워크에서는 자신의 동작 상태를 표현하는 듯한 값을 외부에 전달한 것이다. 이 요청은 단순한 도메인 연관 정보일까, 아니면 다른 프로그램에서도 확인되는 보고 방식의 일부일까. CTX Threat Intelligence가 검토한 자료에서는 후자에 무게를 실을 구체적인 비교점이 확인된다. UninstallerTray와 WinAuthority는 서로 다른 호스트에 접속했지만, 애플리케이션 이름·모듈 버전·식별자 형태의 값·활동 상태를 담는 유사한 HTTP 요청을 보냈다. 두 실행 파일의 코드 서명에는 같은 발행자 인증서가 사용됐다.
#UninstallerTray#WinAuthority#활동보고#HTTP통신#DNS조회#코드서명#인터넷캐시#LSASS경보행위자Group123 · Venus 121IOCf10 · i3 · d2 · u1MITRE52
FILE회원 전용2026년 10월 10일 23:23 (UTC+9)PNG 이름의 DLL, 원격 데스크톱 서비스 로딩 대상으로 지정
윈도 원격 데스크톱 서비스의 DLL 경로에 이미지처럼 보이는 파일이 지정됐다. 샌드박스 기록에서 TermService의 ServiceDLL 값은 C:\Windows\branding\mediasrv.png를 가리켰다. 같은 실행 파일을 분석한 다른 기록에서는 그 경로에 생성된 파일의 내용이 실제로 64비트 윈도 DLL임을 해시로 확인할 수 있다. 왜 원격 데스크톱 서비스가 PNG 확장자의 파일을 불러오도록 설정됐을까. CTX Threat Intelligence가 확보한 분석 기록은 단순한 파일 위장을 넘어, 원격 데스크톱 관련 서비스의 구성을 바꾸려는 시도를 보여 준다. 실행 파일은 PowerShell을 통해 임시 디렉터리의 스크립트를 호출했고, 그 PowerShell 아래에서 서비스 시작 명령들이 실행됐다. 별도 분석에서는 서비스 DLL 경로와 RDP 포트 설정이 변경됐다. 핵심은 악성코드 분류명이 아니라 파일 배치, 스크립트 실행, 서비스 설정이 가리키는 공통된 목적이다.
#윈도#원격데스크톱서비스#DLL위장#서비스설정변경#PowerShell#RDP포트변경#샌드박스분석행위자TA505 · Hive0065IOCf10 · i2 · d3 · u8
APT회원 전용2026년 10월 10일 23:13 (UTC+9)사용자 폴더 실행 파일, 로그인 실행 대상으로 등록
사용자 폴더에 기록된 실행 파일과 로그인 시 실행하도록 등록된 명령이 같은 경로를 가리켰다. Windows 실행 파일을 분석한 Rising MOVES 샌드박스 보고서에는 C:\Users\<user>\daxixreameam.exe 파일 쓰기와, 이 경로를 대상으로 한 사용자 Run 레지스트리 값 설정이 함께 남았다. 이 관계는 단순히 수상한 파일 이름을 발견한 것과 다르다. 디스크에 기록된 파일이 다음 로그인 때 실행할 대상으로도 지정됐다는 뜻이다. 그렇다면 이 표본은 시스템에 돌아올 자리를 마련하는 데 그쳤을까, 아니면 외부와 통신하는 역할도 드러냈을까. CTX Threat Intelligence가 확보한 자료에는 같은 표본의 별도 분석에서 여러 목적지의 TCP 25번 포트로 향한 통신도 기록돼 있다. CTX Team은 이를 사용자 로그인에 연결된 실행 설정과 메일 서비스 포트를 향한 외부 통신이 함께 나타난 사례로 평가한다.
#윈도실행파일#샌드박스분석#Run레지스트리#로그인실행설정#TCP25번포트#HTTP요청#DNS조회행위자Pinchy Spider · SodinokibiIOCf2 · i4 · d10 · u11지역DE · US산업소매·유통
C&C회원 전용2026년 10월 10일 07:26 (UTC+9)서비스 이름과 일치한 방화벽 규칙 삭제 명령
Windows 방화벽에서 upWire와 wire라는 이름의 규칙을 삭제하도록 지시한 프로세스가 샌드박스 기록에 남았다. 두 이름은 별도로 보고된 실행 파일의 서비스 레지스트리 경로에도 등장한다. 서비스와 방화벽 규칙의 이름이 맞아떨어지는 것은 무엇을 뜻할까. 프로그램이 자신의 네트워크 접근 설정을 바꾼 흔적일 수도 있지만, 그 결론에 도달하려면 이름의 일치와 실제 실행 관계를 구분해야 한다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적인 행동은 높은 무결성 수준으로 생성된 netsh.exe가 두 규칙의 삭제 명령을 받은 사실이다. CTX Team은 이를 wire·upWire 서비스 관련 흔적과 함께 살펴볼 근거로 평가한다. 다만 확인된 것은 이름이 연결하는 서비스·방화벽 설정의 관계다. 방화벽 전체가 꺼졌다거나, 두 실행 파일이 함께 작동해 통신을 열었다는 실행 과정은 아니다. 이 차이는 탐지 경보의 의미뿐 아니라 조사할 시스템 변경의 범위도 바꾼다.
#윈도우방화벽#방화벽규칙삭제#서비스경로#프로세스생성#넷시#디지털서명행위자Cactus · Cactus Ransomware GroupIOCf22 · i17 · d11 · u4MITRE16
APT회원 전용2026년 10월 10일 07:26 (UTC+9)같은 하위 도메인 이름, 서로 다른 CNAME 대상
서로 다른 두 도메인 아래에 같은 16자리 문자열의 하위 도메인이 등장한다. 69f335c8397887d4.tyui54345.xyz와 69f335c8397887d4.zxcv56745.xyz다. 두 도메인에는 yzzcommon이라는 하위 도메인 이름도 나란히 존재한다. 이처럼 반복되는 이름은 같은 목적지에 접근하는 대체 주소를 뜻할까, 아니면 이름을 정하는 방식만 공유한 것일까. CTX Threat Intelligence의 DNS 자료에서 확인되는 핵심은 이름의 대칭성과 목적지의 동일성이 다르다는 점이다. 두 도메인군은 공통된 명명 규칙을 사용했을 가능성을 뒷받침하지만, 기록된 별칭의 대상은 서로 다르다. 이 관계는 인프라를 함께 살펴볼 구체적인 이유를 제공한다. 다만 이를 하나의 서버나 실제 통신 경로로 합치면 자료가 보여 주는 범위를 벗어난다. 두 yzzcommon 하위 도메인은 비교의 출발점이다.
#DNS#CNAME#하위도메인#도메인인프라#위협인텔리전스#네임서버행위자Gold Evergreen · Business ClubIOCf5 · i1 · d7 · u2지역US산업소매·유통
FILE회원 전용2026년 10월 9일 15:34 (UTC+9)워드 문서의 다운로드 명령, 첨부 응답과 실행 파일로 확인
워드 문서를 분석한 샌드박스에서 웹 경로에 대한 GET 요청이 실행 파일 첨부 응답을 받았다. 같은 분석 보고서에는 PowerShell의 자식으로 실행된 프로그램도 남아 있다. 문서가 단지 의심스러운 명령을 담고 있었던 것인지, 실제로 외부 파일을 가져와 실행하는 역할까지 했던 것인지 가르는 대목이다. 응답에 붙은 파일명과 로컬 실행 파일명은 달랐지만, 두 이름으로 기록된 파일의 해시가 같다는 사실이 그 사이를 연결한다. CTX Threat Intelligence가 확보한 기록은 이 문서를 실행 파일 다운로드와 실행을 연결하는 다운로더로 해석할 근거를 제공한다. 더 중요한 점은 명령문이 의도한 동작과 샌드박스가 실제로 기록한 결과를 함께 볼 수 있다는 것이다. PowerShell 명령은 여러 URL에서 파일을 받아 일정 크기 이상이면 실행하도록 구성돼 있었다. 실행 기록에서는 그 후보 중 한 곳의 응답, 로컬 파일, 자식 프로세스가 확인된다.
#워드문서#다운로더#PowerShell#실행파일다운로드#샌드박스분석#파일해시행위자Emotet Group · TA542IOCf4 · i0 · d5 · u3지역AU산업기술·IT
C&C회원 전용2026년 10월 9일 15:34 (UTC+9)CUAssistant·Chrome 경로의 파일, 실행 표본과 해시 일치
CUAssistant의 실행 파일과 Chrome 설치 프로그램 경로에서 같은 내용의 파일이 기록됐다. 이름과 위치는 달랐지만, 두 파일의 SHA-256은 분석에 투입한 실행 파일과 정확히 일치했다. 익숙한 소프트웨어 이름 아래 놓인 파일을 해당 제품의 구성 요소로 보아도 될까. 이 사례에서 해시와 파일 생성 기록을 함께 읽으면, 서로 다른 프로그램처럼 보이는 경로가 사실은 같은 실행 파일의 여러 배치 위치였다는 점이 드러난다. CTX Threat Intelligence가 검토한 샌드박스 자료의 가장 강한 발견은 이처럼 하나의 실행 파일 내용이 여러 소프트웨어 디렉터리에서 확인됐다는 것이다. 같은 보고서에는 입력 파일과 내용이 다른 임시 실행 파일도 있었고, 별도 분석에서는 Ground.exe 쓰기와 Ground 레지스트리 값 설정이 관찰됐다. 이 관계는 단순한 악성코드 분류명보다 표본의 역할을 구체적으로 보여 준다.
#윈도실행파일#샌드박스분석#파일쓰기#해시일치#소프트웨어디렉터리#레지스트리설정#Ground행위자Salty Spider · KuKuIOCf41 · i4 · d3 · u1MITRE17지역ID
C&C회원 전용2026년 10월 8일 23:52 (UTC+9)DNS·TLS로 연결된 도메인과 IP, 악성코드 접속은 미확인
dfkjgoi3.info의 A 레코드는 213.108.199.215를 가리킨다. 두 대상에 기록된 HTTPS 인증서의 지문과 TLS 서비스 지문인 JARM 값도 같다. 도메인과 IP를 함께 추적할 구체적인 연결이 있는 셈이다. 그렇다면 이 연결은 악성코드가 접속한 서버까지 확인해 주는가, 아니면 서버 인프라의 대응 관계만 보여 주는가. CTX Threat Intelligence 자료에서 확인되는 것은 후자다. DNS가 도메인과 주소를 직접 연결하고, 인증서와 JARM의 일치가 서비스 특성 측면에서 이를 뒷받침한다. 이는 평판이 의심스럽다는 이유만으로 두 지표를 묶는 것보다 강한 근거다. 다만 제공된 파일 중 어느 것이 이 서비스에 접속했는지를 보여 주는 통신 기록이나 추출 설정은 없다. 이 사례의 핵심은 도메인과 IP를 하나의 조사 대상으로 묶을 수 있는 이유와, 그 묶음이 실제로 설명하는 서버의 역할에 있다. 가장 직접적인 근거는 저장된 A 레코드다.
#DNS#A레코드#HTTPS인증서#JARM#TLS#서버인프라#네덜란드행위자Salty Spider · KuKuIOCf13 · i1 · d2 · u46MITRE48지역UA
APT회원 전용2026년 10월 8일 23:52 (UTC+9)임시 배치 파일과 바로가기에 같은 스크립트 실행 명령
실행파일이 임시 폴더의 start.bat를 실행하고, 그 배치 파일을 처리하는 cmd.exe 아래에서 여러 PowerShell 프로세스가 나타났다. 그중 하나는 http://marketprice.pk/zxcvb.ps1의 내용을 가져와 명령으로 실행하도록 구성돼 있었다. 별도로 분석한 Windows 바로가기에서도 같은 PowerShell 명령과 해당 도메인의 DNS 조회가 기록됐다. 두 파일은 하나의 실행 사슬에 속한 것일까, 아니면 같은 다운로드 방식을 공유하는 것일까. CTX Threat Intelligence의 샌드박스 기록을 대조하면, 실행파일과 별도 바로가기 사이에서 확인되는 핵심 연결은 동일한 스크립트 요청·실행 명령이다. 실행파일이 바로가기들을 생성했다는 내용 식별 근거도 있지만, 그중 특정 파일이 별도 분석된 바로가기이며 실제 실행까지 이어졌다는 연결은 완성되지 않는다. 이 차이는 중요하다.
#윈도실행파일#윈도바로가기#임시배치파일#파워셸#원격스크립트#DNS조회행위자Patchwork · ChinastratsIOCf12 · i0 · d5 · u6MITRE31지역US산업소매·유통
FILE회원 전용2026년 10월 8일 23:42 (UTC+9)‘Windows Security’가 만든 로그온 설정, 실행 대상은 Roaming 파일
Windows Security.exe가 실행한 명령은 보안 검사가 아니었다. 샌드박스의 프로세스 생성 기록에는 이 파일이 schtasks.exe를 호출해 ‘Windows Defender Security’라는 예약 작업을 만들도록 요청한 장면이 남아 있다. 작업의 실행 대상은 Windows 시스템 디렉터리가 아니라 사용자 프로필의 AppData\Roaming\Windows Service\Windows Security.exe였다. 보안 기능처럼 보이는 이름이 실제로는 무엇을 다시 실행하도록 설정하고 있었을까. CTX Threat Intelligence가 검토한 기록에서 가장 설명력이 큰 단서는 이처럼 설정을 요청한 프로세스의 경로와 설정이 가리키는 실행 경로가 맞물린다는 점이다. 다른 이벤트에서는 생성한 파일의 경로가 사용자 로그온용 레지스트리 값에 그대로 들어갔다. 별도 표본에서는 그 파일이 놓인 디렉터리를 Microsoft Defender 검사에서 제외하도록 요청한 명령도 관찰됐다
#윈도우#예약작업#Run레지스트리#로그온실행#Defender검사제외#방어회피#HTTP요청행위자LazyScripterIOCf10 · i2 · d1 · u3MITRE9지역ZA산업정부·공공
FILE회원 전용2026년 10월 8일 07:32 (UTC+9)해시로 확인된 XMRig 실행, 같은 IP의 C2 설정은 별개
sysmgnrsv.exe라는 이름의 프로세스가 178.16.54.109:6060을 채굴 대상으로 지정한 채 생성됐다. 다른 실행 파일의 메모리에서 추출한 설정에도 같은 IP가 등장하지만, 포트는 6000이고 역할은 명령·제어(C2)로 분류돼 있다. 같은 주소를 가리키는 두 기록은 하나의 공격 경로를 보여 주는 것일까, 아니면 서로 다른 기능을 조사할 연결점일까. CTX Threat Intelligence의 자료에서 가장 분명한 사실은 첫 번째 기록의 실행 파일 정체다. 프로세스 생성 이벤트에 남은 SHA-256은 별도로 분석된 XMRig 파일과 일치한다. 의심스러운 파일명이나 채굴 탐지 규칙만으로 추정한 것이 아니라, 실제 생성된 프로세스의 파일 내용과 명령행을 함께 확인할 수 있다. 반면 두 번째 파일의 C2 주소는 메모리에서 추출된 설정이다. 이 주소로 통신했다는 해당 이벤트는 제시되지 않았다.
#XMRig#채굴#프로세스생성#C2설정#메모리분석#메일서버접촉IOCf18 · i2 · d37 · u2MITRE19지역CN · GB · HK · HU산업소매·유통
C&C회원 전용2026년 10월 8일 07:32 (UTC+9)WinAuthority 버전 일치 요청, 실행 보고 정황
WinAuthority.exe를 실행한 샌드박스에서 s.91toolbox.com/winauth로 향하는 HTTP 요청이 기록됐다. 요청에는 action=run, app=winauth와 함께 실행 파일의 버전과 일치하는 값이 들어 있었다. 유효한 코드 서명을 가진 프로그램이 자신의 실행을 외부에 알리는 것으로 보이는 장면이다. 그렇다면 이 서버는 실행 현황을 받는 곳인가, 아니면 프로그램에 다음 행동을 지시하는 곳인가. CTX Threat Intelligence가 검토한 자료에서 가장 선명한 관계는 실행 보고 성격의 요청, 그 호스트를 가리키는 DNS 응답, 같은 주소의 TCP 80번 포트 통신이다. 로컬에서는 WinAuthority 이름의 레지스트리와 설정 파일도 관찰됐다. 이 조합은 로컬 상태를 남기며 실행 정보를 전송하는 애플리케이션 동작을 뒷받침한다. 반면 서버가 명령을 내려줬다는 판단까지 나아갈 만한 응답 내용은 없다.
#WinAuthority#CTXThreatIntelligence#Windows실행파일#샌드박스분석#HTTP실행보고#DNS조회#로컬설정파일IOCf6 · i1 · d5 · u2MITRE48
APT회원 전용2026년 10월 8일 07:20 (UTC+9)로더가 만든 두 파일, 해시와 실행 관계로 역할 드러나
Loader by Sexsoldier.exe를 분석한 샌드박스에서 svchost.exe와 conhost.exe가 함께 생성됐다. 두 이름은 윈도 구성요소를 연상시키지만, 실행이 기록된 곳은 시스템 디렉터리가 아니라 Windows Error Reporting(WER) 임시 디렉터리였다. 이들은 단순히 수상한 이름을 가진 파일일까, 아니면 로더가 전달한 뒤 실행과 자동 시작에 사용하는 별도 구성요소일까. CTX Threat Intelligence가 검토한 기록은 두 파일의 역할을 내용 식별값과 실행 관계로 좁혀 준다. 로더의 분석 보고서에는 서로 다른 두 실행 파일을 생성한 프로세스가 명시돼 있다. 다른 관찰에서는 이 파일들이 로더의 자식 프로세스로 실행됐으며, svchost.exe는 사용자 AppData 경로의 실행 및 그 경로를 가리키는 Run 값과 연결된다. conhost.exe로 전달된 파일도 별도 분석에서 다른 윈도식 이름으로 실행되고 자동 시작 설정의 대상이 됐다.
#CTXThreatIntelligence#로더#샌드박스분석#프로세스생성#윈도오류보고임시디렉터리#AppData#Run자동시작행위자APT27 · TEMP.HippoIOCf9 · i1 · d0 · u0MITRE43지역BR · CO · EG · FR산업소매·유통
C&C회원 전용2026년 10월 7일 15:12 (UTC+9)wire·upWire 서비스 이름 겨냥한 방화벽 규칙 삭제 명령
upWire라는 제품명이 붙은 파일의 샌드박스 보고서에 서로 다른 두 이름이 등장한다. Windows 명령줄 도구 netsh.exe가 방화벽 규칙 upWire와 wire를 각각 삭제하도록 호출됐다. 별도 파일 자료에는 같은 이름의 Windows 서비스 위치도 보고돼 있다. 이 이름의 겹침은 무엇을 뜻할까. 방화벽을 무력화하는 공격의 흔적인가, 아니면 관련 소프트웨어의 설정을 관리하는 과정인가. CTX Threat Intelligence 자료에서 가장 구체적으로 확인되는 것은 서비스 이름과 맞물리는 방화벽 규칙 삭제 명령의 실행 요청이다. 단순한 문자열이나 탐지명보다 명확한 호스트 측 행동이다. 다만 그 행동을 이해하려면 세 가지를 나눠야 한다. 어떤 프로세스가 생성됐는지, 어떤 설정을 바꾸려 했는지, 실제로 어떤 상태가 바뀌었는지는 서로 다른 질문이다. CTX Team은 이 사례를 wire와 upWire라는 관련 구성요소를 중심으로 한 로컬 설정 관리 흔적으로 평가한다.
#upWire#wire#방화벽규칙#규칙삭제명령#netsh#Windows서비스#코드서명#샌드박스분석행위자Evilnum · DeathStalkerIOCf9 · i9 · d12 · u4MITRE20
C&C회원 전용2026년 10월 6일 23:15 (UTC+9)설치 인수와 서비스 흔적, 업데이터 역할은 뒷받침하지만 설치 완료는 미확인
샌드박스에서 같은 실행 파일이 -install, /install, /load 인수를 붙인 세 가지 형태로 기록됐다. 각 프로세스 아래에는 conhost.exe가 자식으로 표시됐고, 파일의 별도 자동시작 정보에는 두 개의 업데이터 서비스 이름이 남아 있었다. 이 조합은 무엇을 보여 주는가. 서비스로 동작하는 업데이트 구성요소의 흔적인가, 아니면 설치와 지속성 확보까지 완료한 악성 실행의 증거인가. CTX Threat Intelligence가 검토한 자료는 첫 번째 해석을 뒷받침한다. 대상은 Bright Data Ltd의 유효한 코드 서명이 확인된 실행 파일이며, 내부 이름은 net_updater.exe다. 서비스 관련 자동시작 항목과 설치·로딩 인수를 사용한 실행 기록은 이 파일을 서비스와 연관된 업데이터로 조사할 구체적인 근거가 된다. 다만 두 종류의 기록 사이를 잇는 서비스 등록 쓰기나 시작 이벤트는 제시되지 않았다.
#BrightData#Windows서비스#업데이터#자동시작#코드서명#샌드박스분석#UDP통신행위자APT15 · ROYALAPTIOCf11 · i2 · d5 · u2MITRE3산업헬스케어 · 통신
APT회원 전용2026년 10월 6일 23:14 (UTC+9)원본과 같은 update.exe, 재지정된 시작프로그램 폴더에 놓여
사용자 프로필 아래 AppData\Local\Start\update.exe가 기록됐다. 이름만 보면 업데이트용 실행 파일처럼 보이지만, Zenbox 분석에서 이 파일의 SHA-256은 분석 대상 실행 파일과 같았다. 같은 표본에 대한 별도의 레지스트리 이벤트에는 사용자의 시작프로그램 폴더를 AppData\Local\Start로 바꾸는 동작이 남아 있다. 왜 원본과 내용이 같은 파일이 놓인 디렉터리를 시작프로그램 위치로 지정했을까. CTX Threat Intelligence가 검토한 자료는 이 조합이 로그온 시 실행을 겨냥한 지속성 구성일 가능성을 뒷받침한다. 핵심은 Start라는 이름이나 update.exe라는 명칭 자체가 아니다. 파일이 놓인 위치와 운영체제가 시작프로그램 위치로 참조하도록 설정된 경로가 맞물린다는 점이다. 여기에 탐색기의 숨김 파일·확장자 표시 설정을 바꾸는 기록도 있다. 파일의 존재, 실행 위치의 지정, 화면에서의 표시 방식이 서로 다른 증거로 드러나는 사례다
#윈도우#시작프로그램#레지스트리#지속성구성#탐색기설정#Run키#실행파일행위자Salty Spider · KuKuIOCf17 · i1 · d2 · u5MITRE23지역AU · IT · TR
FILE회원 전용2026년 10월 5일 15:26 (UTC+9)서로 다른 두 실행 파일, 같은 /77.exe 요청 경로로 연결
서로 다른 두 실행 파일에 연결된 네트워크 탐지 기록에서 같은 주소가 반복된다. http://propanla.com/77.exe다. 한 파일에는 7-Zip 자동 압축 해제 모듈의 정보가, 다른 파일에는 FarLabUninstaller라는 제품 정보가 들어 있다. 겉모습이 다른 파일들이 왜 같은 실행 파일 경로를 가리키는가. 이 연결은 공통 유포 지점을 보여 주는가, 아니면 하나의 감염 과정까지 설명하는가. CTX Threat Intelligence 자료에서 가장 구체적인 접점은 악성코드 계열명이 아니라 호스트명과 경로가 모두 같은 네트워크 이벤트다. 두 파일의 기록에는 이 URL을 대상으로 한 실행 파일 요청 패턴이 있고, 한쪽에는 HTTP 실행 파일 제공 패턴도 함께 잡혔다. CTX Team은 이를 실행 파일 전달 지점이라는 해석을 뒷받침하는 관계로 평가한다. 다만 핵심은 두 파일이 같은 장소를 참조했다는 데 있다.
#실행파일#네트워크탐지#공통URL#HTTP요청#파일전송#DNS기록#도메인보류행위자Lazarus Group · Hastati GroupIOCf23 · i2 · d7 · u6지역US산업소매·유통
APT회원 전용2026년 10월 5일 15:15 (UTC+9)방화벽 규칙 삭제 요청, 서비스 이름과 일치
윈도우 샌드박스의 프로세스 생성 기록에 방화벽 규칙 두 개를 지우라는 명령이 남았다. 대상 이름은 upWire와 wire다. 같은 이름은 분석 대상 파일들의 서비스 레지스트리 흔적에도 등장한다. 이 일치는 단순한 방화벽 경보보다 구체적인 질문을 던진다. 서비스와 관련된 규칙을 정리한 것인가, 아니면 보안 설정을 바꾸려 한 것인가. CTX Threat Intelligence가 검토한 자료에서 가장 선명한 관찰은 cmd.exe를 부모로 하는 netsh.exe의 실행이다. 명령줄에는 삭제할 규칙 이름이 명시돼 있다. 여기에 서비스 이름의 일치와 두 파일의 동일한 코드 서명 인증서가 더해진다. CTX Team은 이를 서비스 관련 방화벽 규칙의 정리 또는 재구성을 검토할 근거로 판단한다. 다만 명령의 성공 여부와 시작점은 별개의 문제다. 기록은 방화벽 변경을 요청한 프로세스를 보여 주지만, 어느 분석 대상 실행 파일이 그 요청을 유발했는지까지 연결하지는 않는다.
#윈도우샌드박스#방화벽규칙#규칙삭제요청#서비스레지스트리#코드서명#프로세스생성#넷시행위자Space Pirates · WebwormIOCf20 · i9 · d6 · u2MITRE18
APT회원 전용2026년 10월 4일 10:53 (UTC+9)의심 IP보다 선명한 두 HTTP 요청 경로
한 Windows 실행 파일의 샌드박스 보고서에 http://178.16.54.109/us/n.txt와 같은 호스트의 /us/19233.txt를 요청한 기록이 남았다. 같은 보고서에는 외부 IP 확인 서비스에 대한 요청과 실행 파일 생성 흔적도 있다. 이 조합은 원격 서버에서 무언가를 받아 다음 프로그램을 실행하는 구조를 떠올리게 한다. 실제 기록은 그 해석을 어디까지 뒷받침할까. CTX Threat Intelligence가 확보한 자료에서 가장 선명한 연결은 특정 IP 주소를 향한 TCP 트래픽과 두 HTTP GET 요청의 일치다. 주소의 평판만으로 의심한 것이 아니라, 분석 대상 파일의 CAPE Sandbox 보고서에서 요청한 자원의 경로까지 확인된다. 별도의 C2AE 보고서에는 Windows 보안 정책과 알림 설정을 변경한 레지스트리 기록도 있다. CTX Team은 이를 원격 자원 요청, 로컬 실행 파일 출력, 보호 설정 변경이 각각 구체적으로 관찰된 사례로 판단한다.
#Windows실행파일#샌드박스분석#HTTP요청#원격자원호스트#PE산출물#레지스트리변경#보호설정변경행위자Turla · Iron HunterIOCf24 · i3 · d3 · u1지역US산업소매·유통