APT회원 전용2026년 10월 6일 23:14 (UTC+9)원본과 같은 update.exe, 재지정된 시작프로그램 폴더에 놓여
사용자 프로필 아래 AppData\Local\Start\update.exe가 기록됐다. 이름만 보면 업데이트용 실행 파일처럼 보이지만, Zenbox 분석에서 이 파일의 SHA-256은 분석 대상 실행 파일과 같았다. 같은 표본에 대한 별도의 레지스트리 이벤트에는 사용자의 시작프로그램 폴더를 AppData\Local\Start로 바꾸는 동작이 남아 있다. 왜 원본과 내용이 같은 파일이 놓인 디렉터리를 시작프로그램 위치로 지정했을까. CTX Threat Intelligence가 검토한 자료는 이 조합이 로그온 시 실행을 겨냥한 지속성 구성일 가능성을 뒷받침한다. 핵심은 Start라는 이름이나 update.exe라는 명칭 자체가 아니다. 파일이 놓인 위치와 운영체제가 시작프로그램 위치로 참조하도록 설정된 경로가 맞물린다는 점이다. 여기에 탐색기의 숨김 파일·확장자 표시 설정을 바꾸는 기록도 있다. 파일의 존재, 실행 위치의 지정, 화면에서의 표시 방식이 서로 다른 증거로 드러나는 사례다
#윈도우#시작프로그램#레지스트리#지속성구성#탐색기설정#Run키#실행파일행위자Salty Spider · KuKuIOCf17 · i1 · d2 · u5MITRE23지역AU · IT · TR
FILE회원 전용2026년 10월 5일 15:26 (UTC+9)서로 다른 두 실행 파일, 같은 /77.exe 요청 경로로 연결
서로 다른 두 실행 파일에 연결된 네트워크 탐지 기록에서 같은 주소가 반복된다. http://propanla.com/77.exe다. 한 파일에는 7-Zip 자동 압축 해제 모듈의 정보가, 다른 파일에는 FarLabUninstaller라는 제품 정보가 들어 있다. 겉모습이 다른 파일들이 왜 같은 실행 파일 경로를 가리키는가. 이 연결은 공통 유포 지점을 보여 주는가, 아니면 하나의 감염 과정까지 설명하는가. CTX Threat Intelligence 자료에서 가장 구체적인 접점은 악성코드 계열명이 아니라 호스트명과 경로가 모두 같은 네트워크 이벤트다. 두 파일의 기록에는 이 URL을 대상으로 한 실행 파일 요청 패턴이 있고, 한쪽에는 HTTP 실행 파일 제공 패턴도 함께 잡혔다. CTX Team은 이를 실행 파일 전달 지점이라는 해석을 뒷받침하는 관계로 평가한다. 다만 핵심은 두 파일이 같은 장소를 참조했다는 데 있다.
#실행파일#네트워크탐지#공통URL#HTTP요청#파일전송#DNS기록#도메인보류행위자Lazarus Group · Hastati GroupIOCf23 · i2 · d7 · u6지역US산업소매·유통
APT회원 전용2026년 10월 5일 15:15 (UTC+9)방화벽 규칙 삭제 요청, 서비스 이름과 일치
윈도우 샌드박스의 프로세스 생성 기록에 방화벽 규칙 두 개를 지우라는 명령이 남았다. 대상 이름은 upWire와 wire다. 같은 이름은 분석 대상 파일들의 서비스 레지스트리 흔적에도 등장한다. 이 일치는 단순한 방화벽 경보보다 구체적인 질문을 던진다. 서비스와 관련된 규칙을 정리한 것인가, 아니면 보안 설정을 바꾸려 한 것인가. CTX Threat Intelligence가 검토한 자료에서 가장 선명한 관찰은 cmd.exe를 부모로 하는 netsh.exe의 실행이다. 명령줄에는 삭제할 규칙 이름이 명시돼 있다. 여기에 서비스 이름의 일치와 두 파일의 동일한 코드 서명 인증서가 더해진다. CTX Team은 이를 서비스 관련 방화벽 규칙의 정리 또는 재구성을 검토할 근거로 판단한다. 다만 명령의 성공 여부와 시작점은 별개의 문제다. 기록은 방화벽 변경을 요청한 프로세스를 보여 주지만, 어느 분석 대상 실행 파일이 그 요청을 유발했는지까지 연결하지는 않는다.
#윈도우샌드박스#방화벽규칙#규칙삭제요청#서비스레지스트리#코드서명#프로세스생성#넷시행위자Space Pirates · WebwormIOCf20 · i9 · d6 · u2MITRE18
APT회원 전용2026년 10월 4일 10:53 (UTC+9)의심 IP보다 선명한 두 HTTP 요청 경로
한 Windows 실행 파일의 샌드박스 보고서에 http://178.16.54.109/us/n.txt와 같은 호스트의 /us/19233.txt를 요청한 기록이 남았다. 같은 보고서에는 외부 IP 확인 서비스에 대한 요청과 실행 파일 생성 흔적도 있다. 이 조합은 원격 서버에서 무언가를 받아 다음 프로그램을 실행하는 구조를 떠올리게 한다. 실제 기록은 그 해석을 어디까지 뒷받침할까. CTX Threat Intelligence가 확보한 자료에서 가장 선명한 연결은 특정 IP 주소를 향한 TCP 트래픽과 두 HTTP GET 요청의 일치다. 주소의 평판만으로 의심한 것이 아니라, 분석 대상 파일의 CAPE Sandbox 보고서에서 요청한 자원의 경로까지 확인된다. 별도의 C2AE 보고서에는 Windows 보안 정책과 알림 설정을 변경한 레지스트리 기록도 있다. CTX Team은 이를 원격 자원 요청, 로컬 실행 파일 출력, 보호 설정 변경이 각각 구체적으로 관찰된 사례로 판단한다.
#Windows실행파일#샌드박스분석#HTTP요청#원격자원호스트#PE산출물#레지스트리변경#보호설정변경행위자Turla · Iron HunterIOCf24 · i3 · d3 · u1지역US산업소매·유통
FILE회원 전용2026년 10월 2일 14:57 (UTC+9)다운로더에 랜섬웨어 룰 겹친 57KB 파일, 두 얼굴
57KB짜리 서명 없는 Win32 실행파일 하나가 두 개의 서로 다른 신원을 동시에 지니고 있다. AV 라벨은 이 파일을 trojan.upatre/zbot으로 분류하고, 샌드박스는 이를 뱅킹 트로이목마 계열 다운로더 Upatre로 지목한다(Zenbox, 악성 판정, 신뢰도 68). 그런데 같은 파일이 크로스소스드 YARA 검사에서 랜섬웨어 전용 룰 CryptoLocker_rule2(룰셋 RANSOM_Cryptolocker, 작성자 Christiaan Beek)를 그대로 발화시킨다. 다운로더 신원과 랜섬웨어 시그니처가 한 바이너리 안에서 충돌하는 이 조합이, 이 파일(이하 다운로더 스텁, 해시 00cfda3d…)을 들여다볼 가치가 있게 만드는 지점이다. 이 파일을 끌어들이는 네트워크 측 고리는 단 하나, spinistry.com이다. 이 도메인은 2009년 7월 4일 ENOM, INC.를 통해 등록돼 6,299일째 살아 있는, 보기 드물게 오래된 자산이다.
#Upatre#CryptoLocker#GoldEvergreen#YARA룰#다운로더#랜섬웨어#도메인재사용#뱅킹트로이목마행위자Gold Evergreen · Business ClubIOCf2 · i0 · d1 · u1MITRE9지역US산업소매·유통
C&C회원 전용2026년 10월 2일 14:39 (UTC+9)만료 인증서 그대로 걸친 설치 파일, 1년 뒤 포착된 'orcinius'
소매업 환경을 노린 PUP(potentially unwanted program) 계열 설치 파일 한 건이 VirusTotal에 처음 제출된 시점은 2015년 12월 13일이다. 그런데 이 파일에 걸려 있는 코드 서명 체인을 열어 보면 이상한 지점이 하나 나온다. "Premium Installer"라는 이름으로 발급된 리프(leaf) 인증서의 유효 기간은 2013년 7월 13일 오전 1시부터 2014년 8월 3일 오전 12시 59분까지였다. 다시 말해 이 설치 파일이 VirusTotal 레이더에 처음 걸린 시점은 서명 인증서가 유효기간을 넘긴 지 이미 1년 4개월이 지난 뒤였고, VirusTotal의 서명 검증 문자열은 이를 그대로 드러낸다 — "현재 시스템 시계 또는 서명된 파일의 타임스탬프를 기준으로 검증할 때 필요한 인증서가 유효 기간 내에 있지 않다
#orcinius#PUP#코드서명인증서#C2도메인#설치파일위장#소매업#임포트제로#탐지회피IOCf1 · i0 · d2 · u2MITRE13지역US산업소매·유통
FILE회원 전용2026년 10월 2일 06:50 (UTC+9)스냅챗 모드 APK 사칭 사이트, 실은 윈도우 스틸러 유포처
모바일 앱의 변조판(mod APK)을 찾아 들어간 사용자가 실제로 내려받은 것은 안드로이드 패키지가 아니라 윈도우 데스크톱 실행 파일이었다. thesnapchatmodapk.com이라는 도메인은 이름 그대로 "스냅챗 모드 APK"를 내세우지만, 실제로 서빙하는 파일 목록은 update1.exe, update2.exe, update3.exe, mine.bat, wdd.bat — 모두 윈도우 네이티브 포맷이다. 이 플랫폼 불일치 자체가 공격의 설계를 드러낸다. 모바일 앱을 찾는 검색 트래픽을 데스크톱 피싱 페이지로 유도하는 전형적인 타이포스쿼팅형 유인 구조이며, 피해자가 "APK를 받는다"고 믿는 순간 실제로는 Win32 GUI 바이너리를 실행하게 된다. CTX Team이 이번에 들여다본 것은 바로 이 도메인에서 뿌려진 LummaStealer 계열 바이너리 3종과, 이를 둘러싼 VBScript 스테이저, 그리고 텔레그램 봇 API를 하드코딩한 유출 채널이다.
#LummaStealer#타이포스쿼팅#텔레그램봇API#VBS스테이저#크립터해시회피#YARA탐지#피싱도메인#암호화폐지갑탈취IOCf11 · i0 · d1 · u5MITRE63지역GP · HU산업기술·IT
C&C회원 전용2026년 10월 2일 06:40 (UTC+9)4년 묵은 Emotet 로더, 89일 인증서로 드러난 재활용 배관
2022년 4월에 컴파일된 Emotet 로더 DLL(6bdac750fd1885696ffaf5dd38806c8f7bff2c8bc706421c9b4f0c2b0a9d8520, 이하 '이 로더')이 여전히 활성 C2 목록의 근거로 추적되고 있다는 사실은, 샘플 자체의 나이보다 그 샘플이 아직도 어떤 네트워크 지문을 끌고 다니는지가 더 흥미로운 지점을 만든다. VirusTotal 기준 탐지율은 54/76, 3개 샌드박스(C2AE, Yomi Hunter, CAPE Sandbox)는 만장일치로 악성 판정을 내리며 세 곳 모두 "Emotet"이라는 이름을 직접 명시했다. 이 3/3 합의는 이번 레코드 전체에서 가장 단단하게 뒷받침되는 사실이고, 나머지 모든 분석은 이 합의를 기준점으로 삼아야 한다. CTX Team이 이 레코드를 다시 들여다본 이유는 단순히 "오래된 Emotet 샘플이 하나 더 있다"는 사실 때문이 아니다.
#Emotet#Dridex#FeodoTracker#TA542#C2인프라#JA3핑거프린트#Let'sEncrypt인증서#크라임웨어로더행위자Emotet Group · TA542IOCf1 · i4 · d0 · u6MITRE24
FILE회원 전용2026년 10월 1일 22:58 (UTC+9)파티션 드라이버 위장 트로이목마, 증거는 오히려 얇아져
Windows 운영체제에서 디스크 파티션을 관리하는 핵심 드라이버 partmgr.sys의 경로를 그대로 사칭한 악성 바이너리 한 점이, 이번 갱신 주기에 새로 편입된 두 개의 파일 지표 가운데 유일하게 실체를 드러낸 샘플로 확인됐다. 해당 바이너리(243c7f05…)는 VirusTotal에 기록된 파일 이름 자체가 c:\windows\system32\drivers\partmgr.sys로 박혀 있으면서도, 동시에 7PLZfYlw8lxGk5pe1evjS.exe, N06A1Oj5m5fsNFiBO.exe, D3wYJdTXPznOSU1Pq1z0Ktx0BaEF.exe, FX1DO8HyN3ztrzRgYKPH.exe 같은 완전히 무작위한 문자열의 실행파일 이름으로도 동시에 포착됐다. 커널 드라이버 경로를 내부 이름으로 심어 두고 실제로는 난수 파일명의 EXE로 유포하는 이 조합은, 정상 시스템 구성요소처럼 보이게 만드는 위장(T1036.005)의 전형이다.
#Tofsee#Smokeloader#partmgr.sys위장#패킹#말레이시아IP#리테일섹터#SmokySpider#트로이목마행위자Smoky SpiderIOCf2 · i1 · d0 · u1MITRE33지역US산업소매·유통
C&C회원 전용2026년 10월 1일 22:49 (UTC+9)StealC v2, 크롬 앱 바운드 암호화 뚫었다
이번 주기에 새로 수집된 여섯 개의 파일 가운데 가장 눈에 띄는 변화는 크기가 아니라 '무엇을 훔칠 수 있게 됐는가'에 있다. 767KB짜리 경량 빌드(0215f734…53624)와 2.9MB짜리 대형 빌드(1465e9ea…b5660)로 구성된 StealC v2 계열 두 파일이 나란히 win_mal_Chromium_app_bound_encryption_Decrypter YARA 룰을 공유하며 탐지됐다. 이 룰은 구글이 크롬에 적용한 앱 바운드 암호화(App-Bound Encryption, ABE) — 즉 쿠키·비밀번호를 OS 레벨 키로 한 번 더 감싸 탈취를 어렵게 만든 최신 방어 장치 — 를 무력화하는 디크립터를 식별하기 위해 만들어졌다.
#StealCv2#크로뮴앱바운드암호화#AS214351#FemoITSolutions#BYOVD#UAC바이패스#리플렉티브로더#크라임웨어공급망IOCf10 · i5 · d3 · u13MITRE55지역US산업기술·IT
APT회원 전용2026년 10월 1일 14:27 (UTC+9)2012년 NSA 유출 코드, 9개 얼굴로 2024년까지 순환
CTX Team이 수집한 20개 샘플 세트를 펼쳐보면, 이 묶음의 본질은 신종 악성코드가 아니라 2017년 ShadowBrokers가 유출한 미국 국가안보국(NSA) 추정 Equation Group 툴킷의 재유통이라는 점이 뚜렷하게 드러난다. posh-0.dll(d63ecb86…), ucl.dll(65eb7225…), zlib1.dll(3f74b26f…) 세 파일은 이름과 크기가 모두 다르지만 동일한 임포트 테이블 해시(imphash) d72b69361b4de35bdd23a7da21297108를 공유한다 — 서로 다른 모듈로 포장됐지만 사실상 같은 빌드 톨체인에서 찍혀 나온 형제 파일이라는 뜻이다. 여기에 더해 DarkPulsar 커널 임플란트를 가리키는 YARA 룰 win_darkpulsar_auto는 이 20개 파일 가운데 무려 9개에서 동시에 발화한다.
#이터널블루#더블펄서#다크펄서#이퀘이션그룹#섀도브로커스#masscan#소매업#APT40행위자Raspite · LeafminerIOCf50 · i0 · d1 · u2MITRE59지역US산업소매·유통
FILE회원 전용2026년 10월 1일 06:44 (UTC+9)만료된 서명 체인 타고 8년 만에 되살아난 ChChes 다운로더
306KB 크기의 Win32 실행파일 한 개(SHA256: d26dae0d8e5c23ec35e8b9cf126cded45b8096fc07560ad1c06585357921eeed)가 reader.exe라는 이름으로 위장해 배포된 정황이 확인됐다. 이 파일은 HT Srl 명의로 서명돼 있고 그 위로 VeriSign Class 3 Code Signing 2010 CA, 최상위에는 VeriSign 루트 인증서가 체인을 구성하고 있지만, VirusTotal의 서명 검증은 "현재 시스템 시간 또는 서명된 파일의 타임스탬프를 기준으로 검증할 때, 필요한 인증서가 유효 기간 내에 있지 않다"는 판정을 내린다. 다시 말해 이 바이너리는 지금 이 순간에도 유효하지 않은 서명 체인을 달고 유통되고 있다는 뜻이다.
#ChChes#menuPass#RedApollo#APT10#코드서명위장#도메인재활성화#정부기관표적#다운로더행위자Red Apollo · PotassiumIOCf1 · i0 · d1 · u5MITRE13지역JO · RO산업정부·공공
C&C회원 전용2026년 10월 1일 06:31 (UTC+9)89일 인증서 두 장, 같은 발급자가 묶은 PC 복구 사칭 도메인
C2 서버 클러스터로 분류된 이번 인프라에서 가장 먼저 눈에 들어오는 것은 행위자 이름이 아니라 인증서 발급 패턴이다. mypchub.net과 gettintopc.site라는, PC 복구·다운로드 유틸리티를 표방하는 두 도메인이 서로 다른 시점에 서로 다른 등록기관을 거쳐 생성됐음에도, 최근 발급받은 TLS 인증서는 공교롭게도 같은 발급자 짧은 이름 'YR2'(Let's Encrypt) 아래 걸려 있다. 두 인증서 모두 유효기간이 정확히 89일로 맞춰져 있고, 각각 file-end.com·helplinepc.com·gettintopc.biz 같은 2차 미러 브랜드를 SAN(대체 주체명)에 끌어안고 있다. 단일 캠페인이 등록기관을 갈아타면서도 인증서 발급 주기만큼은 동일한 틀을 반복한다는 것은, 사람이 매번 수동으로 인증서를 신청하는 방식이 아니라 자동화된 프로비저닝 워크플로우가 이 뒤에 있다는 합리적 추정을 뒷받침한다. 이 조합을 두고 제기할 수 있는 반론도 있다.
#APT27#LummaStealer#Rhadamanthys#njrat#C2서버#PC복구사칭#공유호스팅#LetsEncrypt인증서행위자APT27 · TEMP.HippoIOCf5 · i1 · d2 · u2MITRE35지역BD · IN산업식음료
C&C회원 전용2026년 9월 30일 22:37 (UTC+9)닷새 된 도메인에 SQL 서버용 공격 키트 통째 발견
vietnam852.com이라는 도메인이 등록된 것은 2026년 9월 25일, 등록기관은 NAMECHEAP INC였다. CTX Team이 이 도메인을 포착한 시점은 등록 후 닷새가 지난 9월 29일 — 도메인의 수명 전체가 닷새를 넘기지 못한 상태에서 이미 완제품 공격 키트를 서비스하고 있었다는 뜻이다. 이 도메인은 단일 A 레코드(8.230.28.79)로만 해석되며, 서브도메인 site.vietnam852.com 아래 /sql/ 이라는 단 하나의 경로에 실행파일, 배치·VBS 런처, SQL 덤프, 평문 자격증명 파일까지 한꺼번에 올려놓고 있었다. 보통의 악성코드 유포 도메인이 페이로드 하나를 던지는 식으로 소비되는 것과 달리, 이 도메인은 침투에 필요한 도구 일체를 이미 패키징해 둔 "상자째 배송된 공격 키트"의 모습을 하고 있다. 이 구조가 흥미로운 이유는 단순히 파일이 많이 모여 있다는 사실 자체가 아니라, 그 조합이 말해 주는 목적성이다.
#SQLServer공격#스테이징도메인#UPX패킹#ConfuserEx난독화#자격증명탈취#유통업표적#임포트해시공유#sqlcmd위장IOCf18 · i1 · d2 · u10지역BD · BR · EG · IN산업소매·유통
APT회원 전용2026년 9월 30일 22:26 (UTC+9)예루살렘 브로슈어 위장 악성코드, 안티디버그부터 소모성 C2까지 완결 사슬
VirusTotal 기준 54/74개 엔진이 탐지하는 Win32 실행파일 하나(284a0c…dbd01)가, 겉으로는 "Brochure-Jerusalem_26082019_pdf.exe"라는 이름의 평범한 문서 뷰어처럼 보인다. 그러나 내부를 들여다보면 이 파일은 실행 직후 CPU 타이머를 직접 읽어 분석 환경 여부를 가늠하고, 디버거 부착 여부를 점검한 뒤, 재부팅 후에도 살아남는 지속성 메커니즘을 설치하고 WMI를 호출해 다른 호스트로 번져 나간다. 그리고 그 끝에는 프랑스에 위치한 Contabo GmbH의 VPS(213.199.63.58, AS 51167) 위에서 89일짜리 Let's Encrypt 인증서로 운영되는 nicoledotson.icu가 명령제어(C2) 거점으로 자리 잡고 있다. IOC 수는 단 4개 파일과 도메인·IP 각 1개로 많지 않지만, 유인문서 페어링부터 안티분석, 지속성, C2까지의 사슬이 이례적으로 끊김 없이 재구성된다는 점이 이 사건의 뉴스 가치다.
#APT-C-23#AridViper#통신서비스#팔레스타인#WMI확산#C2인프라#안티디버그#지속성메커니즘행위자APTC23 · Two-tailed ScorpionIOCf4 · i1 · d1 · u1MITRE36지역PS산업통신
FILE회원 전용2026년 9월 30일 06:47 (UTC+9)Bitter APT 다운로더, IDS 룰이 체크인 흔적 지목
52KB짜리 Win32 실행파일 한 개(90fd32f8…)가 눈에 띄는 이유는 크기가 아니라 그 파일이 만들어낸 통신 패턴이다. VirusTotal 기준 55/76개 엔진이 이 파일을 탐지했고, 그중 침입탐지 룰 하나가 단순 악성코드 경보가 아니라 특정 행위자를 직접 지목하고 있다 — "ET MALWARE APT/Bitter Related Checkin Activity (GET)"라는 이름의 고심각도 규칙이 이 바이너리의 외부 통신에서 그대로 발화했다. 일반적인 트로이목마 탐지 룰과 달리 이 룰은 Bitter(APT-C-08)로 알려진 행위자의 체크인 트래픽 패턴에 맞춰 설계된 것으로, 해당 바이너리가 GET 방식의 HTTP 요청으로 명령제어 서버와 접촉했다는 사실을 데이터 자체가 확인해준다(T1071.001). 흔한 진단명 뒤에 구체적인 행위자 서명이 붙는 경우는 많지 않다는 점에서, 이 한 줄의 IDS 매치는 이번 사례 전체의 신뢰도를 지탱하는 축이 된다.
#Bitter#APT-C-08#다운로더#피싱#C2체크인#정부기관#요르단#루마니아행위자Bitter · APT-C-08IOCf2 · i0 · d2 · u0MITRE19지역JO · RO산업정부·공공
C&C회원 전용2026년 9월 30일 06:30 (UTC+9)같은 imphash, 다섯 라벨…멈춘 인프라 위 빌드만 회전
이번 관측 구간에서 가장 눈에 띄는 변화는 새로운 인프라가 아니라 페이로드 계층에서 일어났다. 앞선 보도에서 네 개의 파일이 하나의 imphash(75c410d3cdd17cf4a33ccaf94384484f)를 공유한다는 사실이 확인됐는데, 이번 주기에 다섯 번째 멤버가 추가되면서 그 구조가 한층 더 뚜렷해졌다. svchost.exe로 위장한 Injuke 트로이목마(105987492b…, hrgx 라벨), taskhostw.exe를 사칭한 클립보드 하이재커(2faa4d87…, Clipbanker/hrgz), 역시 svchost.exe 이름을 쓰는 Stealc 변종(c865559a…), dllhost.exe로 위장한 Tedy 다운로더(6db2502f…), 그리고 같은 dllhost.exe 이름의 Mikey 클립뱅커(50bedcce…)까지 다섯 개 파일이 동일한 imphash를 공유하면서도 VirusTotal 상에서는 전혀 다른 다섯 가지 위협 라벨로 분류된다.
#WizardSpider#Amadey#Stealc#Clipbanker#BYOVD#CMSTPUAC우회#imphash코호트#크라임웨어툴박스행위자Wizard Spider · Grim SpiderIOCf18 · i5 · d3 · u13MITRE59지역BE · VN
C&C회원 전용2026년 9월 29일 22:38 (UTC+9)만료 인증서 드라이버·크랙 RedLine… 조합형 크라임웨어 툴킷 포착
탐지 라벨상으로는 전혀 무관한 악성코드 세 개—바인더 계열의 darkylock, 파일평판 기반의 stealc 계열, 트로이목마 계열의 agentb—가 동일한 XOR 난독화 문자열 하나로 서로 엮이는 정황이 이번 업데이트에서 확인됐다. 세 샘플 모두 Florian Roth가 작성한 YARA 룰 SUSP_XORed_Mozilla_Oct19에 동시에 걸렸고, 그중 두 개는 CMSTP COM 인터페이스를 악용한 UAC 우회 탐지 룰(INDICATOR_SUSPICIOUS_EXE_UACBypass_CMSTPCOM, T1218.003)까지 나란히 발화했다. 여기에 서명은 됐지만 이미 유효기간이 지난 Microsoft WHCP 드라이버 인증서로 보안 프로세스를 강제 종료하는 BYOVD 페이로드까지 같은 지표 묶음에 섞여 있다.
#BYOVD#CMSTPUAC우회#RedLine스틸러#클립뱅커#StealC#WizardSpider#AS214351#DDNS인프라행위자Wizard Spider · Grim SpiderIOCf18 · i3 · d2 · u6MITRE24지역BE
APT회원 전용2026년 9월 29일 22:28 (UTC+9)백신 아이콘 위장한 Pikabot, 폐기된 EV서명 뒤에 숨다
Bitdefender의 실제 구성요소 이름인 bduserhost.exe를 그대로 베낀 실행 파일 하나가 CTX Team의 추적 과정에서 포착됐다. 파일 속성에는 제품명 "Bitdefender 2023", 저작권 문구 "©1997-2023 Bitdefender", 버전 27.0.25.114까지 정교하게 기입돼 있어 육안 검토만으로는 정품 백신 모듈과 구분하기 어렵다. 그러나 이 파일(aab0e74b…)에 물린 코드 서명은 "4leaf Holding Corp." 명의로 SSL.com EV Code Signing Intermediate CA RSA R3 산하에서 발급된 것이며, VirusTotal 검증 결과는 명확하다 — "발급 기관에 의해 명시적으로 폐기된 인증서"라는 판정이다. 이 파일은 트로이목마 계열 로더인 Pikabot(별칭 mikey, yxebtz)으로 분류돼 있고, VirusTotal 76개 엔진 가운데 56개가 이를 악성으로 탐지했다.
#Pikabot#SafePay#요르단정부#EV코드서명위장#Bitdefender위장#SlackAPI모사#Feodo#TrickBot행위자SafePayIOCf2 · i5 · d0 · u12MITRE12지역JO산업정부·공공
C&C회원 전용2026년 9월 29일 14:44 (UTC+9)네 얼굴의 스틸러…하나의 빌드가 라벨을 흩뜨리다
같은 임포트 해시(imphash)와 리치 PE 헤더 해시를 공유하는 네 개의 실행파일이 VirusTotal에서는 각각 인쭈크(Injuke), 클립뱅커(ClipBanker), 스틸씨(StealC), 마이키(Mikey)라는 서로 다른 위협 라벨로 분류돼 있다. 이 네 샘플은 모두 svchost.exe·taskhostw.exe·dllhost.exe 같은 핵심 윈도우 프로세스명으로 위장했고, Intel·Adobe·Oracle 명의의 저작권 문구까지 위조해 넣었다. 탐지 엔진이 서로 다른 이름을 붙였다는 사실 자체가 역설적으로 하나의 빌드 라인이 계속 돌아가고 있음을 보여준다 — 엔진마다 붙이는 이름은 갈라져도, 빌드는 갈라지지 않는다. 여기에 두 개의 방어 회피 축이 나란히 얹힌다. 하나는 마이크로소프트 서명 체인을 탄 취약 드라이버를 이용한 BYOVD, 다른 하나는 CMSTP COM 인터페이스를 악용한 UAC 우회다.
#인쭈크#클립뱅커#스틸씨#BYOVD#CMSTPUAC우회#C2인프라#위저드스파이더#Dynadot도메인행위자Wizard Spider · Grim SpiderIOCf18 · i5 · d3 · u13MITRE20지역BE
C&C회원 전용2026년 9월 28일 22:44 (UTC+9)3년 격차 뛰어넘은 동일 패커, Amadey·Lumma 잇다
서로 다른 연도에 만들어진 두 실행파일이 동일한 다섯 개의 YARA 패커 지문을 그대로 공유하고 있다. 2022년 7월 18일에 처음 관측된 ReverseHoo.exe(9cdaa5a2…)와 2025년 10월 19일에 새로 확인된 ReverseHoo Checker.exe(65be1c33…)는 파일 크기(2,719KB와 4,291KB)와 아키텍처(32비트 콘솔 대 64비트 GUI)가 전혀 다르지만, HKTL_NET_NAME_AsStrongAsFuck·SUSP_NET_NAME_ConfuserEx·INDICATOR_EXE_Packed_ConfuserEx·INDICATOR_EXE_Packed_dotNetProtector·INDICATOR_EXE_Packed_Dotfuscator 다섯 개 룰이 두 파일에서 예외 없이 함께 발화한다. 3년이 넘는 시간 간극에도 동일한 다섯 개 지문이 반복된다는 사실은, 같은 빌드 도구 계열이 지금도 재사용되고 있음을 시사한다.
#Amadey#ConfuserEx#LummaStealer#Diamotrix#ReverseHoo#크랙툴배급#C2패널#이란호스팅IOCf5 · i4 · d0 · u10MITRE37지역DE
APT회원 전용2026년 9월 28일 14:28 (UTC+9)15년 된 웜 Sality, XMRig 채굴 배송관으로 재활용
2010년 7월 25일 VirusTotal에 처음 제출된 Sality 계열 드로퍼(df83a0d6…484a3c)가, 16년이 지난 지금도 Abuse.ch의 Suricata JA3 지문 룰셋에서 "SSLBL: Malicious JA3 SSL-Client Fingerprint detected (Tofsee)" 경보를 그대로 터뜨리고 있다. 이 파일 하나가 지금까지 281건의 제출, 46곳의 서로 다른 소스에서 관측됐다는 사실은 이 웜 계보가 폐기되지 않고 여전히 유통되고 있음을 보여준다. 그런데 이번 캠페인 스냅샷에서 눈에 띄는 것은 이 낡은 웜이 혼자가 아니라는 점이다. 같은 수집 창 안에서 XMRig 기반 채굴 실행파일과 그 설정파일(config.json)이 짝을 이뤄 함께 잡혔고, 여기에 이미지 파일로 위장한 저탐지 마이크로 페이로드 두 개가 다리 역할을 하듯 얹혀 있다.
#Sality#Tofsee#XMRig#SaltySpider#암호화폐채굴#자원하이재킹#JA3지문#악성인프라행위자Salty Spider · KuKuIOCf26 · i5 · d4 · u3지역US산업소매·유통
C&C회원 전용2026년 9월 28일 06:32 (UTC+9)인프라는 정지, 도난 데이터만 계속 갈아탄다
CTX Team이 추적 중인 이 정보탈취 인프라 캠페인에서, 직전 관측 이후 가장 뉴스 가치가 큰 변화는 명령제어(C2) 서버가 아니라 그 서버를 거쳐 가는 화물의 내용이다. 전체 47개 추적 파일 가운데 18개가 새로 편입되고 18개가 이탈했지만, 명령제어로 지목된 IP 2개와 도메인 1개, URL 7개는 단 하나도 바뀌지 않았다. 프랑스에 위치한 185.156.72.8과 독일에 위치한 62.60.226.191, 그리고 두 주소를 잇는 diamotrix.world 도메인은 모두 지난 관측 시점 그대로다. 인프라가 멈춰 있는 사이 그 위로 흘러가는 데이터만 계속 갈리고 있다는 사실은, 이 작전이 한 번의 침투로 끝난 사건이 아니라 지속적으로 새 피해자 데이터를 흡수하는 운영 중인 수집 파이프라인이라는 뜻으로 읽힌다. 이번에 갱신된 파일들은 암호화폐 지갑, FTP 클라이언트, 메신저에서 추출된 피해자 데이터로 구성돼 있다.
#gatak#정보탈취#Exodus지갑#FileZilla#텔레그램세션#C2서버#로그팩유통#프랑스독일인프라IOCf47 · i2 · d1 · u7MITRE55지역US산업미디어
FILE회원 전용2026년 9월 27일 22:59 (UTC+9)C:\Windows에 위장한 가짜 exe, KerrDown 로더의 정체
요르단과 루마니아의 정부 부문을 겨냥한 것으로 표시된 한 침투 경로에서, 실제로는 PE32 DLL인 파일 하나가 C:\Windows\intkxqhf.exe라는 실행파일 이름으로 시스템 경로에 놓여 있었다는 사실이 확인된다. 해당 파일(70db041f…, VirusTotal 기준 50/76 탐지)은 Malpedia가 배포하는 YARA 룰 win_kerrdown_auto에 매칭돼 KerrDown 로더 계열로 식별되며, cometer, fjuc, aabf라는 이름으로도 탐지 엔진들에 등록돼 있다. 이 로더가 호출하는 도메인 cortanasyn.com은 자기 이름이 아닌 *.value-domain.com이라는 낯선 와일드카드 인증서를 내걸고 있었고, 확인된 지표 범위에서는 이 파일과 도메인 어느 쪽도 다른 사례와 임포트해시·인증서 계열·A 레코드를 공유하지 않는다.
#OceanLotus#APT32#KerrDown#요르단#루마니아#정부부문#인증서위장#샌드박스회피행위자OceanLotus · APT32IOCf1 · i0 · d1 · u2MITRE9지역JO · RO산업정부·공공
APT회원 전용2026년 9월 27일 22:41 (UTC+9)은닉 매크로시트로 재활용된 Emotet 로더 다시 포착
CTX Team이 이번 주기에 새로 확보한 XLS 문서(f2f0b898…, 2026-09-19 최초 관측)는 Emotet 계열 캠페인에서 낯익은 방식으로 시스템에 들어온다. 이 문서에는 YARA 룰 Microsoft_Excel_Hidden_Macrosheet와 SUSP_Excel4Macro_AutoOpen이 동시에 매치됐는데, 전자는 스프레드시트 안에 숨겨진 시트의 존재를, 후자는 레거시 Excel4 매크로가 자동 실행(auto-open) 구조로 설계돼 있음을 가리킨다. 두 개 샌드박스(DOCGuard, C2AE)가 이 문서를 만장일치로 악성으로 판정했고, C2AE는 신뢰도 80으로 DropLink·Emotet·Maldoc이라는 이름을 나란히 붙였다. 문서 하나에서 세 개의 명명이 겹친다는 것은 이 파일이 단순 드로퍼가 아니라, 업계가 이미 알고 있는 Emotet 전달 패턴의 재현임을 시사한다. Excel4 매크로시트는 VBA 매크로보다 훨씬 오래된 기능이다.
#Emotet#Zenpak#Dridex#Excel4매크로#은닉매크로시트#JA3지문#C2인프라#TA542행위자Emotet Group · TA542IOCf5 · i3 · d1 · u6지역US산업소매·유통
APT회원 전용2026년 9월 27일 06:30 (UTC+9)FreeEIM·RuntimeBroker 위장, 알고 보니 같은 Gh0st RAT 빌드
이번에 확인된 6개 파일 묶음에서 가장 눈에 띄는 사실은 새로운 악성코드가 아니라 "같은 빌드가 반복 재활용되고 있다"는 정황이다. RuntimeBroker라는 이름으로 위장한 두 드로퍼는 임포트 테이블 해시(eeac73be37480fd144f387e3563a0f14)와 PE 컴파일 시각(2022-04-10), 그리고 리치 헤더 해시(56e2842aeffe04ccc518aaac45a4a56e)까지 완전히 일치한다. 그런데 VirusTotal에는 이 두 파일이 하루 간격(2026-09-16, 2026-09-17)을 두고 서로 다른 파일명으로 따로 제출됐다. 동일한 빌드 산물이 이름만 바꿔 다시 뿌려졌다는 뜻이고, 이는 운영자가 새 코드를 짜기보다 이미 검증된 실행파일을 재포장해 재활용하고 있다는 것을 보여주는 직접적 근거다.
#SaltySpider#Gh0stRAT#FreeEIM#RuntimeBroker#루트킷#코드서명위조#ICMP스캔#farfli행위자Salty Spider · KuKuIOCf19 · i1 · d0 · u0MITRE35지역US산업소매·유통
C&C회원 전용2026년 9월 26일 22:34 (UTC+9)89일 인증서로 엮인 6개국 무관 호스트들의 비밀
터키의 학술 네트워크, 방글라데시의 지역 ISP, 프랑스의 cPanel 호스팅, 그리고 이름조차 낯선 .me 도메인 하나. 국적도 다르고 등록 대행사도 다르고 호스팅 업체도 다른 이 네 개의 인프라가 최근 확장된 관측에서 정확히 같은 인증서 발급 배치를 공유하고 있다는 사실이 확인됐다. Let's Encrypt가 발급한 'YR1' 발급자 축 아래, 터키 ULAKNET 소속 185.7.3.160(AS8517)과 방글라데시 Daffodil Online 소속 203.190.9.116(AS58768), 그리고 hushpuppiefrance.fr·linkfast.me·smartlabtrades.com 세 도메인이 모두 걸려 있다. 이 다섯 개 호스트는 지리적으로도, 소유 조직상으로도 아무 연결점이 없다 — 유일한 공통점은 같은 CA 배치에서 찍혀 나온 인증서다. 이런 패턴이 하나의 배치에 그치지 않는다는 점이 이번 확장 관측에서 두드러진다.
#APT28#PBot#인증서발급배치#자가서명인증서#EV코드사이닝폐기#BrightData위장#C2인프라#도메인클러스터행위자APT28 · StrontiumIOCf133 · i12 · d26 · u3MITRE25
APT회원 전용2026년 9월 26일 14:33 (UTC+9)정품 드라이버 위장한 Fareit/Pony 스틸러, 체크인 실증 포착
PE32 실행파일 한 개가 브라우저와 FTP 클라이언트에 저장된 계정 정보를 긁어모아 외부로 체크인하는 정황이 VirusTotal 탐지 엔진 67/76개에서 고스란히 확인됐다. 이 파일(8feae039…)은 실행파일 이름을 c:\windows\system32\drivers\partmgr.sys로 표기해 마치 커널 파티션 관리자 드라이버처럼 보이도록 해 두었지만, 실제로는 trojan.fareit/tepfer로 분류된 정통 크레덴셜 스틸러다. Elastic Security가 배포한 YARA 룰 Windows_Trojan_Pony_d5516fe8와 malpedia 계열의 win_pony_auto가 동시에 발화했고, 여기에 Proofpoint Emerging Threats의 IDS 시그니처 ET MALWARE Win32.Fareit.A/Pony Downloader Checkin과 ET MALWARE Fareit/Pony Downloader Checkin 2가 겹쳐 맞아떨어지는 것을 보면…
#Fareit#Pony스틸러#GorgonGroup#크레덴셜탈취#C2체크인#샌드박스회피#도메인인프라#AWS로드밸런서행위자Gorgon Group · SubaatIOCf2 · i0 · d5 · u2MITRE27지역RO
APT회원 전용2026년 9월 26일 06:30 (UTC+9)imphash로 드러난 두 빌드 라인, 레드라인 캠페인의 뼈대
레드라인·클립뱅커 계열 정보 탈취형 악성코드를 유포한 이번 캠페인의 파일들을 뜯어보면, 겉보기엔 뒤섞인 18개 샘플이 실제로는 최소 두 개의 서로 다른 빌드 라인으로 갈라진다. 하나는 서명 없이 고엔트로피 섹션을 그대로 노출한 2021년형 PE32 드로퍼 계열이고, 다른 하나는 PEiD로 패킹된 .NET MSIL 로더 계열이다. 두 계열은 imphash가 각각 477c037bd85187d5…와 f34d5f2d4577ed6d…로 고정돼 있어, 파일 크기나 컴파일 시각이 달라도 같은 빌더에서 찍어낸 것으로 보인다. 여기에 Discord CDN을 두 번째 단계 배포처로 쓴 별도의 드롭퍼 템플릿과, 2021년과 2024년을 가로질러 재등장하는 AutoIT 스크립팅 툴킷까지 겹치면서, 이 캠페인의 무게중심은 "누가 시켰는가"보다 "어떻게 지어졌는가"에 있다는 인상을 준다.
#레드라인스틸러#클립뱅커#OperationBlackAtlas#AutoIT툴킷#DiscordCDN#SingNet#엑셀애드인#정보탈취형악성코드행위자Operation Black AtlasIOCf18 · i3 · d3 · u8지역US
FILE회원 전용2026년 9월 25일 22:33 (UTC+9)CPU 타이머 읽어 샌드박스 피하는 Pterodo 로더 포착
PE32 바이너리 한 개가 실행 직후 CPU 클록을 직접 읽어 자신이 분석 대상인지 가늠하고, 그 판단이 끝나기 전까지 실행을 오랫동안 지연시키는 정황이 포착됐다. 해당 행위는 파일 자체의 속성 태그에 "CPU 타이머를 직접 읽어 분석 여부를 판별한다", "오랫동안 실행을 지연시킨다"는 문구로 명시돼 있고, 이는 MITRE 기법 T1497.003(시간 기반 가상화·샌드박스 회피)에 정확히 대응한다. 이 로더는 Gamaredon/Shuckworm 계열의 소형 다운로더로 알려진 Pterodo(Pteranodon) 계열로 식별된 바이너리(96ce576f383584e0…)이며, VirusTotal에서는 57/77개 엔진이 이를 트로이목마로 탐지했다. 이 로더가 흥미로운 지점은 회피 그 자체가 아니라, 그 회피가 무엇을 감추고 있는가에 있다. 같은 파일에는 "실행파일의 끝을 넘어 추가 데이터가 붙어 있다"는 태그와 "런타임에 추가 모듈을 로드한다"는 태그가 함께 붙어 있다.
#Gamaredon#Pterodo#Shuckworm#VBA매크로드로퍼#샌드박스회피#C2비콘#러시아호스팅#루마니아행위자Gamaredon Group · CTIGIOCf3 · i1 · d0 · u2MITRE16지역RO
FILE회원 전용2026년 9월 25일 14:43 (UTC+9)낡은 RAT 뒤엔 아홉 개 헥사 도메인의 회전 인프라
81252b01.to, 69385701.to, efe87401.to를 비롯한 아홉 개 도메인은 겉보기엔 무작위 16진수 문자열을 이름으로 쓴 평범한 .to 도메인들이다. 그런데 이 아홉 개를 나란히 놓고 보면 공통점이 뚜렷해진다. 모두 "hex"·"도메인 이름을 알고리즘으로 생성한다"는 동일한 태그를 달고 있고, 등록 정보 조회 시각이 2021-01-27로 정확히 일치한다. 개별 등록일이나 인증서 발급 기록은 남아 있지 않지만, 이 스냅샷 값이 겹친다는 사실 자체가 이 도메인들이 한 번에 대량으로 찍어낸 풀(pool)이라는 인상을 준다. VirusTotal 탐지 비율도 낮게는 2/91(53fb0701.to, 93319601.to), 높게는 9/91(81252b01.to) 수준으로 흩어져 있어, 각 도메인 자체는 그다지 눈에 띄지 않는 신호로 남는다. 이 도메인들을 하나의 캠페인으로 묶어주는 진짜 실마리는 등록 정보가 아니라 이들이 노출한 URL 경로에 있다.
#RevCode#WebMonitor#hex도메인#C2체크인#스위스#요르단#루마니아#정부기관표적IOCf2 · i0 · d11 · u9MITRE24지역CH · JO · RO산업정부·공공 · 지원 서비스
FILE회원 전용2026년 9월 25일 06:56 (UTC+9)크랙 키젠 하나, 7개월 넘게 재사용된 ClipBanker 빌드 지문
정상적인 개발툴 크랙 파일 두 개가 화면 이름은 전혀 다르면서도 내부 빌드 지문은 완전히 동일하다면, 그것은 우연이 아니라 하나의 제작 라인에서 찍혀 나온 결과물이라고 봐야 한다. 이번에 확인된 13개 파일 묶음에서 그런 사례가 하나가 아니라 최소 네 갈래로 반복 관측됐다. DevExpress_Patch_Keygen_DFoX.exe(c5460701f45d70e8b7255195ee08d15d87aa7847562ca27a6b5cd0c803418f5d)와 DevExpressPatch.exe(ebe9cb6a4e6bf1285e1cd120ca031e3f8d7fab938e1122579cfb49735d3db81d)는 파일 크기가 159KB와 6.4MB로 40배 차이가 나고 제출 시점도 2022년 3월 21일과 2022년 10월 11일로 7개월 떨어져 있지만, imphash가 f34d5f2d4577ed6d9ceec516c1f5a744로 완전히 일치하고 두 파일 모두 PEiD로 패킹돼 있다.
#APT29#ClipBanker#RedLine#njRAT#크랙소프트웨어#다이내믹DNS#클립보드하이재킹#인포스틸러행위자APT29 · MinidionisIOCf13 · i0 · d1 · u0MITRE11지역IT
C&C회원 전용2026년 9월 25일 06:46 (UTC+9)폐기된 서명 인증서 위에서 계속 도는 wire·VPNMaster·PBot
VirusTotal 텔레메트리를 훑다 보면 종종 코드 서명이라는 신뢰 장치가 사실상 유통기한이 지난 채로 계속 작동하는 사례를 만난다. 이번에 확인된 것은 단일 악성코드 패밀리가 아니라, 서로 무관한 세 개의 서명 주체가 각자의 인증서가 폐기되거나 만료된 뒤에도 실행 파일을 계속 유포하고 있는 반복적 운영 패턴이다. WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의로 GlobalSign GCC R45 EV CodeSigning CA 2020 체인을 통해 서명된 wire 계열 트로이 3종, INNOVATIVE CONNECTING PTE. LIMITED 명의의 VPNMaster 계열 3종, 그리고 정식 프록시웨어 벤더인 Bright Data Ltd 명의의 SDK 바이너리 3종이 이 패턴을 각각 독립적으로 반복하고 있다.
#wire트로이#VPNMaster#BrightData#PBot스틸러#코드사이닝인증서폐기#프록시웨어SDK#그레이웨어유통#자가서명인증서행위자Cactus · Cactus Ransomware GroupIOCf16 · i9 · d12 · u0MITRE16
APT회원 전용2026년 9월 24일 15:31 (UTC+9)partmgr.sys 위장한 10MB 봇, 샌드박스 3곳서 전부 덜미
Win32 실행파일 한 개가 VirusTotal에서 65/76의 탐지율을 기록하고 있다. 파일 내부에 적힌 이름은 윈도우 디스크 파티션 관리 드라이버 partmgr.sys지만, 실제로 유통되는 형태는 전혀 다르다 — 89UlgiO5LXmpwSOaII.exe, 8krHNSKndIeDU5GFnJECrkOs.exe, MGgyJUnC7JZCbmbbpVoqa1Y.exe처럼 의미 없는 문자열을 이름으로 붙인 설치파일 다발로 확인된다. 이 파일은 CPU 타이머를 직접 읽어 분석 환경 여부를 가늠하는 루틴을 갖고 있으면서도, Dr.Web vxCube·Yomi Hunter·Lastline 세 개 샌드박스 모두에서 악성 판정을 피하지 못했다. 실행 이후 동작도 단순 배포용 파일치고는 손이 많이 간다.
#Tofsee#SmokeLoader#SmokySpider#파티션드라이버위장#샌드박스회피#Let'sEncrypt인증서#확산봇#MYTEK트레이딩행위자Smoky SpiderIOCf2 · i1 · d0 · u1MITRE33지역CH · NL산업지원 서비스 · 기술·IT
C&C회원 전용2026년 9월 24일 14:37 (UTC+9)인증서 하나로 6개국 18개 IP 엮은 APT28 예비 C2망
CTX Team이 이번에 확보한 인프라 묶음에서 가장 먼저 눈에 들어오는 것은 파일이 아니라 인증서다. 서명 일련번호 6696262f452fcf46b79266a8, 발급기관 GlobalSign GCC R46 OV TLS CA 2025가 발급한 이 TLS 인증서는 미국·홍콩·베트남·한국·말레이시아·태국 등 6개국에 걸친 18개의 IP에서 단 한 글자도 다르지 않게 관측된다. 인증서의 subject는 *.certfallback.com이며, subject organization란에는 "Alibaba (China) Technology Co., Ltd."가 명시돼 있다. 유효기간은 2026년 7월 30일부터 2027년 2월 14일까지로 아직 절반 이상 남아 있고, 각 IP에서 관측된 마지막 인증서 갱신일은 2026년 8월 30일부터 9월 24일 사이에 몰려 있다.
#APT28#FancyBear#certfallback.com#알리바바클라우드#C2인프라#교육연구분야#피싱#인증서재사용행위자APT28 · StrontiumIOCf0 · i21 · d8 · u1MITRE2산업교육·연구
FILE회원 전용2026년 9월 24일 07:05 (UTC+9)svchost 위장 코인마이너, APT-C-35 라벨은 허상이었다
VirusTotal에서 50/76개 엔진이 탐지하는 실행파일 한 개가, 이름은 %APPDATA%\pwo6\svchost.exe로 저장되고 실제 실행 경로는 %TEMP%\ysawzjvw.exe를 거치도록 만들어져 있다. 이 파일은 UPX로 압축돼 있고, 크라우드소싱 YARA 룰 CoinMiner_Strings에 걸리며, 동시에 IDS 룰 하나가 이 트래픽을 알려진 Tor 릴레이 노드 패턴과 일치한다고 표시한다. 위장·패킹·네트워크 이상행위가 한 파일 위에서 동시에 관측되는 이례적으로 깨끗한 사례이지만, 이 파일이 속한 여섯 개짜리 인디케이터 묶음 전체를 놓고 보면 이야기는 훨씬 복잡해진다. 이 묶음에는 파일 네 개와 IP 두 개가 들어 있고, 상위 위협 라벨은 행위자 APTC35(Donot Team, SectorE02, APT-C-35라는 이명으로도 불린다)와 패밀리명 'ehdevel', 대상 지역 폴란드, 대상 산업 제조업이 붙어 있다.
#APT-C-35#DonotTeam#ehdevel#코인마이너#malxmr#UPX패킹#Tor릴레이#위협인텔리전스행위자APTC35 · Donot TeamIOCf10 · i2 · d0 · u1MITRE38지역PL산업제조
APT회원 전용2026년 9월 23일 14:28 (UTC+9)러시아 AS 위 3년 묵은 C2, 크랙 미끼로 Cobalt Strike 유포
새로 생성된 지 14일밖에 안 된 C2 도메인 bunnysecurityrelay.com이, 3년 전인 2023년 9월 20일에 등록된 도메인 poolfreshstep.com과 정확히 같은 자율시스템 번호(AS213010) 위에서 발견됐다. 이 AS의 소유자 정보는 "Gening Nikita Dmitrievich"로 등록돼 있으며, RIPE WHOIS 레코드는 이 조직의 주소를 러시아 알타이 지방 바르나울로 명시한다. GeoIP는 두 IP(87.251.75.204, 80.66.76.210) 모두를 독일로 표시하지만, 실제 네트워크 등록 정보가 가리키는 운영 주체는 러시아 쪽이라는 이 불일치는 흔한 지오로케이션 오차라기보다, 서유럽 IP 대역을 임대해 쓰는 러시아계 호스팅 운영자의 특징으로 읽는 것이 자연스럽다. 이 캠페인에서 가장 눈에 띄는 것은 멀웨어 자체가 아니라, 이 하나의 호스팅 인적 관계가 3년이라는 시간축을 가로질러 살아 있다는 사실이다.
#VoidArachne#SilverFox#CobaltStrike#AS213010#크랙소프트웨어#C2인프라#러시아호스팅#공학산업행위자Void Arachne · Silver FoxIOCf17 · i3 · d4 · u2지역BR산업엔지니어링
FILE회원 전용2026년 9월 22일 22:34 (UTC+9)폐기된 서명 인증서, 2018년 뱅커 체인 되살리다
리비전이 취소된 코드 서명 인증서 하나가 서로 다른 두 실행 단계에 똑같이 찍혀 있다. CTX Team이 확인한 이번 파일 코호트에서, NSIS 설치 파일과 최종 단계에서 실행되는 뱅커 DLL은 시리얼 넘버 00 8E 3E 9A 2F E7 3C 91 98 5B 4F 90 D5 95 77 CD 6C, 서명자 MASTER LIM LTD, 상위 체인 COMODO RSA Code Signing CA·Sectigo(구 Comodo CA)로 이어지는 완전히 동일한 인증서 체인을 공유한다. VirusTotal 코드 서명 검증 결과는 두 파일 모두 "발급 기관에 의해 명시적으로 폐기된 인증서"로 판정한다. 이 인증서는 2018년 12월 24일부터 2019년 10월 19일까지만 유효했던 것으로, 이미 6년 넘게 지난 신뢰 사슬이 지금도 탐지 파이프라인에 재등장하고 있는 셈이다.
#TA505#LDPinch뱅커#코드서명인증서재사용#NSIS인스톨러#VBS스테이저#샌드박스회피#Bodis도메인파킹#매크로시트유포행위자TA505 · Hive0065IOCf5 · i0 · d2 · u4MITRE37지역CH · US산업소매·유통 · 지원 서비스
FILE회원 전용2026년 9월 22일 14:47 (UTC+9)5KB짜리 'update.exe', 숫자 IP 하나로 침투로를 열다
윈도우 업데이트 파일처럼 보이는 5KB짜리 실행 파일 하나가, 도메인 하나 거치지 않고 러시아산 호스팅 IP 178.20.45.52에서 곧바로 내려받혔다. 다운로드 경로는 178.20.45.52/sec/pes.exe — 도메인이 아니라 숫자로 된 IP 주소를 그대로 노출한 다운로드 URL이며, 이 한 줄짜리 지표가 이번 사건의 핵심을 압축하고 있다. 정교한 인프라 위장이나 다단계 도메인 페이크가 아니라, 굳이 그런 수고를 들이지 않고 페이로드를 그냥 IP에서 받아 가게 만든 조악함 자체가 특징이다. VirusTotal에서 이 파일은 55/76개 엔진이 탐지했고, 위협 라벨은 trojan.msil/stealer, 커뮤니티 태그로는 msil·stealer·agenttesla가 붙어 있다. 반면 CTX Team이 이 지표군을 분류한 위협 클러스터의 패밀리 필드는 이를 단순히 'tomiris'라는 이름 하나로 묶었다.
#Tomiris#YoroTrooper#AgentTesla#스틸러#첩보활동#러시아호스팅#위장인증서#IP직접다운로드행위자Tomiris · YoroTrooperIOCf1 · i1 · d0 · u1MITRE12지역CH · JO · US산업정부·공공 · 소매·유통 · 지원 서비스
C&C회원 전용2026년 9월 21일 22:29 (UTC+9)같은 DigiCert 체인 쓴 中 두 법인, 서명 뒤 숨은 애드웨어
정상적으로 발급된 DigiCert 코드 서명 인증서를 두른 실행파일이 VirusTotal에서 22~24개 엔진에 동시에 걸리는 상황은 흔치 않다. 서명 검증 자체는 통과하지만 행위·평판 기반 엔진들이 뒤에서 계속 경고를 울리는 이런 파일이, 이번 주기에 새로 수집된 표본 가운데 두 개나 확인됐다. 흥미로운 지점은 이 두 파일 — AloneTrayServer.exe(facd69ab9b…)와 MLPrivacy.exe(6a95c472…) — 이 기존에 알려진 또 다른 서명 군집과 완전히 동일한 DigiCert 중간 인증기관 체인을 공유한다는 사실이다. 서로 다른 이름을 쓰는 두 개의 중국 법인이, 우연이라 보기 어려운 좁은 발급 간격 안에서 같은 중간 CA로부터 코드 서명 자격을 얻어낸 흔적이 이번 스냅샷에서 새롭게 완성됐다. 이 캠페인은 특정 국가·업종을 정밀 타격하는 침투 작전이 아니라, 애드웨어·PUA 성격의 설치 프로그램을 정식 서명으로 감싸 배포하는 상업적 운영에 가깝다.
#코드서명남용#DigiCert#애드웨어#PUA#중국법인#DLL사이드로딩#샌드박스회피#C2인프라IOCf9 · i3 · d4 · u1MITRE45
FILE회원 전용2026년 9월 21일 14:31 (UTC+9)'klovbot' 하나의 이름, 실은 네 개의 낡은 악성코드 뭉치
CTX Team이 최근 재검토한 파일 묶음 하나는 표면적으로 'klovbot'이라는 단일 계열명 아래 수집됐지만, 실제 내부를 열어보면 전혀 다른 이야기가 나온다. 다섯 개 파일 각각의 VirusTotal 위협 라벨을 대조하면 trojan.hiloti/mufanom 두 건, trojan.buzus/prolaco 한 건, trojan.renos/codecpack 한 건, worm.autoruninf/merond 한 건으로 갈라진다. 이 네 계열은 서로 다른 빌드 시점, 서로 다른 전파 방식, 서로 다른 목적을 가진 2009~2010년대 초 상용 악성코드로, 하나의 캠페인이라기보다 오래된 유통 경로에서 함께 떠도는 도구 모음에 더 가깝다.
#klovbot#Hiloti#Buzus/Prolaco#Renos코덱다운로더#autorun웜#AkamaiCDN#상용악성코드#멀웨어클러스터링착시IOCf46 · i1 · d6 · u2MITRE48지역US산업엔지니어링
FILE회원 전용2026년 9월 21일 07:04 (UTC+9)가짜 오디션 크랙 설치파일, 두 갈래 트로이로 갈라지다
크랙 소프트웨어 설치파일 하나가 실행되는 순간 두 개의 서로 다른 트로이 계열로 갈라지는 정황이 확인됐다. 'Adobe Audition Patch v24.exe'라는 이름으로 위장한 두 개의 AutoIT 컴파일 실행파일이 동일한 임시 폴더 경로(Temp\u2pvkyr3.1xh\Patch-Activated\)에서 풀려나오지만, VirusTotal 위협 라벨은 각각 trojan.swisyn/gosys와 trojan.autoit/nymeria로 갈린다. 같은 미끼, 같은 드롭 경로에서 출발한 두 파일이 서로 다른 패밀리로 분기한다는 사실은 단일 목적 로더가 아니라 다중 페이로드를 품은 크랙 배포 패키지가 유통되고 있음을 시사한다. 이 기록에는 '가짜 Adobe Audition 크랙'이라는 미끼 외에도 세 번째 계열이 붙어 있다.
#CommentCrew(APT1)#AutoIT드로퍼#Doenerium스틸러#크랙소프트웨어유통#안티디버그지연#자격증명탈취#과테말라#빌드재사용행위자Comment Crew · Byzantine CandorIOCf48 · i0 · d0 · u0MITRE51지역GT
C&C공개2026년 9월 21일 06:50 (UTC+9)자체서명 인증서 4곳, 제각각 다른 TLS 위생의 흔적
컨테이너·포장 산업을 겨냥한 것으로 표기된 C2 인프라 클러스터에서, 서로 다른 네 개의 자율시스템에 흩어진 IP 네 곳이 저마다 다른 방식으로 관리가 소홀한 TLS 인증서를 내걸고 있는 정황이 확인됐다. PEG TECH INC(AS398823, 미국·ARIN)가 관리하는 107.149.158.93은 발급자·주체 모두 "Internet Widgits Pty Ltd"라는 문자열로 채워진 인증서를 서비스하고 있는데, 국가 코드는 AU, 주(state) 항목은 "Some-State"로 남아 있어 실제 호스트명을 위해 커스터마이징된 적이 없는 자리표시자 성격의 값이라는 인상을 준다. 이 인증서의 유효기간은 2020년 2월 23일부터 2023년 2월 22일까지로, 수집 시점(2026년 9월 19일 갱신 확인) 기준으로는 이미 3년 반 가까이 만료된 상태다.
#C2인프라#자체서명인증서#와일드카드인증서#다이나믹DNS#DGA도메인#컨테이너산업#포장산업#TLS위생IOCf0 · i4 · d3 · u0MITRE10산업포장·용기
APT회원 전용2026년 9월 21일 06:32 (UTC+9)만료된 EV 서명 두른 크랙 미끼, 다이나닷 도메인망과 맞물리다
Advanced IP Scanner라는 이름으로 유통되는 설치파일 한 개가 VirusTotal에서 76개 엔진 중 단 2개에게만 탐지된다는 사실은 그 자체로는 이상해 보이지 않는다. 그런데 그 파일이 들고 있는 코드 서명 체인을 열어 보면 이야기가 달라진다. Famatech Corp. 명의로 발급된 이 서명은 Symantec Class 3 Extended Validation Code Signing CA를 경유하는 EV 체인이지만, VirusTotal의 서명 검증 결과는 세 개 인증서 모두에 대해 "This certificate or one of the certificates in the certificate chain is not time valid"라는 문구를 반복한다. 다시 말해 이미 유효기간이 끝난 서명이 여전히 실행파일에 붙어 있고, 그 서명 하나가 hacktool.scanner로 분류된 바이너리의 탐지율을 2/76까지 끌어내리는 데 기여하고 있다는 뜻이다.
#크랙소프트웨어#EV코드사이닝만료#Dynadot#Cloudflare네임서버#Expiro라벨#LockbitGang귀속오류#타이포스쿼팅#컨테이너포장업행위자Lockbit GangIOCf3 · i0 · d5 · u0MITRE6산업포장·용기
C&C공개2026년 9월 20일 22:49 (UTC+9)흩어진 IP 3곳, Emotet 로더 하나가 만든 'C2' 착시
CTX Team이 2026년 9월 20일 로그한 'c2-servers' 카테고리의 위협 레코드(CTXb6e2abf7xf)는 겉보기엔 흔한 Emotet 캠페인 스냅샷처럼 보인다. 파일 6건, IP 3건, URL 6건이 하나의 피드 항목으로 묶여 있고 심각도는 100, 신뢰도는 85로 매겨져 있다. 그러나 실제로 이 항목을 IOC 단위로 뜯어보면 이야기가 달라진다 — 유의미한 데이터를 가진 것은 파일 6건 중 단 1건, 즉 Win32 64비트 DLL 하나뿐이고, 나머지 다섯 파일은 해시값 외에 아무 메타데이터도 남기지 않은 빈 레코드다. IP 3건은 각각 말레이시아, 가나, 한국에 흩어져 있으며, 서로 공유하는 자율시스템번호(ASN)도, 인증서 일련번호도, WHOIS 등록자도 없다. 이 부조화가 이 기사의 척추다. 일반적으로 'C2 서버'로 태깅된 IP 묶음이라면 최소한 동일 호스팅 사업자, 유사한 등록 시점, 혹은 공유 인증서 발급 패턴 중 하나는 드러나기 마련이다.
#Emotet#C2서버#로더DLL#TLS인증서#말레이시아#가나#한국#위협인텔리전스IOCf6 · i3 · d0 · u6지역US산업소매·유통
APT공개2026년 9월 20일 22:41 (UTC+9)가짜 Skype 설치파일, 10년 지나 다시 포착되다
10년도 더 된 Win32 실행파일 한 점이 최근까지도 VirusTotal에 재제출되고 있다는 사실 자체가 이 사건의 첫 번째 이상 신호다. 문제의 바이너리(b6ca1211…f518a403)는 내부 이름·제품명·저작권 문자열 세 항목 모두가 "Skype"로 채워져 있고, 저작권 표기는 "© 2003-2012 Skype and/or Microsoft"라는 실제 Skype 배포판과 거의 구분되지 않는 문구를 그대로 베껴 넣었다. 파일명 자체도 Skype.exe로 떨어지며, 설치 경로 흔적에는 C:\Program Files (x86)\6GR7q6bgzH\SCJiMyTymf\vuw7yL9T\LZBJKnks.exe처럼 무작위 문자열로 뒤덮인 디렉터리가 함께 기록돼 있다. 겉모습은 정품 통신 소프트웨어의 설치 파일이지만, 정작 코드 서명 검증은 실패한다 — 서명 자체가 존재하지 않는 상태다.
#Molerats#AridViper#DesertFalcon#Skype위장#flushupate.com#홍콩유통업#재부팅지속성#디버거회피행위자Molerats · Gaza CybergangIOCf1 · i0 · d1 · u1MITRE9지역CN · HK산업소매·유통
C&C회원 전용2026년 9월 20일 14:37 (UTC+9)숨겨진 매크로시트가 드러낸 Emotet 초기 침투 경로
새로 포착된 엑셀 스프레드시트 한 건(9cf1ed9f…f59bbf)이 이 지표군의 결정적인 빈칸을 메웠다. trojan.abracadabra/emotet 라벨이 붙은 이 문서는 YARA 룰 SUSP_Excel4Macro_AutoOpen과 Microsoft_Excel_Hidden_Macrosheet를 동시에 발화시켰다. 전자는 문서를 열자마자 자동으로 실행되도록 짜인 Excel4(XLM4) 매크로 구조를 잡아내는 룰이고, 후자는 그 매크로 로직이 사용자 눈에 보이지 않는 숨겨진 시트 안에 감춰져 있다는 사실을 확인해 주는 룰이다. 이전까지 이 계열에서 관측 가능했던 신호는 서명 없는 로더 DLL 위에서 잡힌 Dridex 계열 TLS 지문 하나뿐이었고, 사용자가 애초에 어떤 경로로 감염 단계에 들어서는지는 설명되지 않은 채 남아 있었다. 이번 문서가 바로 그 첫 단추 — 초기 접근과 실행 — 를 실측 증거로 채워 넣는다.
#Emotet#Dridex#XLM4매크로#문서형다운로더#소매업표적#명령제어서버#TA542#크라임웨어유통행위자Emotet Group · TA542IOCf5 · i3 · d1 · u6지역US산업소매·유통
APT회원 전용2026년 9월 20일 14:29 (UTC+9)WebView2Loader 위장 DLL, 'Salat Stealer'로 포착되다
Microsoft Edge WebView2 런타임이 정상적으로 설치될 때 함께 배치되는 WebView2Loader.dll은 대부분의 엔드포인트에서 이미 익숙한 파일명이다. 그런데 CTX Team이 이번에 확보한 표본 가운데 하나(784a03c6…)는 정확히 이 이름을 그대로 쓰면서 x86-64 PE32+ DLL로 빌드돼 있었고, 샌드박스 엔진 Zenbox는 신뢰도 52%로 이를 악성으로 판정하며 분류를 MALWARE/TROJAN/EVADER로, 탐지명을 'Salat Stealer'로 명시했다. VirusTotal 기준 탐지율은 43/76 — 절반이 넘는 엔진이 여전히 놓치고 있는 셈이다. 같은 파일은 Varist라는 상용 패커로 패킹돼 있고 .rsrc 섹션의 엔트로피는 8.0에 달해, 실제 실행 코드나 페이로드가 리소스 섹션 안에 압축·암호화된 채 숨어 있다는 정황이 뚜렷하다.
#Snowglobe#SalatStealer#Vidar#WebView2Loader위장#DLL사이드로딩#GitHubraw스테이징#미국소매업#인증서SAN중첩행위자Snowglobe · Animal FarmIOCf45 · i2 · d1 · u2지역US산업소매·유통
C&C회원 전용2026년 9월 20일 06:37 (UTC+9)유칸잇 서브도메인 4개, 차이나모바일 망 속 위장 인증서로 드러난 애드웨어 유통망
2025년 9월 11일, 하루 사이에 네 개의 서브도메인이 한 도메인 아래 동시에 등록됐다. adblock.yunkeit.com, cdn-ali-v3.yunkeit.com, stat.yunkeit.com, upgrade.yunkeit.com — 이름만 보면 광고 차단, CDN, 통계, 업데이트라는 전혀 다른 기능을 수행하는 것처럼 보이지만, 이 넷 중 세 곳(adblock·stat·upgrade)은 정확히 같은 IP 47.94.14.179로 해석된다. 등록 대상은 Hichina(그룹 등록기관 grs-whois.hichina.com, 네임서버 DNS23/24.HICHINA.COM)를 통해 처리됐고, 만료일 역시 2026년 9월 11일로 나란히 맞춰져 있다.
#yunkeit.com#차이나모바일#Qihoo360#Alibaba#UnionPayInternational#Ludashi#PUA/adware#코드서명위장IOCf8 · i11 · d4 · u3MITRE36
APT회원 전용2026년 9월 20일 06:28 (UTC+9)폐기된 EV 서명 VPN 트로이, 샌드박스는 '정상' 오판
WireVPN 브랜드를 사칭한 실행파일 세 종이 동일한 WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의의 GlobalSign GCC R45 EV CodeSigning 인증서 사슬을 공유하고 있고, 그 인증서는 이미 폐기 처리된 상태다. 더 눈에 걸리는 것은 이 가운데 하나(6729c713…)가 15개에서 21개에 이르는 정적 엔진에서 트로이로 잡히는 동안, 단 하나뿐인 샌드박스 판정에서는 98~99% 확신도로 "harmless/CLEAN"이라는 정반대 결론을 내렸다는 점이다. VPNMaster를 사칭한 별도 계열의 프록시 도구(e56053f4…) 역시 똑같은 정적·동적 판정 불일치를 보인다. CTX Team이 이번에 들여다본 지표 묶음은 결국 "서명이 신뢰를 만들고, 그 신뢰가 깨지는 순간에도 행위 탐지는 여전히 뒤처진다"는 오래된 문제를 다시 한 번 구체적 수치로 증명하는 사례다.
#WireVPN사칭#VPNMaster사칭#GlobalSignEV인증서폐기#코드사이닝남용#Zenlayer필리핀#중국통신사인프라#DGA도메인#샌드박스오탐행위자Cactus · Cactus Ransomware GroupIOCf33 · i5 · d9 · u2MITRE20