APT회원 전용2026년 9월 19일 22:37 (UTC+9)4년 건너 재현된 지문, Farfli/Gh0st 드로퍼의 귀환
Farfli/Gh0st 계열 드로퍼 세 개가 2022년과 2026년, 4년의 시차를 두고도 똑같은 PEiD 패커 지문과 크라우드소스 YARA 룰을 동시에 울린다. 이번에 함께 관측된 다섯 개 파일과 하나의 도메인 가운데 가장 뚜렷한 신호는 이 패커·룰 지속성이다 — freeeim.exe로 위장한 드로퍼(이하 'freeeim 드로퍼', bc29f2022a…, 2022-04-13 최초 확인)와 N.exe라는 임시 이름을 쓰는 드로퍼(이하 'N.exe 드로퍼', 3de6c02f5…, 2022-04-18), 그리고 HD_software.exe로 위장한 가장 최근 샘플(이하 'HD_software 드로퍼', f4bb9734…, 2026-09-18)이 모두 PEiD 패킹 흔적을 공유한다. 임포트 해시는 파일마다 제각각이라 5e0a0792d259…, 19d4e66d725c…, eeac73be3748… 세 갈래로 흩어지지만, 빌드 툴체인의 흔적만큼은 좀처럼 바뀌지 않았다.
#SaltySpider#Farfli#Gh0stRAT#QAssist.sys#루트킷#87yun.club#소매업#첩보행위자Salty Spider · KuKuIOCf14 · i0 · d1 · u3MITRE30지역US산업소매·유통
FILE회원 전용2026년 9월 19일 06:42 (UTC+9)64개 엔진에 잡힌 Remcos, 회피 루틴은 그대로 살아남다
동남아시아 갬블링 브랜드를 사칭한 도메인들 옆에서 조용히 유통된 92KB짜리 Win32 실행파일 한 개가, VirusTotal 기준 74개 엔진 중 64개의 탐지를 받으면서도 실행 시점을 스스로 늦추고 디버거 부착 여부를 확인하는 다층 회피 루틴을 그대로 품고 있었다. CAPE Sandbox, Yomi Hunter, Zenbox 세 곳의 샌드박스가 모두 이 파일(d9950b15…)을 Remcos로 이름 붙여 악성으로 판정했고, 커뮤니티가 축적한 YARA 룰 7건 가운데 하나는 eventvwr.exe를 경유한 UAC 우회 스테이징 패턴까지 짚어낸다. 서명은 없다 — 파일 어디에도 코드 서명 인증서가 붙어 있지 않으며, 이 캠페인이 신뢰 사슬을 흉내 내려는 시도조차 하지 않았다는 뜻으로 읽힌다. CTX Team이 이번에 들여다본 것은 바로 이 상용 RAT 한 개체가 품고 있는 회피 계보와, 그 옆에 놓인 갬블링 테마 도메인 3종 사이의 애매한 거리다.
#Remcos#GorgonGroup#상용RAT#UAC우회#샌드박스회피#갬블링사칭도메인#안티디버그#도메인인프라행위자Gorgon Group · SubaatIOCf1 · i0 · d3 · u2MITRE11
C&C회원 전용2026년 9월 19일 06:33 (UTC+9)이란 통신사 블록서 완성된 C2 페어, 패널 경로는 국경 넘어 복제
이번에 새로 편입된 IP 176.46.152.47은 단독으로 등장한 신규 인프라가 아니다. 이 주소는 기존에 확인돼 있던 176.46.152.46과 함께 176.46.152.0/22라는 같은 네트워크 블록 안에 위치하며, 두 IP 모두 이란에 등록된 AS44208(Farahoosh Dena PLC) 산하에서 운영되고 있다. VirusTotal 기준 탐지율은 176.46.152.46이 17/89, 176.46.152.47이 18/89로 거의 동일한 수준에 머물러 있고, 커뮤니티 투표 역시 두 IP 모두 malicious 쪽으로 기울어 있다. 즉 이번 스냅샷에서 새로 드러난 것은 "새로운 거점"이 아니라 "이미 알던 거점의 짝"이 맞춰졌다는 사실이며, 이는 인프라가 확장되기보다 이미 확보해 둔 블록 안에서 순환되고 있다는 정황으로 읽힌다. WHOIS 레코드를 들여다보면 이 블록의 성격이 좀 더 분명해진다.
#Amadey#RedLineStealer#ClipBanker#이란#러시아#C2인프라재사용#위조코드서명#크라임웨어IOCf14 · i3 · d0 · u20MITRE55지역US산업소매·유통
APT회원 전용2026년 9월 18일 23:05 (UTC+9)문서는 잡히는데 인프라는 못 잡는다, Emotet 뒤 C2 하루 만에 가동
트로이목마 계열 표식이 붙은 XLS 파일 한 건과, 그 파일이 활동을 시작한 바로 다음 날 인증서가 새로 관측된 두 개의 IP가 CTX Team의 분석 테이블 위에서 겹쳤다. 매크로 다운로더 자체는 낯설지 않다 — VirusTotal 기준 42/75개 엔진이 이 파일을 trojan.emotet/abracadabra로 잡아냈고, 크라우드소스 YARA 룰 SUSP_Excel4Macro_AutoOpen도 함께 발화했다. 그러나 이 문서가 활동을 개시한 지 하루 뒤 새 인증서를 단 채 모습을 드러낸 두 개의 IP는 정반대다. 185.15.196.157과 157.173.108.85는 모두 VirusTotal에서 0/89, 평판 투표 0건인 상태로 위협 피드의 c2-servers 카테고리에만 이름을 올리고 있다. 이 비대칭이 이번 관측의 핵심이다. 파일 쪽은 이미 낡은 시그니처로 포착되는 반면, 그 파일이 호출할 가능성이 있는 인프라 쪽은 아직 어떤 평판 엔진에도 걸리지 않았다.
#Emotet#abracadabra#C2서버#XLM매크로#도메인연령세탁#Let'sEncrypt#리셀러호스팅#스피어피싱행위자Emotet Group · TA542IOCf1 · i2 · d3 · u2지역US산업소매·유통
FILE회원 전용2026년 9월 18일 14:36 (UTC+9)어도비 위장한 Allaple 웜, 정적·동적 판정이 정면으로 엇갈리다
VirusTotal에서 26~32개 엔진이 일관되게 'trojan.allaple'로 잡아내는 HTML 아티팩트 세 점이 있다. 그런데 이 중 하나는 같은 시각 샌드박스 분석에서 99% 확신도로 'harmless' 판정을 받았다. 파일명은 하나같이 index.html이고, 경로는 C:\Program Files\Adobe\Acrobat DC\Acrobat\...\index.html을 가리킨다 — 실제 Adobe Acrobat DC 설치 디렉터리 안에 있는 리소스 파일처럼 보이도록 짜인 이름표다. CTX Team이 이번에 들여다본 지표군은 파일 33건, IP 41건으로 구성돼 있지만, 실질적으로 서사를 갖는 것은 이 중 딱 4개 파일과 20개 IP뿐이다. 그리고 그 4개 파일 중 3개가 하나의 웜 계열, Allaple에 묶여 있다는 사실이 이번 기록의 핵심을 이룬다. Allaple은 새로운 이름이 아니다.
#Allaple#웜#AdobeAcrobatDC위장#정적동적탐지불일치#이탈리아ISP#MaxfonSrl#YARA탐지#위협인텔리전스IOCf33 · i41 · d0 · u0MITRE12지역US산업소매·유통
C&C회원 전용2026년 9월 18일 14:27 (UTC+9)파일 없는 C2 인프라, 같은 Sharktech IP서 4가지 각본 겹쳐
CTX Team이 이번에 확보한 명령제어(C2) 인프라 묶음에는 실행 파일이 단 하나도 들어 있지 않다. 남은 것은 인증서 일련번호, 등록 기관, A 레코드가 만들어낸 흔적뿐이다. 그런데 이 흔적만으로도 서로 다른 네 가지 인프라 운용 방식이 같은 시기에 나란히 돌아가고 있었다는 사실이 드러난다. 하나의 Let's Encrypt 인증서(일련번호 34fff67f9b9abda94f45efae003ede0303b)가 104.160.179.196과 104.160.179.229라는 두 대의 Sharktech(AS46844) IP에 걸쳐 재사용되면서, 그 인증서의 SAN 목록에는 526373.com부터 895323.com까지 여덟 개의 숫자형 도메인이 한꺼번에 실려 있다. 서명 한 번으로 도메인 함대 전체를 감싸는 이런 발급 방식은 개별 서비스가 아니라 교체 가능한 도메인 묶음을 운용하는 인프라 특유의 지문이다.
#Sharktech#Let'sEncrypt#Cloudflare#DanescoTrading#Gransy#fast-flux#동적DNS#C2인프라IOCf0 · i5 · d8 · u0MITRE14산업포장·용기
FILE공개2026년 9월 18일 06:57 (UTC+9)MuddyWater 연계 donut 로더, IP 리터럴로 직결 통신
실행 파일 한 점이 도메인을 거치지 않고 IP 주소 리터럴을 향해 curl 방식의 HTTP 요청을 내보내는 정황이 뚜렷하게 포착됐다. 이 통신 패턴은 서로 다른 관리 주체가 운영하는 네 개의 침입탐지 서명 — ET POLICY curl User-Agent Outbound, ET HUNTING curl User-Agent to Dotted Quad, TGI HUNT Curl to IP Address, POLICY-OTHER HTTP request by IPv4 address attempt — 이 같은 샘플에서 동시에 발화했다는 사실로 뒷받침된다. 탐지엔진 57곳이 이 실행 파일(9b8d5132…, 이하 로더)을 donut/dump 계열 트로이목마로 분류했고, dump·marte라는 별칭이 함께 붙는다. 이번에 손에 쥔 흔적은 실행 파일 한 점과 IP 하나, 그리고 정체를 특정할 수 없는 파일 하나뿐으로 결코 두껍지 않지만, 그 안에 들어 있는 기법 조합만큼은 또렷하게 읽힌다.
#MuddyWater#donut로더#IP리터럴통신#curl위장#HostSailor#단명TLS인증서#샌드박스회피#첩보활동행위자MuddyWater · TEMP.ZagrosIOCf3 · i1 · d0 · u1MITRE36지역CN
FILE회원 전용2026년 9월 17일 14:29 (UTC+9)예멘 통신망 IP 교체돼도 세이셸 배포 거점은 그대로
세이셸에 자리한 배포 서버 하나가 몇 주째 흔들리지 않고 같은 자리를 지키고 있다. 185.215.113.84라는 이 IP는 /twizt/1부터 /twizt/6까지 여섯 개의 순차적 URL 경로를 그대로 서비스하며 VirusTotal 기준 16/89의 탐지율을 유지하고 있다. 반면 이 캠페인을 둘러싼 주변 인프라는 이번 관측 구간에서 상당 부분 교체됐다 — 예멘 국영통신사(Public Telecommunication Corporation)가 관리하는 동일 ASN 소속의 두 IP, 81.91.26.234와 80.253.182.63이 새로 카탈로그에 편입됐고, 이전까지 추적되던 다섯 개의 IP는 이번 구간에서 더 이상 관측되지 않았다. 이 대비가 이번 업데이트의 핵심이다. 핵심 배포 지점은 고정된 채, 그 주변을 채우는 노드 풀만 회전하는 구조라면 — 이는 봇넷 운영자가 중심 인프라를 보호하면서 주변부만 소모품처럼 순환시키는 패턴을 시사한다.
#Phorpiex#Kadrbot#Xmrig#예멘국영통신#세이셸#dotted-quadIP#봇넷#크립토재킹IOCf4 · i4 · d0 · u7MITRE37지역AF · RO산업헬스케어
APT회원 전용2026년 9월 17일 06:29 (UTC+9)13개 IP, 하나의 빈 인증서…바이트댄스까지 얽힌 VPN 위장 유통망
VPN·프록시 유틸리티로 위장한 서명된 설치파일 뒤에서, CTX Team은 서로 무관해 보이는 4개의 자율시스템(ASN)에 흩어진 13개 IP가 정확히 동일한 자가서명 TLS 인증서를 공유하는 정황을 확인했다. 시리얼 넘버는 1acf3e37b37910d932ea64e6bb27615d6484c07d이고, 발급자와 주체(subject) 필드는 모두 "NONE"으로 비어 있다 — 정상적인 PKI 발급 절차를 거친 인증서가 아니라, 서버 소프트웨어나 어플라이언스 이미지에 기본값으로 박혀 있는 placeholder 인증서로 보는 것이 자연스럽다. 이 인증서가 걸린 13개 IP는 싱가포르·미국·홍콩·필리핀·독일·영국·러시아 7개국에 걸쳐 있으며, 그중에는 놀랍게도 바이트댄스(ByteDance Inc., AS396986) 소유의 주소 공간과 저가 VPS 임대사업자 Zenlayer Inc(AS21859)가 함께 포함돼 있다.
#VPN트로이#코드사인남용#Zenlayer#바이트댄스#WEILAI네트워크테크놀로지#INNOVATIVECONNECTING#다중ASN호스팅#자가서명인증서행위자Space Pirates · WebwormIOCf70 · i22 · d4 · u0MITRE22
C&C회원 전용2026년 9월 16일 22:53 (UTC+9)다섯 개 악성코드 이름표, 알고 보니 하나의 C2 패널
VirusTotal 라벨만 놓고 보면 이번 유출 표본군은 서로 무관한 다섯 개의 사건처럼 보인다. trojan.amadey/lumma, trojan.stealc/marte, trojan.clipbanker/cerbu, trojan.kasidet/fragtor, trojan.barys/misc — 엔진마다 붙이는 이름이 다르고, 파일 크기도 26KB짜리 소형 트로이부터 51,250KB에 달하는 비대한 번들까지 제각각이다. 그런데 이 표본들이 실제로 통신하는 명령제어 인프라를 들여다보면 이야기가 완전히 달라진다. Stealc로 분류된 로더(0215f734…, 767KB)와 Amadey/Lumma 다운로더(5258a241…, 516KB), Barys 트로이(2da25c8689…, 26KB)가 모두 같은 IDS 룰 "POLICY-OTHER HTTP request by IPv4 address attempt"에 걸린다.
#Amadey#Stealc#ClipBanker#Kasidet#Barys#AS214351#C2패널재사용#크랙소프트웨어유인IOCf13 · i5 · d2 · u15MITRE60지역BA
APT회원 전용2026년 9월 16일 22:43 (UTC+9)UPX 다운로더 안에 숨은 3단 회피…디버거 탐지부터 헤븐즈게이트까지
VirusTotal에서 63/76 엔진이 탐지한 UPX 압축 실행 파일 하나(384b9a0b…a90a1c)가, 디버거 부착 여부를 확인하고 실행을 장시간 지연시킨 뒤 32비트에서 64비트 모드로 전환하는 세 단계 회피 루틴을 순차적으로 밟는 정황이 확인됐다. 여기에 더해 이 파일은 DNS 질의를 알리바바의 DNS-over-HTTPS 리졸버 뒤로 숨기고 .top 도메인을 호출하는 방식으로 명령제어(C2) 채널을 노출시키지 않으려 한다. CTX Team이 이번에 확보한 지표 집합에는 파일 5건, 도메인 7건, URL 2건이 포함돼 있지만, 실제로 행위 분석과 룰 매칭까지 완결된 대상은 이 실행 파일 한 건뿐이다. 나머지 파일 지표 네 건은 해시 값 외에 파일 유형·크기·탐지 정보가 전혀 채워지지 않은 빈 항목으로 남아 있어, 이번 분석의 무게중심은 자연히 이 한 개의 표본이 보여주는 기법 조합에 놓인다. 이 표본이 흥미로운 이유는 단일 기법이 아니라 기법의 조합이다.
#GoldEvergreen#헤븐즈게이트#UPX패커#DNS오버HTTPS#xy58.top#DGA도메인#다운로더#안티디버깅행위자Gold Evergreen · Business ClubIOCf5 · i0 · d7 · u2
C&C회원 전용2026년 9월 16일 14:31 (UTC+9)브라이트데이터 서명 빌린 프록시SDK, VPN트로이망서 포착
이번 관측 창에서 가장 눈에 띄는 변화는 새로 등록된 트로이목마 샘플이 아니라, 정품 프록시 SDK 벤더의 이름을 그대로 빌려 쓴 두 개의 실행파일이다. net_updater.exe와 idle_report.exe(각각 2b7c3cdc…, 3098e82c…)는 Bright Data Ltd 명의의 DigiCert 코드 서명 인증서로 서명돼 있고, VirusTotal에서 각각 13/76, 7/76의 낮은 탐지율을 기록하면서도 hacktool.luminati/luminatinetworks와 adware.luminatinetworks/brightdata로 분류된다. 두 파일 모두 이번 관측 시점 기준 가장 최근에 확인된 샘플로, 최초 제출일이 17일 전인 2026년 8월 30일에 몰려 있다는 점이 눈에 띈다.
#브라이트데이터#WireVPN#VPNMaster#프록시SDK#코드사이닝인증서남용#몰수익화#C2인프라회전#PUA애드웨어행위자Cactus · Cactus Ransomware GroupIOCf17 · i14 · d30 · u9MITRE19
FILE회원 전용2026년 9월 16일 06:44 (UTC+9)만료된 애드웨어 서명, 라자루스 딱지와 어긋나다
같은 바이너리 한 개가 적어도 다섯 개의 서로 다른 이름을 쓰며 유통된 흔적이 확인됐다. 하나는 그냥 Installer.exe, 다른 하나는 HP 브랜드를 흉내 낸 HP1000 DownloadSetup__2299_i250766042_il8.exe, 또 다른 것은 애니메이션 영상 파일처럼 위장한 Kamikaze.Kaitou.Jeanne...avi.flv__3339_i256789617_il5181454.exe다. imphash(bfb1d58d2f7f80ee9e11682a8df81405)와 vhash가 동일한 이 파일들은 결국 하나의 실행체였고, 껍데기만 바뀐 채 서로 무관해 보이는 다운로드 맥락에 끼워 넣어졌다. 파일명이 이렇게 갈라지는 패턴은 표적을 정해 두고 침투하는 도구보다는, 페이인스톨(pay-per-install) 방식으로 묶음 설치되는 애드웨어·PUP 유통망에서 흔히 관측되는 특징에 가깝다(T1036, Masquerading).
#라자루스그룹#phandoor#Amonetize#PUP유통#코드사이닝남용#brainydownload.com#애드웨어#통신산업표적행위자Lazarus Group · Hastati GroupIOCf1 · i0 · d1 · u2MITRE13지역ES · VN산업통신
FILE회원 전용2026년 9월 15일 22:33 (UTC+9)서명 세 갈래로 나뉜 mimikatz 키트, 자격증명 탈취 상용화 드러내
CTX Team이 최근 정리한 20여 개 파일 표본군은 특정 침투 사건의 흔적이 아니라, 손에 넣을 수 있는 자격증명 탈취 도구를 통째로 패키징한 하나의 "키트"의 해부도에 가깝다. 핵심은 오픈소스 자격증명 덤퍼 mimikatz의 2021년 8월 공식 릴리스 빌드이며, 여기에 커널 드라이버, PrintNightmare(CVE-2021-1675) 익스플로잇 모듈, 그리고 브라우저·메일·무선랜·다이얼업 비밀번호를 훑는 Nirsoft 프리웨어 다섯 종이 같은 디렉터리 트리 아래 나란히 묶여 있다. 흥미로운 점은 이 표본군 어디에도 IP나 도메인, URL 같은 네트워크 계층의 흔적이 없다는 사실이다 — 34개 파일 지표만이 이 사건의 전부이며, 그 자체가 하나의 신호다. 즉 이 캠페인의 무게중심은 인프라가 아니라 "무엇을 조합해서 들고 다니는가"에 있고, 그 조합 방식이 곧 운영자의 실력과 의도를 보여주는 지표가 된다. 표본 스냅샷을 들여다보면 서명 체계가 세 갈래로 갈라진다.
#mimikatz#PrintNightmare#Nirsoft#Sandworm#APT27#VolatileCedar#자격증명탈취#제조업행위자Sandworm · QuedaghIOCf34 · i0 · d0 · u0MITRE28지역BR산업제조
FILE회원 전용2026년 9월 15일 14:58 (UTC+9)15년 묵은 Sality 바이러스, 무탐지 HTML 드로퍼 타고 재유행
2010년 7월 25일 처음 관측된 Sality 계열 트로이목마 한 점, 이하 'Sality 인펙터'(df83a0d6…)가 15년이 지난 지금도 여전히 유통되고 있다. VirusTotal에서 56/76개 엔진이 이를 악성으로 판정했고, 지금까지 281회 재제출되며 46개의 서로 다른 소스에서 관측됐다. 그런데 이 오래된 파일 인펙터를 감염 대상 환경으로 실어 나르는 경로를 들여다보면, 놀랍게도 탐지율 0/75~0/76에 머무는 HTML 드로퍼 한 쌍이 8개월의 시차를 두고 동일한 구조적 지문을 공유하고 있다는 사실이 확인된다. 낡은 자기복제형 바이러스와 최신의 무탐지 스테이징 템플릿이 한 감염 체인 안에서 맞물려 있는 구성이다. 이번 IOC 묶음에서 눈에 띄는 것은 인프라 쪽이 아니라 파일 쪽이다. 플래그된 IP 두 곳과 도메인 한 곳은 모두 공격자가 직접 구축한 전용 호스팅이라기보다 우연히 노출된 공용 인프라의 흔적으로 읽힌다.
#Sality#Tofsee#폴리모픽바이러스#HTML드로퍼#USB자동전파#JA3지문#커머디티악성코드#파일인펙터행위자Salty Spider · KuKuIOCf20 · i2 · d1 · u0지역US
C&C회원 전용2026년 9월 15일 14:49 (UTC+9)정품 인증서 뒤에 숨은 두 갈래 트로이목마 유통망
같은 시각, 서로 다른 서명 체계 아래에서 두 개의 트로이목마 계열이 동시에 유통되고 있었다. 하나는 WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의로 GlobalSign이 발급한 EV 코드사이닝 인증서를 달고 있지만, VirusTotal은 이 인증서를 이미 "폐기됨(revoked)"으로 표시하고 있다. 다른 하나는 Bright Data Ltd라는 실제 상업용 레지덴셀 프록시 업체의 유효한 DigiCert 서명 체인을 그대로 걸치고 있으면서도, 샌드박스 분석에서는 스틸러(STEALER)로 분류됐다. 두 계열 모두 "가짜"가 아니라 진짜 서명 인프라를 정면으로 이용한다는 점에서, 이번 사례는 단순한 미서명 악성코드 유포가 아니라 신뢰 체계 자체를 파고드는 유통 구조를 드러낸다. CTX Team이 이 캠페인을 심각도 100, 신뢰도 80의 위협 클러스터로 등록한 배경에도 이 서명 남용 패턴이 핵심 축으로 자리한다.
#wirevpn#BrightDataSDK#PBot스틸러#코드사이닝인증서남용#자가서명인증서#레지덴셀프록시#도메인회전인프라#Let'sEncrypt행위자Cactus · Cactus Ransomware GroupIOCf21 · i19 · d30 · u9MITRE18
FILE회원 전용2026년 9월 14일 22:58 (UTC+9)만료된 서명, 네 얼굴의 설치파일 — APT28 라벨의 그늘
VirusTotal 기준 32/76 엔진이 탐지하는 한 Win32 실행파일이, 지난 제출 기록에서 최소 네 개의 서로 다른 이름으로 포착됐다. pinginfoview-2.22-installer, robloxplayer-1.6.1.58255-installer, renomear-tudo-2.0-installer, microsoft-pc-manager-1.2.4.5-installer — 네트워크 진단 도구, 게임 클라이언트, 파일명 변경 유틸리티, 심지어 마이크로소프트 공식 유틸리티까지 아우르는 위장 목록이다. 해시값(fc86ea4d…)은 하나인데 껍데기만 계속 바뀐 셈이다. 이 파일은 2024년 11월 14일 처음 관측된 이래 1,644회 제출됐고 제출 경로도 1,438개로 갈라져 있다 — 특정 표적을 노린 스피어피싱이 아니라 광범위한 프리웨어 유통망에 얹혀 뿌려졌다는 뜻이다.
#APT28#코드서명위조#어드웨어번들러#EnigmaProtector#애드테크리다이렉트#LetsEncrypt인증서#크라임웨어유통#귀속오류행위자APT28 · StrontiumIOCf2 · i1 · d3 · u5MITRE11산업유틸리티
APT회원 전용2026년 9월 14일 22:38 (UTC+9)6년 묵은 학술 도메인, TA505 실행파일 배달 창구로
이번에 CTX Team이 들여다본 캠페인에서 가장 눈에 띄는 지점은 행위자 이름이 아니라 배달 경로 그 자체다. 페이로드가 걸려 있는 곳은 새로 등록된 malicious-looking 도메인이 아니라, 2020년 5월 3일 모잠비크의 학술 등록기관 CIUEM Registrar를 통해 생성된 rcf.co.mz라는 6년 넘게 살아 있는 도메인이다. WHOIS 레코드를 보면 이 도메인은 여전히 활성 메일 인프라를 갖추고 있고, SPF 레코드에는 v=spf1 +a +mx +ip4:102.218.213.96 include:spf.host-ww.net +include:spf.antispamcloud.com가 명시돼 있어 정상적인 메일 발신 도메인처럼 운영되고 있는 것으로 확인된다. 그런데 이 도메인의 URL 경로 하나가 rcf.co.mz/mytimeiswriten.exe라는 직접 실행파일로 이어진다 — 정상 메일 도메인 위에 실행파일이 얹혀 있는 이 조합이 이번 사건의 실질적인 뉴스 가치다.
#TA505#rockloader#학술도메인남용#DuckDNS#동적DNSC2#인증서순환#공유호스팅#모잠비크행위자TA505 · Hive0065IOCf55 · i2 · d1 · u2지역DE · ID · IE · IT산업건설 · 교육·연구 · 제조
C&C회원 전용2026년 9월 13일 22:30 (UTC+9)가짜 이름 인증서가 드러낸 리다이렉트 C2망의 정체
baktus.kilu.de라는 도메인에 접속하면 서버가 내놓는 TLS 인증서의 주체 이름(subject CN)은 이 도메인 자신이 아니다. 인증서에 박힌 이름은 'redirect.subdomain.com'이라는, 실제로는 어디에도 존재하지 않는 것처럼 보이는 이름이다. 도메인이 자기 이름이 아닌 이름으로 인증서를 받아 서비스한다는 것은 그 노드가 콘텐츠를 직접 서비스하는 종착지가 아니라, 트래픽을 어딘가로 넘기는 중계 지점으로 쓰이고 있음을 강하게 시사한다. CTX Team이 이번에 정리한 C2 인프라 레코드는 바로 이 지점에서 출발한다 — 행위자나 악성코드 패밀리 이름은 단 하나도 붙어 있지 않지만, 도메인·인증서 계층에서 관측되는 운용 방식만큼은 뚜렷한 결을 가지고 있다. 이 레코드는 파일 10건, IP 3건, 도메인 16건, URL 7건으로 구성돼 있는데, 그중 실질적으로 분석 가능한 정보를 담은 것은 극히 일부다.
#C2인프라#리다이렉트#Let'sEncrypt인증서#인보이스드로퍼#와일드카드SAN#공유호스팅#탐지회피#인증서순환IOCf10 · i3 · d16 · u7MITRE23지역GB · RO산업기술·IT
FILE회원 전용2026년 9월 13일 15:10 (UTC+9)가짜 VPN 뒤, 서명 체계 세 갈래로 얽힌 유통 파이프라인
VPNMaster라는 이름의 무료 VPN 설치파일이 실행되는 순간, 사용자는 자신이 내려받은 것이 단순한 프록시 클라이언트가 아니라 최소 두 개의 독립된 서명 체계가 겹쳐 있는 유통 파이프라인의 일부라는 사실을 알 길이 없다. CTX Team이 이번에 추적한 인디케이터 묶음은 파일 8개, IP 2개, 도메인 3개로 구성돼 있는데, 그 핵심은 하나의 캠페인이 아니라 서로 다른 서명자·빌드 이력을 가진 두 개의 트로이목마/PUA 계열이 같은 유통 생태계 위에서 공존하고 있다는 점이다. 하나는 WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의로 서명된 "wire" 계열 로더·모듈·업데이터 3종이고, 다른 하나는 INNOVATIVE CONNECTING PTE. LIMITED 명의로 서명된 VPNMaster 설치파일·시작 도우미·서비스 3종이다.
#가짜VPN#wire계열#VPNMaster#코드사이닝인증서폐기#BrightData프록시SDK#APT15#다중임차호스팅#공급망악용행위자APT15 · ROYALAPTIOCf8 · i2 · d3 · u0MITRE24산업식음료
C&C회원 전용2026년 9월 13일 15:00 (UTC+9)12년 묵은 Zeus DGA, 89일짜리 인증서 위에서 다시 깨어나다
지난주 CTX Team이 수집한 C2 서버 관련 레코드 하나가 눈길을 끈다. 13KB짜리 소형 로더(c9cace17…e9fc, VirusTotal 탐지 57/72)가 실행되면 총 10건의 IDS 규칙이 튀어 오르는데, 그중 5건이 완전히 동일한 Snort 규칙 "MALWARE-CNC Win.Trojan.Zeus v3 DGA DNS query detected"다. 여기에 더해 "ET MALWARE Zeus GameOver Possible DGA NXDOMAIN Responses"까지 함께 잡힌다 — GameOver Zeus의 도메인 생성 알고리즘(DGA) 기반 C2 조회 방식이 실행 시점에 여전히 재현된다는 뜻이다. 같은 레코드 안에는 전혀 다른 결의 두 번째 신호도 있다. 20개 도메인 가운데 두 쌍이 각각 동일한 Let's Encrypt 발급자("R11", "YR2") 아래 정확히 89일짜리 인증서 유효기간을 공유한다.
#GameOverZeus#ZBot#DGA#Let'sEncrypt#PEiD패킹#공유호스팅#C2서버#루마니아IOCf5 · i2 · d20 · u6MITRE16지역RO
C&C회원 전용2026년 9월 13일 06:52 (UTC+9)9개 도메인·4개 IP, 진짜 연결고리는 인증서 SAN 단 하나
홍콩에 등록된 IP 45.154.14.190과 최근 등록기관을 옮긴 도메인 klassenbouck.com은 표면적으로 아무 관계가 없어 보인다. 그런데 두 인프라가 제시하는 TLS 인증서를 나란히 놓고 보면, 둘 다 동일한 SAN(주체 대체 이름) 'anfangshen.com' / '*.anfangshen.com'을 물고 있다는 사실이 드러난다. CTX Team이 이번에 심각도 100·신뢰도 80으로 C2 서버 군으로 분류해 등록한 아홉 개 도메인·네 개 IP·파일 한 개짜리 지표 묶음에서, 실제로 하나의 운영자가 관리한다고 볼 수 있는 교차 연결은 사실상 이 한 지점뿐이다. 나머지 세 개의 인증서 발급자 겹침은 이름만 코호트일 뿐, 뜯어보면 무게가 확연히 다르다. 이 묶음에는 파일도 하나 섞여 있다.
#Cactus#Manufacturing#Telecommunications행위자Cactus · Cactus Ransomware GroupIOCf1 · i4 · d9 · u1MITRE7산업제조 · 통신
APT회원 전용2026년 9월 12일 22:27 (UTC+9)APT33 다운로더, 만료된 GlassWire 서명체인 그대로 재사용
트로이목마 라벨 trojan.bsymem/apt33로 분류된 다운로더 한 점(8e75241d…121, 이하 SecureMix 다운로더)이 GlassWire→Symantec Class 3 SHA256 Code Signing CA→VeriSign으로 이어지는 3단 코드서명 체인을 통째로 품은 채 관측됐다. 흥미로운 점은 파일 메타데이터의 저작권 표기가 "(c) 2018 SecureMix LLC"로 돼 있는데도, 실제 서명 체인의 최상위 리프 인증서 소유자는 전혀 다른 정상 소프트웨어 회사인 GlassWire라는 사실이다. VirusTotal은 이 서명에 대해 "The digital signature of the object did not verify."라는 판정을 명시했고, GlassWire 인증서(유효기간 2018-05-24~2021-05-23, 시리얼 08 94 CB 61 2D 6F 73 6B 69 92 8A C3 8A B9 E6 37)와 Symantec 발급 중간 CA(유효기간…
#APT33#코드서명위장#AutoIT#샌드박스회피#피싱도메인#스위스#요르단#첩보수집행위자APT33 · MagnalliumIOCf3 · i0 · d1 · u1MITRE24지역CH · JO산업정부·공공 · 지원 서비스
FILE회원 전용2026년 9월 12일 14:56 (UTC+9)블렌더 위장한 백도어, 물량과 재활용으로 탐지망 뚫다
CTX Team이 최근 카탈로그에 편입한 Win32 DLL 한 점이 눈에 걸린 이유는 탐지율이 아니라 위치였다. 문제의 파일(be2be662cc821a924d5641422dd1116e99188c6923da092ca3f0f8f862bd2d2d)은 정상적인 3D 그래픽 제작 도구인 Blender의 설치 경로, 정확히는 C:\Program Files\Blender Foundation\Blender\ 하위에 자리 잡고 있었다. 파일명 자체도 무작위 해시 문자열로 지어져 있어, 시스템 관리자가 프로세스 목록이나 설치 폴더를 훑어봐도 정식 3D 소프트웨어의 부속 모듈로 오인하기 쉬운 구조다.
#Gamaredon#Pterodo#백도어#경로위장#DLL사이드로딩#C2도메인#러시아#첩보활동행위자Gamaredon Group · CTIGIOCf2 · i0 · d1 · u0MITRE9지역CH · CN산업지원 서비스
FILE회원 전용2026년 9월 12일 06:50 (UTC+9)20년 묵은 도메인 두 곳, 같은 발급자 인증서로 동시 부활
지난주 관측된 인프라 묶음에서 가장 먼저 눈에 걸리는 것은 파일이 아니라 도메인의 나이다. dthakar.com과 elmodular.com은 각각 2006년 12월 20일, 2005년 10월 26일에 등록된 도메인으로, 등록 이후 경과일이 각각 7,203일과 7,625일에 달한다. 20년 가까이 존재해 온 이 두 도메인이 최근 동일한 Let's Encrypt 발급자 YR2 명의로 새 인증서를 나란히 받았다는 사실이 이번 분석의 출발점이다. dthakar.com의 인증서는 2026년 8월 29일부터, elmodular.com의 인증서는 2026년 7월 24일부터 유효하며, 두 인증서 모두 유효기간이 정확히 89일로 동일하다. 발급 시점 사이의 간격은 약 5주로, 같은 운영 주체 혹은 같은 자동화 도구가 두 도메인의 인증서 갱신을 순차적으로 처리했다고 보는 것이 자연스럽다.
#Emotet#TA542#w97m/emodldr#GoDaddy#Let'sEncrypt#매크로다운로더#도메인탈취#인증서자동화행위자Emotet Group · TA542IOCf3 · i1 · d3 · u6
APT회원 전용2026년 9월 11일 23:46 (UTC+9)PNG·CSS 열 개 속에 숨은 실행파일 하나의 정체
VirusTotal 탐지판에서 18/54라는 애매한 숫자를 받은 실행파일 한 개가, 탐지율 0을 기록한 PNG·CSS 이미지 자산 열 개와 함께 같은 묶음으로 제출된 흔적이 확인됐다. 제품명란에는 "Installer Internet"이라는 것 외에는 아무 정보도 적혀 있지 않고 저작권 필드는 공백이며, 서명도 없는 이 실행파일(4766afff…)은 이번 캠페인에서 사실상 유일하게 "악성"으로 분류될 만한 근거를 가진 대상이다. 나머지 열 개 파일은 닫기 버튼, 색상 버튼, 진행률 바 이미지, CSS 스타일시트처럼 지극히 평범한 설치 프로그램 UI 리소스이며, 어느 백신 엔진도 이들을 문제 삼지 않았다. CTX Team이 이 세트를 들여다본 이유는 행위자 이름이 화려해서가 아니라, 실행 가능한 코드 하나를 눈에 띄지 않는 자산 뭉치 속에 끼워 넣는 패키징 방식 자체가 독립적으로 관찰할 가치가 있는 기법이기 때문이다.
#Snowglobe#AnimalFarm#babar#미국소매업#CloudFrontC2#설치파일위장#패킹악성코드#탐지회피행위자Snowglobe · Animal FarmIOCf18 · i0 · d2 · u0MITRE27지역US산업소매·유통
C&C회원 전용2026년 9월 11일 22:51 (UTC+9)무작위 도메인 20개, 결국 하나의 Kronos 체크인 경로로
kjhgkutjdhg.xyz, khgkjhkjghkjgh.xyz, kljhlkjhkljh.xyz를 비롯해 자음과 모음을 무작위로 이어붙인 듯한 도메인 스무 개가 이번에 확인된 인프라 묶음의 대부분을 차지한다. 이들은 서로 다른 시점에 생성된 것처럼 보이지만, URL을 뜯어보면 예외 없이 /kronos/connect.php라는 동일한 경로로 끝난다. 이 경로는 결제나 구매를 처리하는 화면이 아니라 감염된 단말이 살아있음을 알리고 명령을 받아오는 C2 체크인 엔드포인트로, Kronos 은행형 트로이목마 패널의 표준 구조와 일치한다. 스무 개에 달하는 도메인이 저마다 무작위 이름을 갖고 있으면서도 한 목적지로 수렴한다는 사실은, 여러 운영자가 독립적으로 인프라를 구축했다기보다 하나의 빌더 혹은 패널 킷이 반복 실행되며 껌 종이처럼 소모용 도메인을 찍어낸 결과로 읽힌다. 이 흐름 위에서 유일하게 두꺼운 원격 측정을 남긴 파일 하나가 눈에 띈다.
#Kronos#은행형트로이목마#C2인프라#DGA도메인#Dynadot#YARA룰#지원서비스업#패킹로더IOCf3 · i0 · d22 · u40MITRE31지역CH · JO산업지원 서비스
APT공개2026년 9월 11일 22:38 (UTC+9)9년 전 한글 취약점, 대남 정치문건 타고 다시 돌아왔다
한글 문서 프로그램의 낡은 익스플로잇 하나가 여전히 현역으로 뛰고 있다. 대남 정치 현안을 다룬 것으로 보이는 한국어 HWP 유인문서(29430240cb59a12fcde8e415…)가 실행파일 하나(7ebc9a1fd93525fc42277efb…)를 끌고 들어오는 이 배달 체인은, 페이로드 자체에 'cve 2016 2569'와 'exploit' 태그가 명시돼 있어 노리는 취약점이 2016년에 공개된 한글 문서 프로그램의 객체 처리 결함임을 그대로 드러낸다. VirusTotal은 이 실행파일을 trojan.midie/evnyca로 분류하지만, 같은 파일에서는 ROKRAT 계열을 잡아내는 YARA 룰과 'Malear' 트로이목마의 C2 트래픽을 겨냥한 Snort 룰이 동시에 발화한다. 3개 샌드박스 중 2개는 이를 악성으로 판정했고 나머지 하나는 아무 판정도 내리지 못했는데, 그 배경에는 디버거 탐지·CPU 타이머 직접 조회 같은 시간 기반 회피 루틴이 겹겹이 쌓여 있다.
#Group123#ScarCruft#ROKRAT#dogcall#HWP익스플로잇#CVE-2016-2569#한국통신#자가서명인증서행위자Group123 · Venus 121IOCf2 · i1 · d0 · u0MITRE21지역CH · JO산업지원 서비스
C&C회원 전용2026년 9월 10일 22:28 (UTC+9)등록일 13년 벌어진 도메인들, 인증서는 5주 안에 겹쳤다
필리핀 소재 Zenlayer 인프라의 IP 두 곳과 c2-servers 카테고리로 분류된 도메인·파일 집합을 들여다보면, 이 캠페인에서 가장 말이 되는 신호는 특정 악성코드 패밀리가 아니라 인증서 발급 타이밍에 있다. tswlmy.com은 2013년 4월 20일에 등록됐고, fxlvpaiguan.com은 2026년 7월 31일에야 등록됐다 — 등록일 격차가 13년을 넘는다. 그런데 두 도메인 모두 Google Trust Services의 WE1 발급자로부터 리프 인증서를 받은 시점은 각각 2026년 8월 20일과 8월 2일로, 불과 3주 이내에 몰려 있다. fxlvpaiguan.com·m.arnobelo.com·thewellnessgroupredmond.com·tigersmartialarts.com·tswlmy.com 다섯 도메인이 모두 이 WE1 발급자 코호트에 속해 있으며, 발급일은 2026년 7월 6일부터 8월 25일까지 약 5주 창에 몰려 있다.
#WireVPN#VPNMaster#BrightData#Zenlayer#코드사이닝인증서#프록시웨어#PUA#인증서프로비저닝행위자Cactus · Cactus Ransomware GroupIOCf50 · i7 · d13 · u4MITRE12
FILE회원 전용2026년 9월 10일 14:52 (UTC+9)wsus.exe로 위장한 파일, 백신은 놓치고 YARA가 잡은 Stealc
파일명 하나가 공격의 설계 의도를 이렇게 선명하게 드러내는 경우는 흔치 않다. CTX Team이 확보한 SHA256 18462ae676c539b2a3626a7b465123b20c88bd68342777a090f40b7dcb7ace0d는 내부 이름·원본 이름·의미 있는 이름(meaningful name) 세 필드가 모두 wsus.exe로 통일돼 있다. Windows Server Update Services의 축약형을 그대로 가져다 쓴 이름이다. 여기에 저작권 문자열은 AdobeReaderFlash Corporation이라는, 실존하지 않는 회사명이 박혀 있다 — Adobe Reader와 Flash를 어설프게 섞은 이 문구 자체가 이 파일이 정교한 사회공학이 아니라 자동화된 빌드 파이프라인에서 대량으로 찍혀 나온 산출물일 가능성을 암시한다. 실제 실행 경로를 보면 위장의 폭이 더 드러난다.
#Stealc#wsus.exe#Silence#HostkeyB.V.#마스커레이딩#샌드박스회피#정보탈취형스틸러#C2인프라행위자Silence · Contract CrewIOCf2 · i1 · d0 · u2MITRE23지역CH · CN · JO산업지원 서비스
C&C회원 전용2026년 9월 10일 14:43 (UTC+9)위조 서명 두른 악성코드, 만료 인증서까지 복제
베트남을 겨냥한 것으로 태깅된 한 크리덴셜·크립토 탈취 캠페인에서, 실행 파일 한 개와 DLL 한 개가 완전히 동일한 Microsoft 코드 서명 체인을 두르고 있다는 사실이 확인됐다. 문제는 이 서명이 진짜가 아니라는 데 있다. 두 파일 모두 인증서 일련번호 33 00 00 03 8C 38 5D 5C 2E 74 83 CC FB 00 00 00 00 03 8C와 서명 시각 2025-07-24 오후 6시 6분을 그대로 공유하는데, 문제의 리프 인증서 자체의 유효 기간은 2022-05-05~2023-05-04로 이미 2년 넘게 지난 뒤였다. VirusTotal 검증 결과도 두 파일 모두 "서명이 검증되지 않음"으로 일치한다. 진짜 탈취된 유효 인증서를 재사용한 것이 아니라, 만료되고 무효한 서명 블록을 그대로 복제해 붙여넣은 정황이다.
#Amadey#RedLineStealer#LummaStealer#코드서명위조#C2인프라#클립보드클리퍼#베트남#크립토탈취IOCf9 · i2 · d0 · u14MITRE43지역VN
C&C회원 전용2026년 9월 10일 06:48 (UTC+9)이름표 다섯 개, 서버는 하나 — Femo IT 위 C2 클러스터 확인
클립보드 하이재커로 분류된 실행파일과 뱅킹형 로더로 분류된 DLL이, 서로 다른 백신 엔진 라벨을 달고도 정확히 같은 인메모리 실행 코드를 공유하고 있다는 사실이 확인됐다. CTX Team이 이번 스냅샷에서 확보한 열 개 파일 표본 가운데 클립뱅커로 라벨링된 실행파일(e58ddbc…)과 BazarLoader 계열 DLL(10aabdd…)은 YARA 룰 ReflectiveLoader와 INDICATOR_SUSPICIOUS_ReflectiveLoader를 나란히 발화시켰고, DLL 쪽은 여기에 더해 Meterpreter 계열의 인메모리 주입을 잡아내는 HKTL_Meterpreter_inMemory 룰까지 매치됐다. 두 파일은 서명자를 공유하지 않고 imphash도 다르며 파일 크기도 251KB와 109KB로 제각각이지만, 코드 수준에서는 같은 리플렉티브 DLL 인젝션 코드 조각을 심어 넣은 정황이 뚜렷하다. 이 발견이 의미를 갖는 지점은 두 파일의 겉모습이 완전히 다르다는 데 있다.
#클립뱅커#바자로더#스틸C#아마디#CMSTPUAC우회#FemoITSolutions#리플렉티브로더#C2인프라IOCf10 · i3 · d0 · u8MITRE48
FILE회원 전용2026년 9월 9일 22:58 (UTC+9)CPU 타이머로 샌드박스 속인 실행파일 한 개, 인도 첩보 캠페인 흔적
joduj.exe라는 내부 파일명을 가진 483KB 크기의 Win32 실행파일(e9e732f7…594) 하나가 VirusTotal에서 55/75의 탐지율을 기록하며 모습을 드러냈다. 이 파일은 스스로 CPU 타이머를 직접 조회해 분석 환경인지 판별하고, 실행 전 의도적으로 장시간 대기(stalling)하는 행위를 동시에 갖추고 있다 — 자동화 샌드박스의 타임아웃을 넘기기 위해 설계된 전형적인 시간 기반 회피 조합이다. 흥미로운 점은 이 정밀한 회피 패키지가 이번에 수집된 5개 파일 지표 가운데 단 하나의 샘플에서만 확인된다는 사실이다. 나머지 네 개의 해시값(b268bd02…, 9e4dae8e…, f9c4bd32…, 3c67b4e9…)은 파일 유형·크기·탐지 정보·태그 어느 것도 채워지지 않은 채 카탈로그에 이름만 남아 있다. 이 비대칭은 이번 분석의 출발점이자 한계를 동시에 규정한다.
#joduj.exe#SpringDragon#LotusBlossom#샌드박스회피#오버레이데이터#SKBroadband#인도#첩보행위자Spring Dragon · Lotus BlossomIOCf5 · i2 · d0 · u4지역IN
C&C회원 전용2026년 9월 9일 22:36 (UTC+9)유효한 정품 서명 두른 프록시웨어, 스틸러로 판정
VirusTotal에 등록된 열 개의 실행파일을 서명자 기준으로 재배열하면, 이번 사안의 무게중심이 어디에 있는지가 뚜렷해진다. 세 개의 서로 다른 서명 체계 — 이미 폐기된 WEILAI NETWORK TECHNOLOGY의 GlobalSign EV 인증서, 시간 만료 상태인 INNOVATIVE CONNECTING PTE. LIMITED의 DigiCert 인증서, 그리고 아직 유효 기간이 남아 있는 Bright Data Ltd의 DigiCert 인증서 — 가 각각 세 개씩의 파일을 묶고 있다. 이 중 가장 흥미로운 지점은 세 번째, 지금도 유효한 서명이다. Bright Data Ltd 명의로 서명된 "Bright SDK" 제품군 실행파일 하나(9f8f5292…)는 샌드박스에서 악성 판정을 받았고, 그 판정은 구체적으로 스틸러 계열인 'PBot'을 지목했다. 인증서가 유효한 파일이 인증서가 폐기된 파일보다 오히려 더 무거운 행위 증거를 남긴 셈이다. 이 역설이 이 기사의 척추다.
#WEILAINETWORKTECHNOLOGY#BrightDataSDK#PBot스틸러#VPNMaster번들러#WireVPN로더#코드서명악용#프록시웨어#자가서명인증서재사용IOCf21 · i8 · d12 · u0MITRE21
APT회원 전용2026년 9월 9일 22:29 (UTC+9)게임 크랙 위장 설치파일, DBatLoader·DonutLoader 로더체인 유포
격투 게임 'Mortal Kombat 1'의 불법 복제판, 흔히 'FitGirl' 리팩(repack) 배포판을 사칭한 설치파일 두 개가 실제로는 다단계 로더를 실행시키는 전달 수단이었다는 정황이 VirusTotal 샌드박스 판정과 IDS 룰 매치로 확인됐다. CTX Team이 이번에 들여다본 지표 묶음은 파일 9건, IP 5개, 도메인 2개로 구성이 단출하지만, 그 안에 담긴 실행 체인은 초기 접근부터 2차 페이로드 회수까지 하나의 이야기로 이어진다. 핵심은 파일명이나 서명자가 아니라 — 두 설치파일 모두 서명되지 않은 상태다 — 이 로더가 어떻게 스스로를 감추고 다음 단계를 불러오는가에 있다. 가짜 크랙 설치파일 중 하나(acbaf957f795…, VirusTotal 탐지 38/76)는 trojan.abapplication/muldrop37이라는 위협 라벨로 분류돼 있고, 제품명은 'Mortal Kombat 1', 저작권 표시는 'FitGirl'로 기록돼 있다.
#DBatLoader#DonutLoader#banload#VoidArachne#SilverFox#게임크랙#방탄호스팅#로더체인행위자Void Arachne · Silver FoxIOCf9 · i5 · d2 · u1지역BR
C&C회원 전용2026년 9월 8일 22:31 (UTC+9)"알리바바" 서명 인증서, China Mobile 대역 C2로 확인
중국 이동통신망(China Mobile) IP 대역 위에서 운영되는 명령제어(C2) 인프라 한 묶음이 최근 관측됐다. 눈에 띄는 것은 이 서버들이 내세우는 TLS 인증서의 내용이다. 인증서 발급자는 GlobalSign이라는 정상 CA이지만, 인증서의 subject organization 필드에는 "Alibaba (China) Technology Co., Ltd."라는 실제 클라우드 대기업의 이름이 저장돼 있다. 동시에 이 여섯 개 IP는 VirusTotal 89개 엔진 전원에게서 탐지되지 않는 0/89를 기록하고 있어, 표면적으로는 깨끗한 호스트로 보인다. CTX Team이 이 인디케이터 세트를 들여다본 결과는, 탐지 엔진의 판정이 아니라 인증서·ASN·등록 패턴이 만들어내는 정황 증거가 이 클러스터의 정체를 드러낸다는 점이었다. 이 레코드는 위협 인텔리전스 피드에서 심각도 100, 신뢰도 80으로 분류된 c2-servers 카테고리에 등록돼 있다.
#알리바바사칭#유니온페이사칭#ChinaMobile#C2인프라#인증서재사용#yunkeit.com#공급망위장#탐지회피IOCf3 · i6 · d3 · u1MITRE37
FILE공개2026년 9월 8일 14:33 (UTC+9)가짜 KMSPico 설치파일, 실체는 애드웨어 번들러 유통망
윈도우·오피스 정품 인증을 우회해 주는 크랙 도구 'KMSPico'를 사칭한 설치파일 묶음에서, 서로 다른 파일 크기와 애드웨어 패밀리 라벨을 달고 있으면서도 동일한 컴파일 결과물임이 확인되는 두 개의 실행파일이 발견됐다. 339KB짜리 kmspico.exe(081ab0d9…fd187, 이하 '339KB 버전')와 694KB짜리 revenyou\kmspico.exe(48c68607…f19d, 이하 '694KB 버전')는 임포트 테이블 해시(imphash) 7fa974366048f9c551ef45714595665e가 완전히 일치하고, PE 리치 헤더 해시(81c790eab65ff0be64a9029444dd0f7f)와 컴파일 타임스탬프(2009-12-05)까지 정확히 같다. 이는 두 파일이 서로 다른 시점에 독립적으로 만들어진 것이 아니라, 하나의 빌드 환경에서 크기가 다른 두 개의 배포판을 뽑아낸 결과로 보는 것이 자연스럽다.
#KMSPico#애드웨어#NSIS#코드사이닝인증서#outbrowse#browsefox#RedApollo#APT10오분류행위자Red Apollo · PotassiumIOCf7 · i1 · d1 · u0MITRE21지역JP
C&C회원 전용2026년 9월 8일 06:50 (UTC+9)도메인 0개, URL 13개뿐인 Amadey 로더 유통망
이번에 CTX Team이 들여다본 Amadey 계열 로더 캠페인에서 가장 먼저 눈에 걸리는 것은 무엇을 심었는가가 아니라 무엇을 쓰지 않았는가다. 이 캠페인이 남긴 네트워크 지표 13건은 전부 점으로 구분된 IPv4 주소이거나 그 뒤에 경로가 붙은 형태이며, 등록된 도메인은 단 하나도 없다. 176.46.152.46/1.exe부터 176.46.152.46/9.exe까지 순서대로 번호가 매겨진 페이로드가 그대로 벌거벗은 IP 위에 얹혀 있고, 명령제어(C2) 체크인 경로 역시 178.16.53.7/cvdfnaFJBmC1/index.php, 158.94.208.102/g8jejcDS74f/index.php처럼 무작위 토큰이 붙은 index.php 두 개가 전부다. 침해대응 관점에서 도메인이 없다는 것은 단순한 인프라 빈틈이 아니라, 테이크다운·싱크홀·도메인 평판 기반 차단을 원천적으로 무력화하는 설계 선택이라고 읽는 것이 자연스럽다.
#Amadey#Stealc#Lumma#MicroClip#방탄호스팅#DNS회피#C2인프라#IP기반유통행위자Transparent Tribe · Copper FieldstoneIOCf6 · i3 · d0 · u13MITRE34지역NG
C&C회원 전용2026년 9월 7일 22:38 (UTC+9)폐기된 EV 인증서로 위장한 가짜 VPN, 여전히 실행된다
가짜 VPN 클라이언트로 위장한 실행파일 세 종이 지난해 9월부터 올해 1월까지 순차적으로 유통됐다. 공통점은 하나다 — 이미 폐기(revoked)된 EV 코드서명 인증서를 그대로 서명 블록에 담고 있다는 것이다. WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의로 발급된 이 인증서(일련번호 03 A9 18 8A A5 10 C0 F8 34 34 26 BF, GlobalSign GCC R45 EV CodeSigning CA 2020 체인)는 VirusTotal 상에서 "인증서 체인 중 하나가 더 이상 유효하지 않거나 신뢰가 폐기됨" 상태로 표시돼 있는데도, wire.exe·wire.dll·upWire.exe 세 개 파일이 나란히 이 인증서를 물고 있다. 같은 인프라 위에서 벌어지는 일이 아니라, 같은 신뢰 자산을 반복 소모하는 방식의 캠페인이라는 점에서 이번 관측은 흥미롭다. 이와 별개로, 완전히 다른 결의 서명 남용이 같은 데이터 안에서 확인된다.
#WEILAIEV인증서#wire.exe#브라이트데이터#PBot스틸러#가짜VPN#코드사이닝남용#자가서명인증서#알리바바도메인행위자Space Pirates · WebwormIOCf10 · i4 · d3 · u1MITRE19산업정부·공공
APT회원 전용2026년 9월 7일 22:29 (UTC+9)위장 PDF·압축 설치파일, 두 개의 상용 인증서로 병행 유통
윈도우용 PDF 리더·압축 유틸리티·사진 뷰어로 위장한 실행파일 18종을 들여다본 결과, 이 캠페인은 하나의 서명자가 아니라 서로 무관한 두 개의 상용 코드 서명 인증서 체인을 동시에 굴리고 있었다. 하나는 沧州句号网络科技有限公司(창저우쥐하오네트워크과학기술유한공사) 명의로 GlobalSign GCC R45 CodeSigning CA 2020 체인을 타는 13개 파일 군집이고, 다른 하나는 Chengdu Aishang Office Technology Co., Ltd.(청두아이샹) 명의로 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인을 쓰는 3개 파일 군집이다. 두 군집 모두 정식으로 발급된 유효한 인증서를 달고 있고, 두 군집 모두 정확히 같은 대본 — PDF 리더·압축 도구·사진 뷰어 브랜드를 흉내 낸 설치파일 — 을 따른다.
#SaltySpider#코드서명남용#애드웨어#PUP#치후360위장인증서#취안저우AS133776#pdfspeedup체크인#샌드박스회피행위자Salty Spider · KuKuIOCf18 · i5 · d0 · u0MITRE10
FILE회원 전용2026년 9월 7일 14:46 (UTC+9)세키스이하우스 위장 인증서, 일본 통신사 대역서 반복 재사용
Allaple로 태깅된 파일 드롭을 좇다 보면, 화면 반대편에 남는 건 결국 파일이 아니라 주소였다. 이번에 확보된 IP 지표 17개 가운데 14개가 단 하나의 일본 통신사 대역, AS4713(NTT DOCOMO BUSINESS,Inc.)에 몰려 있다. 그리고 그 안에서도 다섯 개 호스트 — 202.18.210.172, 202.18.210.153, 202.18.209.143, 202.18.209.144, 202.18.209.153 — 는 시리얼 번호 b9f3aa6546060eaeb9b07a8fed689d8, 즉 바이트 단위로 완전히 동일한 TLS 인증서를 그대로 물려받아 쓰고 있다. 파일 쪽 증거가 얇은 이번 조사에서 이 다섯 호스트의 인증서 완전 일치는 가장 단단하게 검증된 신호이며, 그래서 이 기사의 축도 파일이 아니라 인프라 쪽에 놓았다.
#Allaple#AS4713#NTTDOCOMOBUSINESS#세키스이하우스#TLS인증서위조#일본인프라#도메인모방#호스팅재사용IOCf9 · i17 · d0 · u0MITRE25지역US산업소매·유통
C&C공개2026년 9월 7일 14:30 (UTC+9)RFQ 위장 JS 다운로더, 샌드박스 'EVADER' 판정
"RFQ-0001468BECRISA.zip"이라는 이름의 첨부파일 안에는 실제 구매 문서가 아니라 JS 다운로더 한 개가 들어 있었다. 이 파일을 분석한 샌드박스 환경에서 관측된 것은 단순한 악성 판정을 넘어, 디버거 부착 여부를 점검하고 실행을 장시간 지연시키는 전형적인 탐지 회피 행동이었다 — Zenbox는 이 샘플을 100% 확신도로 'MALWARE/EVADER'로 분류했다. CTX Team이 확인한 이 소규모 클러스터는 구매요청서(RFQ)·발주서(PO) 테마의 피싱 첨부파일을 시작점으로, 전용 명령제어(C2) 노드 하나와 합법 파일 공유 서비스 catbox.moe를 엮은 인프라 위에서 작동하고 있다. 전체 IOC 규모는 크지 않다. 다만 규모가 작다는 사실이 곧 캠페인의 완성도가 낮다는 뜻은 아니다. 오히려 이 클러스터가 보여주는 것은 정반대다 — 좁은 인프라 안에서 패킹 기법, 명명 규칙, 인증서 발급 주기까지 하나로 맞아 들어가는 응집도다.
#RFQ피싱#JS다운로더#샌드박스회피#C2인프라#catbox.moe#trimnt.com#Let'sEncrypt인증서#조달부서표적IOCf13 · i2 · d1 · u1지역AE · AT · AU · AZ산업예술·엔터테인먼트 · 자동차 · 건설
APT회원 전용2026년 9월 7일 06:39 (UTC+9)태국 IP 세 곳, 알리바바 클라우드서 인증서 하나로 묶인 C2망 발견
163.181.72.193, 163.181.72.200, 163.181.72.201 — 태국으로 지오로케이션된 세 개의 IP가 완전히 동일한 TLS 인증서 일련번호(6696262f452fcf46b79266a8)와 동일한 와일드카드 SAN(*.certfallback.com)을 내걸고 있다. 세 IP는 모두 태국으로 지오로케이션되지만 실제 호스팅 주체는 Zhejiang Taobao Network Co.다 — 자율시스템 번호 AS24429, 즉 알리바바 클라우드 계열 주소 공간이다. 세 호스트는 163.181.72.0/23이라는 같은 /23 블록 안에 나란히 놓여 있고, 2026년 9월 5일과 6일 이틀 사이에 차례로 관측됐다. 세 대의 서버가 각자 독립적으로 인증서를 발급받은 것이 아니라, 하나의 TLS 신원이 세 호스트에 걸쳐 반복 사용되고 있다는 뜻이다. 이 구성은 우연히 겹친 결과라기보다는 설계된 이중화 구조로 보는 것이 자연스럽다.
#TA505#rockloader#certfallback.com#AS24429#알리바바클라우드#인증서재사용#크랙소프트웨어#C2인프라행위자TA505 · Hive0065IOCf2 · i5 · d2 · u0산업헬스케어
C&C회원 전용2026년 9월 6일 14:28 (UTC+9)폐기된 인증서 그대로 쓴 가짜 VPN·프록시·메신저 위장 빌드
가짜 VPN 설치파일과 상업용 프록시 SDK, 그리고 메신저 설치파일이 전혀 다른 서명자 이름을 달고 유통되고 있지만, 이들을 뜯어보면 같은 패키징 도구가 찍어낸 흔적이 반복해서 나온다. CTX Team이 이번에 정리한 표본 7건 가운데 세 개는 이미 폐기된 EV 코드서명 인증서를 계속 물려 쓰고 있었고, 그중 하나는 상업적으로 유효한 서명이 붙은 채로 스틸러 행위 판정을 받았다. 겉보기에는 별개의 브랜드 사칭 사건들이지만, 파일 내부의 패커 흔적과 YARA 룰 co-fire 패턴은 이 표본들이 하나의 제작 파이프라인 위에서 움직이고 있다는 쪽으로 무게를 옮긴다. 이 기사는 그 빌드 라인의 정체와, 그 위에 얹힌 네트워크 인프라가 어떻게 하나의 운영 체계로 수렴하는지를 따라간다. CTX Team이 이 클러스터를 심각도 100, 신뢰도 80으로 등록한 배경에는 파일·인증서·인프라 세 층에서 반복적으로 확인되는 응집도가 있다.
#WEILAINETWORKTECHNOLOGY#BrightData#PBot스틸러#EV코드서명인증서폐기#자가서명인증서#가짜VPN설치파일#프록시웨어#ViberSetup위장행위자Cactus · Cactus Ransomware GroupIOCf36 · i8 · d12 · u2MITRE16
C&C회원 전용2026년 9월 6일 06:41 (UTC+9)5년 된 Phorpiex, 아직도 샌드박스 두 곳을 통과한다
볼리비아·카자흐스탄·멕시코의 건설·기술 분야를 겨냥한 C2 인프라 추적 과정에서, CTX Team은 2021년 5월에 빌드된 Phorpiex/ClipBanker 계열 바이너리 한 점이 여전히 활성 제출 목록에 이름을 올리고 있는 것을 확인했다. 이 파일(552ac091…9e17)은 76개 탐지 엔진 가운데 64곳에서 악성으로 판정됐지만, 여섯 개의 샌드박스 판정 중 두 곳 — Yomi Hunter와 C2AE — 은 여전히 미탐지(undetected) 판정을 내렸다. 실행 전 CPU 타이머를 직접 읽고 디버거 존재 여부를 점검하며 장시간 대기하는 행위 패턴이 태그로 기록돼 있는데, 이 회피 로직이 정확히 왜 일부 샌드박스에서만 통과됐는지는 데이터로 단정할 수 없지만, 시간 기반 지연 실행이 일부 자동화 분석 환경의 관찰 창을 넘어섰을 가능성을 보여주는 정황으로 읽을 수 있다.
#Phorpiex#ClipBanker#건설업#기술산업#볼리비아#카자흐스탄#멕시코#샌드박스회피IOCf3 · i1 · d1 · u7MITRE34지역BO · KZ · MX산업건설 · 기술·IT
FILE회원 전용2026년 9월 5일 22:40 (UTC+9)Acrobat DC 위장한 HTML 두 장, allaple 라벨 뒤 흩어진 증거
이번에 확인된 파일 증거 가운데 가장 뚜렷한 신호는 세 개의 HTML 파일과 한 개의 실행파일에 몰려 있다. 이 가운데 두 개는 파일명이 단순히 index.html인데도, 각 파일에 기록된 원래 설치 경로를 보면 C:\Program Files\Adobe\Acrobat DC\Acrobat\ngl_resources\resources\ui\index.html와 C:\Program Files\Adobe\Acrobat DC\Acrobat\WebResources\Resource0\index.html라는 정상 Adobe Acrobat DC 설치 트리 하위 경로를 그대로 가리키고 있다. 하나는 3,030KB에 달하는 3MB급 위장 HTML(7768dae5…)이고, 다른 하나는 3KB에 불과한 초소형 위장 HTML(eb333a95…)이다.
#trojan.allaple#AdobeAcrobatDC위장#Base64인코딩URL#T1036위장기법#T1027난독화#버라이즌캐리어대역#소매유통표적#샌드박스판정불일치IOCf33 · i11 · d0 · u1MITRE25지역US산업소매·유통
C&C회원 전용2026년 9월 5일 22:27 (UTC+9)가짜 VPN 설치파일에서 인증서 하나로 수렴한 C2
'AFTEL_VPN_Setup.exe'라는 이름의 실행파일이 사용자의 실행을 유도하는 순간부터, 이 침투는 다섯 단계를 거치며 진행된 것으로 재구성된다. VPN 설치파일을 가장한 드로퍼(trojan.khalesi/etset)가 실행되자마자 외부 서비스에 자신의 공인 IP를 조회하고, 뒤이어 신뢰 체인이 끊긴 코드 서명을 두른 별도 트로이목마가 정탐 회피를 시도하며, 122KB짜리 경량 리버스셸 비콘이 사고대응(IR) 도구를 감지하는 로직을 품은 채 실행 단계를 담당한다. 이 모든 흐름이 최종적으로 향하는 곳은 단 하나의 명령제어(C2) 노드다 — 도메인 appstoore.solutions와 IP 46.30.188.13이 동일한 TLS 인증서 일련번호를 공유하며 사실상 같은 서버임을 드러낸다. 주목할 점은 이 다섯 단계를 구성하는 세 개의 파일이 서로 빌드 계보를 공유하지 않는다는 사실이다. imphash·vhash·서명자 어느 축으로도 세 샘플은 묶이지 않는다.
#APT28#VPN설치파일위장#C2인프라공유#코드서명위조#리버스셸비콘#IR회피#조립형멀웨어툴킷#Let'sEncrypt인증서행위자APT28 · StrontiumIOCf34 · i1 · d1 · u2지역CH · JO · TW산업식음료 · 정부·공공 · 지원 서비스
APT회원 전용2026년 9월 5일 14:28 (UTC+9)도메인보다 먼저 발급된 인증서, DarkSide C2의 시간 역설
바로케티즈닷컴(baroquetees.com)이라는 도메인의 마지막 HTTPS 인증서 발급 시각은 2024년 11월 15일이다. 그런데 이 도메인의 WHOIS 상 생성일은 2026년 2월 19일로 기록돼 있다 — 인증서가 도메인보다 1년 넘게 먼저 태어난 셈이다. CTX Team이 이번에 확인한 캠페인에서 가장 이례적인 지점은 행위자의 이름이 아니라 바로 이 시간축의 뒤틀림이다. 해당 도메인은 Proofpoint Emerging Threats Open이 배포한 IDS 룰 'ET MALWARE Observed DarkSide Ransomware Domain (baroquetees .com in TLS SNI)'을 통해 DarkSide 랜섬웨어의 명령제어(C2) 트래픽에서 TLS SNI 값으로 직접 관측됐고, 같은 기록에 담긴 페이로드(SHA256 e51e4c37…9a84d)는 2021년 3월 31일에 처음 제출된 5년 가까이 된 빌드다.
#다크사이드#랜섬웨어#C2도메인#TLS인증서불일치#루마니아#이중갈취#Cloudflare#Shopify사칭행위자Darkside · Gold WaterfallIOCf1 · i0 · d1 · u2MITRE35지역RO
FILE회원 전용2026년 9월 5일 06:54 (UTC+9)만료된 서명 인증서가 되살린 2015년 침투 흔적
한 Win32 실행파일이 완전한 코드 서명 체인을 달고 있다. LLC "INTELEKT-SOFT"라는 서명자, 그 위의 COMODO RSA Code Signing CA, 다시 그 위의 Sectigo(formerly Comodo CA)까지 3단계 체인이 온전히 남아 있고, VirusTotal 검증 결과는 위조가 아니라 "필요한 인증서가 시스템 시계 또는 서명된 파일의 타임스탬프를 기준으로 유효 기간 내에 있지 않다"는 단 하나의 이유로 실패한다. 리프 인증서의 유효 구간은 2015년 9월 21일부터 2016년 9월 20일까지였고, 이 실행파일(35cf61c8…)이 처음 VirusTotal에 제출된 시점은 2015년 12월 24일 — 즉 서명 당시에는 인증서가 아직 살아 있었다. 지금 이 파일을 열어보면 서명이 "실패"로 표시되지만, 그 실패의 원인은 위조나 체인 손상이 아니라 순수하게 흘러간 시간이다.
#babar#Snowglobe#AnimalFarm#코드사이닝인증서#C2도메인#소매업#첩보#인증서만료행위자Snowglobe · Animal FarmIOCf1 · i0 · d2 · u0MITRE17지역US산업소매·유통
APT회원 전용2026년 9월 5일 06:28 (UTC+9)5년 전 Emotet 문서, 27년 묵은 도메인과 한 기록에
2019년 5월 독일어·폴란드어 인보이스로 위장해 유포된 Emotet 계열 문서 하나가, 1997년부터 2014년 사이에 등록된 오래된 도메인 네 곳과 함께 하나의 위협 기록으로 묶여 CTX Team의 분석대에 올라왔다. 이 조합이 눈길을 끄는 이유는 단순한 시차 때문이 아니다 — 문제의 도메인들은 등록된 지 10년에서 27년이 지날 동안 별다른 활동 흔적 없이 잠들어 있다가, 최근 몇 년 사이 새 TLS 인증서를 발급받으며 다시 수면 위로 올라왔다. 오래된 자산이 새 인증서를 두르고 재등장하는 패턴은 위협 인텔리전스 관점에서 결코 흔한 그림이 아니며, 공격자가 신규 인프라를 세우는 대신 낡은 자산의 잔존 신뢰도를 재활용하려는 선택을 했을 가능성을 시사한다. 다만 이 기록의 신뢰도는 처음부터 낮게 잡혀 있다는 점을 짚어둘 필요가 있다.
#Emotet#TA542#도메인재점유#TLS인증서#말스팸#위협인텔리전스#인보이스피싱#신뢰도낮은지표행위자Emotet Group · TA542IOCf3 · i0 · d4 · u7지역DE