APT회원 전용2026년 9월 5일 14:28 (UTC+9)도메인보다 먼저 발급된 인증서, DarkSide C2의 시간 역설
바로케티즈닷컴(baroquetees.com)이라는 도메인의 마지막 HTTPS 인증서 발급 시각은 2024년 11월 15일이다. 그런데 이 도메인의 WHOIS 상 생성일은 2026년 2월 19일로 기록돼 있다 — 인증서가 도메인보다 1년 넘게 먼저 태어난 셈이다. CTX Team이 이번에 확인한 캠페인에서 가장 이례적인 지점은 행위자의 이름이 아니라 바로 이 시간축의 뒤틀림이다. 해당 도메인은 Proofpoint Emerging Threats Open이 배포한 IDS 룰 'ET MALWARE Observed DarkSide Ransomware Domain (baroquetees .com in TLS SNI)'을 통해 DarkSide 랜섬웨어의 명령제어(C2) 트래픽에서 TLS SNI 값으로 직접 관측됐고, 같은 기록에 담긴 페이로드(SHA256 e51e4c37…9a84d)는 2021년 3월 31일에 처음 제출된 5년 가까이 된 빌드다.
#다크사이드#랜섬웨어#C2도메인#TLS인증서불일치#루마니아#이중갈취#Cloudflare#Shopify사칭행위자Darkside · Gold WaterfallIOCf1 · i0 · d1 · u2MITRE35지역RO
FILE회원 전용2026년 9월 5일 06:54 (UTC+9)만료된 서명 인증서가 되살린 2015년 침투 흔적
한 Win32 실행파일이 완전한 코드 서명 체인을 달고 있다. LLC "INTELEKT-SOFT"라는 서명자, 그 위의 COMODO RSA Code Signing CA, 다시 그 위의 Sectigo(formerly Comodo CA)까지 3단계 체인이 온전히 남아 있고, VirusTotal 검증 결과는 위조가 아니라 "필요한 인증서가 시스템 시계 또는 서명된 파일의 타임스탬프를 기준으로 유효 기간 내에 있지 않다"는 단 하나의 이유로 실패한다. 리프 인증서의 유효 구간은 2015년 9월 21일부터 2016년 9월 20일까지였고, 이 실행파일(35cf61c8…)이 처음 VirusTotal에 제출된 시점은 2015년 12월 24일 — 즉 서명 당시에는 인증서가 아직 살아 있었다. 지금 이 파일을 열어보면 서명이 "실패"로 표시되지만, 그 실패의 원인은 위조나 체인 손상이 아니라 순수하게 흘러간 시간이다.
#babar#Snowglobe#AnimalFarm#코드사이닝인증서#C2도메인#소매업#첩보#인증서만료행위자Snowglobe · Animal FarmIOCf1 · i0 · d2 · u0MITRE17지역US산업소매·유통
APT회원 전용2026년 9월 5일 06:28 (UTC+9)5년 전 Emotet 문서, 27년 묵은 도메인과 한 기록에
2019년 5월 독일어·폴란드어 인보이스로 위장해 유포된 Emotet 계열 문서 하나가, 1997년부터 2014년 사이에 등록된 오래된 도메인 네 곳과 함께 하나의 위협 기록으로 묶여 CTX Team의 분석대에 올라왔다. 이 조합이 눈길을 끄는 이유는 단순한 시차 때문이 아니다 — 문제의 도메인들은 등록된 지 10년에서 27년이 지날 동안 별다른 활동 흔적 없이 잠들어 있다가, 최근 몇 년 사이 새 TLS 인증서를 발급받으며 다시 수면 위로 올라왔다. 오래된 자산이 새 인증서를 두르고 재등장하는 패턴은 위협 인텔리전스 관점에서 결코 흔한 그림이 아니며, 공격자가 신규 인프라를 세우는 대신 낡은 자산의 잔존 신뢰도를 재활용하려는 선택을 했을 가능성을 시사한다. 다만 이 기록의 신뢰도는 처음부터 낮게 잡혀 있다는 점을 짚어둘 필요가 있다.
#Emotet#TA542#도메인재점유#TLS인증서#말스팸#위협인텔리전스#인보이스피싱#신뢰도낮은지표행위자Emotet Group · TA542IOCf3 · i0 · d4 · u7지역DE
APT회원 전용2026년 9월 4일 14:35 (UTC+9)크랙 액티베이터 속에 숨은 다섯 겹의 실행 사슬
윈도우 정품 인증을 우회해 주는 무료 프로그램인 KMSAuto와 KMSSS 배포판 안에서, 자체 서명 인증서와 Chrome 업데이터로 위장한 로더, 사용자 모드 루트킷, 코인마이너, 그리고 2009년에 처음 서명된 취약 드라이버가 한 묶음으로 확인됐다. CTX Team이 이번 지표 묶음을 들여다본 결과 관측되는 것은 네 단계까지다 — 위장 서명 배포, 실행/드롭, 은닉, 마이닝 풀 통신. 마지막 단계로 흔히 따라붙는 커널 권한 확보는 WinRing0 드라이버의 존재만으로 짜맞춘 개연성 있는 재구성이며, 이 데이터 안에서 그 드라이버가 실제로 로딩되는 순간을 직접 보여주는 흔적은 없다. 즉 이번 사례는 "완성된 공격 사슬"이 아니라, 서로 다른 목적의 부품 네 개가 같은 유통 경로에 얹혀 있는 모습이라고 보는 편이 더 정확하다.
#KMSAuto#WZTeam서명위장#r77루트킷#WinRing0#코인마이너#BYOVD#APT27#크랙소프트웨어유통행위자APT27 · TEMP.HippoIOCf17 · i0 · d3 · u1MITRE58지역MY산업정부·공공
FILE회원 전용2026년 9월 3일 22:54 (UTC+9)8년 묵은 도메인, 89일 인증서 두르고 C2로 복귀
C2 서버로 분류된 도메인 mercadojs.com은 2018년 11월 11일에 등록된, 벌써 7년을 넘긴 오래된 자산이다. 그런데 이 도메인이 현재 내걸고 있는 TLS 인증서는 2026년 8월 2일 17시 19분에 발급돼 같은 해 10월 31일에 만료되는, 유효기간 89일짜리 Let's Encrypt 단명 인증서다. 오래된 등록 이력과 방금 갈아치운 듯한 인증서 주기 사이의 이 간극이 이번 사건에서 가장 눈에 띄는 신호다. 도메인은 VirusTotal 기준 90개 엔진 중 13개가 악성으로 탐지하며 alphaMountain.ai로부터 이미 악성 카테고리로 분류돼 있고, 이 도메인이 가리키는 인프라는 스위스와 요르단의 정부·지원서비스 조직을 겨눈 첩보성 캠페인, 즉 Operation Ghoul 계열 활동과 연결돼 있다. CTX Team은 이 C2 서버 클러스터를 심각도 100, 신뢰도 85로 분류해 첩보 목적의 능동 인프라로 등록했다.
#OperationGhoul#mercadojs.com#C2서버#Hostinger#스위스#요르단#정부기관#첩보캠페인행위자Operation GhoulIOCf1 · i1 · d1 · u1MITRE13지역CH · JO산업정부·공공 · 지원 서비스
APT회원 전용2026년 9월 3일 22:28 (UTC+9)게임 오토트레이너 속에 숨은 10년 묵은 Flash 취약점
베트남어권 온라인 게임 커뮤니티를 겨냥한 '오토 트레이너(자동 사냥/자동 매크로)' 배포 페이지 뒤에서, 2018년에 빌드된 로더가 2015년산 Adobe Flash Player 취약점 익스플로잇 DLL을 그대로 물고 다니는 조합이 확인됐다. 로더인 VulanPK.exe(982da6a9…)와 그 옆자리에 놓인 core_pk.dll(882b870d…)은 같은 디렉토리, 같은 컴파일 시각, 같은 패커로 만들어진 한 쌍이다. VirusTotal에서 각각 46/75, 44/74의 탐지율을 기록하고 있지만, 이 조합이 흥미로운 이유는 탐지율이 아니라 "왜 굳이 새 취약점을 쓰지 않고 10년 다 된 CVE-2015-2387을 아직도 패키징해서 돌리고 있는가"라는 질문이다.
#BlueBottle#Opera1er#CVE-2015-2387#게임오토트레이너#베트남#익스플로잇딜리버리#로더#AdobeFlashPlayer행위자BlueBottle · Opera1erIOCf80 · i1 · d2 · u3MITRE35지역AT
C&C회원 전용2026년 9월 3일 14:32 (UTC+9)필리핀 IP 3대, 자가서명 인증서 한 장으로 묶인 두 악성코드 유통망
156.59.113.131, 156.59.113.132, 156.59.113.134 — 필리핀에 위치한 이 세 개의 IP는 모두 AS21859(Zenlayer Inc) 네트워크에 속해 있고, 놀랍게도 완전히 동일한 자가서명 TLS 인증서(시리얼 1acf3e37b37910d932ea64e6bb27615d6484c07d, 유효기간 2024-03-12~2034-03-10)를 그대로 얹고 있다. 서로 다른 세 대의 서버가 독립적으로 임대되고 독립적으로 구성됐다면 이런 우연은 일어나지 않는다. 세 IP가 완전히 동일한 인증서 지문을 공유한다는 사실은, 이 호스팅 풀이 하나의 템플릿에서 찍어낸 VPS 클러스터이거나 최소한 단일 운영 주체가 관리하는 인프라라는 것을 강하게 시사한다.
#Zenlayer#필리핀#WEILAI네트워크#BrightData#PBot스틸러#가짜VPN설치파일#코드사이닝인증서악용#C2인프라IOCf30 · i6 · d14 · u5MITRE9
C&C회원 전용2026년 9월 2일 23:06 (UTC+9)평문 GET 파라미터로 드러난 봇 컨트롤러 명령체계 전모
독일 소재 IP 5.175.209.151 위에서 발견된 PHP 페이지 하나가, 흔히 정교하게 은닉되는 명령제어(C2) 통신 구조를 거의 그대로 노출하고 있다. si.php 스크립트는 get 액션과 함께 slist, version, download 명령을 받아 감염 목록 조회, 버전 확인, 페이로드 배포를 각각 처리하며, comp 파라미터에 LUKAS12라는 값을 담아 봇 식별자를 구분한다. 또한 cstorage 파라미터에 shell 값을 넣으면 원격 셸이 실행되고, 같은 파라미터에 ddos 값을 넣으면 분산서비스거부 공격 태스킹이 수행된다. 이 다섯 가지 경로만 살펴봐도 이 패널이 감염 목록 조회, 버전 확인, 페이로드 배포, 원격 셸 실행, 분산서비스거부 공격 태스킹까지를 LUKAS12라는 하나의 봇 식별자 아래에서 처리한다는 사실을 알 수 있다. 정교한 커스텀 프로토콜이나 암호화된 채널이 아니라, 사람이 읽어도 곧바로 이해되는 GET 파라미터로 명령 분기를 짜 놓은 구조다.
#GamaredonGroup#C2패널#DDoS태스킹#마스커레이딩#우크라이나#빌드재사용#샌드박스회피#트로이목마행위자Gamaredon Group · CTIGIOCf8 · i1 · d0 · u6MITRE27지역UA
C&C회원 전용2026년 9월 2일 06:42 (UTC+9)여덟 개 서버, 하나의 '/main.php'…10년 묵은 로더의 새 관제소
러시아 상트페테르부르크의 호스팅업체 JSC Selectel(AS49505)에서 프랑스·이탈리아에 걸친 OVH SAS(AS16276)까지, 서로 아무런 소유·관리 관계가 없는 네 개의 자율시스템에 흩어진 여덟 개의 서버가 정확히 같은 경로 하나로 명령을 내려받는다. 95.213.184.10, 212.47.223.19, 109.237.111.168, 51.254.19.227을 비롯한 여덟 개 IP 전부가 /main.php라는 동일한 URL을 관제 패널로 사용하고 있고, 이 패턴을 하나로 묶는 근거는 등록기관 기록도 인증서 일련번호도 아니라 오직 이 경로 문자열 자체다. CTX Team이 이 클러스터를 심각도 100, 신뢰도 85로 분류해 추적하는 동안 눈에 걸린 것은 정작 파일 한 점이 아니라, 국적과 소유주가 전혀 다른 서버들이 한 벌의 패널 코드를 그대로 복제해 쓰고 있다는 사실이었다. 이 관제 배열의 배후에 붙은 페이로드는 놀랍도록 낡았다.
#Rtm#락키#틴바#서버랜섬웨어#CryptOne#DGA도메인#C2인프라#정부기관표적행위자RtmIOCf1 · i4 · d8 · u16MITRE10지역CH · JO산업정부·공공 · 지원 서비스
C&C회원 전용2026년 9월 1일 22:41 (UTC+9)PANMAP.DLL, 서명 없이 마이크로소프트 위장
CTX Team이 추적한 이번 레코드의 핵심은 파일 하나(SHA256 f1386b51c6f0…67ddb1)에 있다. 이 Win32 실행파일은 내부 이름을 'PANMAP', 원래 이름을 'PANMAP.DLL'로 내세우고, 제품 문자열에 'Microsoft® Windows® Operating System'을, 저작권 표시에 '© Microsoft Corporation. All rights reserved.'를 그대로 박아 넣었다. 그런데 이 파일에는 유효한 코드 서명이 없다. 진짜 마이크로소프트 시스템 구성요소라면 반드시 있어야 할 서명 체인이 통째로 빠져 있는 채, 이름과 저작권 문구만으로 정통성을 흉내 낸 셈이다. 이는 전형적인 위장(T1036) 패턴으로, 파일명·제품 문자열이라는 '외양'과 서명 부재라는 '실체'가 정면으로 충돌하는 지점에서 이 파일의 정체가 드러난다. 이 판단은 단일 필드가 아니라 두 층위의 증거가 겹쳐야 성립한다.
#PANMAP.DLL#Smokeloader#Tinba#DownloadGuide#C2도메인#서명위장#크라임웨어#위협인텔리전스행위자Smoky SpiderIOCf1 · i0 · d1 · u1MITRE21지역CH · JO산업지원 서비스
FILE회원 전용2026년 8월 31일 23:10 (UTC+9)위장한 RuntimeBroker 드롭퍼, 이중 방어회피 노려
신원위장부터 안티디버깅까지, 하나의 실행 파일에 층층이 쌓아 올린 방어회피 장치가 관측됐다. 파일 내부 이름은 WmiPrvSE, 실제 배포 시 파일명은 runtimebroker.exe, 저작권 표기는 2022년 Realtek Semiconductor 앞으로 돼 있고 제품 필드에는 "Volume Shadow Copy Service"라는 문구까지 박혀 있다. 그런데 이 파일에는 코드 서명 자체가 없다. 즉 이 드롭퍼는 정식 인증서로 정당성을 얻는 대신, 순수하게 이름과 저작권 문자열만으로 백신·EDR의 첫 눈길을 피해 가려는 셈이다. 서명이라는 신뢰의 껍데기를 포기하면서까지 위장에 매달린 이 선택은, 운영자가 서명 인프라를 갖추지 못했거나 애초에 정찰 단계 필터링만 통과하면 충분하다고 판단했음을 시사한다. VirusTotal 기준 탐지율은 44/76으로 절반을 겨우 넘는 수준이지만, 판정의 무게는 정적 시그니처가 아니라 행위 분석에서 나온다.
#WizardSpider#RuntimeBroker드롭퍼#신원위장#안티디버깅#FemoITSolutions#kucoin.sh위장#polymarket.ac위장#espionage행위자Wizard Spider · Grim SpiderIOCf1 · i3 · d0 · u6MITRE34지역CH · JO산업식음료 · 정부·공공 · 지원 서비스
C&C회원 전용2026년 8월 31일 15:07 (UTC+9)임포트 해시 하나로 3년 이어진 njRAT 빌더 계보
프리 호스팅 플랫폼 다섯 곳에 흩어진 C2 발판과, 2023년과 2026년의 서로 다른 시점에 잡힌 실행파일들이 같은 임포트 해시 하나로 묶이는 사례가 확인됐다. 이번에 확인된 파일 일곱 개 가운데 다섯 개는 임포트 해시 f34d5f2d4577ed6d9ceec516c1f5a744를 공유하며, VirusTotal 라벨은 bladabindi·variadic·cdmip 세 갈래로 나뉘지만 실체는 njRAT/Bladabindi 계열의 동일한 .NET 빌더 산출물이다. 최초 관측 시점이 2023년 5월부터 2026년 4월까지 걸쳐 있다는 점은, 이 툴킷이 코드를 크게 갈아엎지 않은 채 최소 3년 가까이 재사용되고 있을 가능성을 시사한다. 이번 업데이트에서 새로 드러난 파일 4개 중 실행파일 3개가 바로 이 다섯 파일 코호트에 속해 있어, 오래된 빌드 계보가 최근 활동으로도 이어지고 있음을 보여준다.
#njRAT#Bladabindi#임포트해시#프리호스팅C2#dynv6.net#UAC우회#베트남#LazarusGroup행위자Lazarus Group · Hastati GroupIOCf7 · i1 · d6 · u4MITRE33지역US
APT회원 전용2026년 8월 31일 14:42 (UTC+9)무료 DDNS 4곳에 흩어진 하나의 C2, DarkHotel 다운로더가 접속
같은 명령제어(C2) 패널 구조를 공유하는 다섯 개의 호스트명이 서로 무관한 네 개의 무료 다이나믹 DNS(DDNS) 브랜드에 흩어져 있다는 사실이 이번 분석에서 가장 눈에 띄는 대목이다. gigamiros.zyns.com, microzion.crabdance.com, mirosmial.crabdance.com, microgenuinsman.servehttp.com, nanobis.mooo.com — Zyns, Crabdance(두 개), ServeHTTP, Mooo라는 네 개의 별개 브랜드에 걸쳐 있으면서도, 이 다섯 호스트는 모두 동일한 백엔드 경로 /bin/home/home.php와 /bin/home/view.php를 노출하고 있다. 브랜드가 다르면 등록 절차와 관리 주체도 다른 것이 정상인데, 그 위에 얹힌 응용 계층 코드가 완전히 똑같다는 점은 우연으로 보기 어렵다.
#DarkHotel#다이나믹DNS#다운로더#UPX패킹#C2인프라#zusy#garveep#정보수집행위자DarkHotel · Fallout TeamIOCf1 · i1 · d1 · u25MITRE8지역HK · JP산업기술·IT
FILE회원 전용2026년 8월 30일 22:41 (UTC+9)폐기된 인증서 두른 AutoIt 디코이, NetWire 드로퍼와 짝짓다
두 개의 실행파일이 하나의 침투 체인을 이루고 있다. 하나는 2012년에 서명된 "AutoIt3.exe"라는 정상 런타임 이름을 달고 있고, 다른 하나는 서명 없이 패킹된 채로 2020년에 처음 관측된 "Krt.exe"다. 두 파일은 서로 다른 시대, 다른 서명 상태를 갖고 있지만 동일한 크라우드소스 YARA 룰 AutoIT_Compiled에 걸린다는 공통점으로 하나의 클러스터로 묶인다. CTX Team이 이 지표 집합을 분석한 결과, 겉모습은 정상 스크립트 런타임인데 실제로는 폐기된 인증서를 두른 디코이와, 3개 샌드박스 전원이 악성으로 판정하며 NetWire RAT를 지목한 드로퍼가 짝을 이루는 구조가 드러났다. 두 파일의 최초 관측 시점은 각각 2012년 1월과 2020년 7월로, 8년 넘는 제출 시차를 두고 있다. 그런데도 두 파일은 CPU 타이머를 직접 읽어 분석 환경을 판별하고, 디버거 부착 여부를 점검하며, 실행 전 장시간 대기하는 동일한 회피 루틴을 공유한다.
#AutoIt#NetWire#LazyScripter#No-IP#동적DNS#코드서명폐기#드로퍼#디코이행위자LazyScripterIOCf22 · i1 · d1 · u1MITRE27
C&C회원 전용2026년 8월 30일 14:45 (UTC+9)차이나유니콤 4개 서브넷, 인증서 하나로 묶인 C2 발판
차이나유니콤(AS4837, CHINA UNICOM China169 Backbone) 백본 안에서 서로 무관해 보이는 네 개의 서브넷에 걸쳐 흩어진 IP 다섯 곳이, 하나같이 '*.certfallback.com'이라는 동일한 와일드카드 TLS 인증서를 내놓고 있다. 116.136.165.51과 116.136.165.44는 116.136.160.0/19 블록에 함께 속해 있지만, 1.28.8.39는 1.28.8.0/22, 121.29.104.45는 121.29.64.0/18, 61.240.144.229는 61.240.128.0/17이라는 전혀 다른 대역에 위치한다. 이 다섯 IP가 동일한 시리얼 번호(6696262f452fcf46b79266a8)를 가진 인증서를 공유한다는 사실이 이번 레코드에서 가장 뚜렷한 인프라 신호였다. 네 개 서브넷을 조금 더 들여다보면 지리적·조직적 우연으로 보기 어려운 패턴이 나온다.
#차이나유니콤#AS4837#certfallback.com#TLS인증서폴백#2345HaoZip#코드사이닝인증서#애드웨어#SaltySpider행위자Salty Spider · KuKuIOCf5 · i5 · d1 · u1MITRE16
APT회원 전용2026년 8월 29일 22:36 (UTC+9)임포트 해시 하나로 묶인 세 악성코드, 'Black Atlas'의 실체
MSIL(닷넷) 실행파일 세 개가 서로 다른 탐지 라벨을 달고 있다. 하나는 jalapeno, 하나는 agenttesla, 하나는 zusy — 이름만 보면 완전히 별개의 악성코드로 보인다. 그런데 이 세 파일, pctool.exe(9cde8e9e…), Loweringly.exe(f71062ef…), gsdfgsdfsd.exe(d12662f6…)는 임포트 해시(imphash) f34d5f2d4577ed6d9ceec516c1f5a744를 정확히 공유한다. 임포트 해시는 실행파일이 어떤 API를 어떤 순서로 불러오는지를 지문화한 값이라, 이 값이 완전히 일치한다는 것은 세 파일이 서로 다른 개발자가 독립적으로 작성한 코드가 아니라 같은 빌더 혹은 크립터 서비스를 거쳐 나왔다는 뜻으로 읽힌다. VirusTotal 탐지율을 보면 pctool.exe는 62/78, Loweringly.exe는 57/77, gsdfgsdfsd.exe는 52/76을 기록했다.
#OperationBlackAtlas#GCleaner#RaccoonStealer#임포트해시공유#유료설치유통망#DiscordCDN악용#클라우드플레어프록시#아이슬란드도메인등록행위자Operation Black AtlasIOCf23 · i2 · d5 · u7MITRE51
FILE회원 전용2026년 8월 29일 14:41 (UTC+9)등록·IP·인증서 겹친 위장 도메인, Stonefly 발판으로 드러나다
두 개의 위장 도메인이 같은 날 태어났다. tecnojournals.com과 semiconductboard.com은 2024-07-18, 정확히 같은 하루에 Gandi SAS를 통해 등록됐고, 지금도 둘 다 34.41.139.193이라는 동일한 IP로 해석된다. 권위 있는 네임서버조차 레지스트라 기본값이 아니라 ns1.hwrn.net·ns2.hwrn.net이라는 동일한 커스텀 페어를 공유하고 있다. 이 정도로 촘촘하게 겹치는 좌표는 우연히 같은 호스팅 업체를 고른 두 사이트의 흔적이라기보다, 하나의 스크립트가 한 번에 찍어낸 인프라 배치로 읽는 것이 자연스럽다. CTX Team은 이번 사건을 파일 지표 1건, 도메인 2건, 그 도메인 아래 걸린 URL 10건으로 구성된 좁지만 응집도가 매우 높은 캠페인 조각으로 분류했다. 이 조각이 흥미로운 이유는 규모가 아니라 정밀도다.
#Stonefly#Andariel#SilentChollima#Wextract#위장도메인#코드사이닝위조#PHP태스킹백엔드#리테일산업행위자Silent Chollima · AndarielIOCf1 · i0 · d2 · u10MITRE16지역CN · US산업소매·유통
C&C회원 전용2026년 8월 29일 00:50 (UTC+9)사전 단어 도메인 83개, 세 개의 IP로 수렴한 C2 인프라
'suppobox'라는 이름표가 붙은 이 명령제어(C2) 인프라를 들여다보면, 눈에 밟히는 것은 새로운 악성코드가 아니라 도메인을 찍어내는 방식 그 자체다. CTX Team이 확인한 83개의 두 단어 조합 '.net' 도메인은 겉보기엔 무작위 사전 단어를 이어붙인 흔한 스팸성 도메인처럼 보이지만, 실제 등록 시각과 호스팅 좌표를 겹쳐 보면 놀랄 만큼 좁은 곳으로 수렴한다. 등록 정보와 A레코드가 남아 있는 도메인들만 놓고 봐도 195.22.26.248, 75.2.18.233, 34.98.99.30이라는 세 개의 IP가 각각 여섯 개, 세 개, 두 개의 도메인을 떠받치고 있으며, 이 IP들은 다시 csof.net과 dyna-ns.net이라는 두 개의 네임서버 계열로 좁혀진다. severity 87, confidence 85로 분류된 이 클러스터는 미국 지역, 소매 업종에 걸쳐 명령제어 트래픽 징후로 추적됐고, 이 활동은 2026년 2월부터 8월까지 관측 창을 유지해 왔다.
#suppobox#명령제어인프라#배치도메인등록#인증서재사용#소매업종표적#미국#DNS네임서버#C2호스팅IOCf3 · i0 · d83 · u7MITRE25지역US산업소매·유통
APT회원 전용2026년 8월 28일 23:11 (UTC+9)정식 벤더 서명 살아있는데, 판정은 스틸러였다
net_updater.exe라는 이름의 실행 파일 세 개가 2025년 9월부터 2026년 6월까지 아홉 달에 걸쳐 잇따라 관측됐다. 세 파일 모두 Bright Data Ltd 명의로, DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인을 거쳐 정식 발급된 Authenticode 서명을 달고 있다 — 위조가 아니라 유효하고 아직 폐기되지 않은 실제 벤더 인증서다. 그런데도 VirusTotal은 이 세 파일에 각각 다른 위협 라벨을 붙였다. 2025년 9월 빌드(ae182434…)는 trojan.luminati/brightdata, 2026년 3월 빌드(9f8f5292…)는 pua.luminati/brightdata, 2026년 6월 빌드(c29d6d9b…)는 adware.luminatinetworks/brightdata로 분류됐고, 그 사이 샌드박스 한 곳은 두 빌드의 런타임 행위를 스틸러 계열 PBot으로 판정했다.
#BrightData#코드사이닝남용#PBot스틸러#인증서재사용#도메인풀#Cactus귀속오류#DigiCert서명#인프라재활용행위자Cactus · Cactus Ransomware GroupIOCf14 · i14 · d20 · u4MITRE8산업헬스케어 · 통신
APT회원 전용2026년 8월 28일 22:31 (UTC+9)쇼핑몰 도메인 뒤에 숨은 GCleaner 로더, APT28 라벨은 어긋나
지난 8월 한 달 사이 관측된 다섯 개 도메인 가운데 shhsift.click, kupzovo.shop, vexdico.shop 세 개가 정확히 같은 네임서버 쌍—ns1.dyna-ns.net과 ns2.dyna-ns.net—을 쓴다는 사실이 눈에 띈다. 세 도메인은 표면적으로는 서로 무관한 이름을 달고 있고 실제로 가리키는 A 레코드도 각각 159.65.136.5, 66.228.41.52, 165.227.199.109로 전혀 다른 호스트다. 그런데도 권한 네임서버가 동일하다는 것은, 이 세 도메인이 하나의 Dynadot 계정 아래에서 관리되고 있을 가능성이 높다는 뜻이다. shhsift.click은 등록기관이 Dynadot, LLC로 명시돼 있고 생성일이 2026년 8월 13일로, 관측 시점 기준 15일밖에 지나지 않은 신생 도메인이다. 흥미로운 점은 이 세 도메인이 인증기관 선택에서는 전혀 통일성을 보이지 않는다는 것이다.
#GCleaner#InjectorNett#Dynadot#PEiD#APT28#njRAT#페이퍼인스톨#쇼핑몰형도메인행위자APT28 · StrontiumIOCf15 · i1 · d5 · u9MITRE23
C&C회원 전용2026년 8월 28일 14:49 (UTC+9)10년 전 파이어폭스 위장 로더, 최신 C2망에서 재등장
VirusTotal에서 20/54개 엔진에 걸리는 한 Win32 실행파일이 있다. 크기는 139KB, 제품명과 내부 이름, 저작권 문구까지 전부 "Firefox" 40.0.3을 사칭하고 있지만 서명은 없다. 그런데 이 파일이 처음 관측된 시점은 2015년 12월 10일이고, 이번에 이 파일이 물려 들어온 C2 서버 세트의 관측 구간은 2026년 2월부터 8월까지다. 약 10년 안팎의 시간 차를 두고, 낡은 몸통 하나가 최신 인프라 옆에 다시 모습을 드러낸 셈이다. 이 파일에 딸려 있는 여덟 개의 IP는 불가리아, 우크라이나, 몰도바, 미국(등록지는 라트비아), 한국, 세르비아에 걸쳐 흩어져 있고, 그중 단 하나의 쌍만이 같은 통신사 블록을 공유한다. CTX Team이 이번에 들여다본 것은 정교하게 조직된 캠페인이 아니라, 두꺼운 아티팩트 한 건과 얇고 흩어진 인프라 조각들이 뒤섞인 비대칭적인 증거 세트다. 이 표본에는 waledac이라는 계열명이 붙어 있다.
#waledac#파이어폭스위장#스텁로더#프로세스인젝션#C2인프라#불가리아통신사#Let'sEncrypt인증서#위협인텔리전스IOCf1 · i8 · d0 · u2MITRE14지역US산업소매·유통
C&C회원 전용2026년 8월 27일 06:30 (UTC+9)services.exe 위장한 20년 전 메일웜, 최신 IDS 룰과 충돌
이번에 확보된 위협 지표 묶음에서 가장 눈에 띄는 사실은 화려한 신형 악성코드가 아니라, 정작 완전한 형태로 분석 가능한 파일이 단 하나뿐이라는 점이다. 35개 파일 해시 가운데 34개는 파일 형식조차 특정되지 않은 빈 레코드로 남아 있고, 유일하게 전체 분석이 가능한 샘플(bf316f51…6653c)은 2006년 7월 처음 관측된 mydoom/agentwdcr 계열의 메일웜이다. 이 샘플은 %WINDIR%\services.exe라는 이름으로 자신을 위장하며, UPX로 패킹된 8KB 남짓의 소형 PE32 실행파일이다. 흥미로운 대목은 이 낡은 웜이 보이는 행위 패턴과, 그 위에 붙은 최신 IDS 룰 히트가 서로 어긋난다는 점이다 — 이 어긋남 자체가 이번 지표 묶음의 성격을 규정하는 핵심 신호다.
#mydoom#agentwdcr#메일웜#Tofsee#LazarusGroup#위협인텔리전스#IDS룰#인프라코호트행위자Lazarus Group · Hastati GroupIOCf35 · i7 · d6 · u0
FILE회원 전용2026년 8월 25일 22:44 (UTC+9)크랙 툴 위장한 KMS 파일, DynDNS 거쳐 단명 도메인으로 페이로드 전달
정품 인증 우회 도구로 위장한 실행 파일 한 개(91922290…dda945)가 KMSoffline.exe라는 이름과 "KMSoffline v2.3.5 RU EN", "KMS Tools Portable 2022" 같은 배포 폴더명을 달고 퍼졌고, VirusTotal 기준 51/76개 엔진이 이를 악성으로 판정했다. 이 파일은 WZTeam이라는 코드 서명자의 인증서를 달고 있지만, 검증 결과는 "인증서 체인은 처리됐으나 신뢰 공급자가 신뢰하지 않는 루트 인증서에서 종료됐다"로 나온다 — 서명이 있다는 사실 자체가 신뢰를 보증하지 않는, 겉모습만의 서명이다. 흥미로운 지점은 이 파일 자체보다 그 뒤에 이어지는 실행 체인이다. CTX Team이 확보한 스크립트 계열 지표들은 이 크랙 툴이 단순한 불법 소프트웨어가 아니라, PowerShell 실행과 다이나믹 DNS 방식의 명령제어(C2)로 이어지는 다단계 전달 경로의 입구 역할을 하고 있음을 보여준다.
#APT27#KMSoffline#다이나믹DNS#C2인프라#크랙툴#행위기반탐지#서명위장#Hostinger행위자APT27 · TEMP.HippoIOCf20 · i1 · d1 · u4MITRE53지역TH산업운송·물류
APT회원 전용2026년 8월 25일 22:29 (UTC+9)가짜 플래시 설치파일, 로더는 버리고 페이로드는 지킨다
CTX Team이 확인한 이번 침투 세트의 핵심은 파일명 하나에 담겨 있다. 샌드박스에 제출된 실행파일(c56ac01b…)의 내부 경로에는 install_flash_player.bin이라는 이름이 그대로 남아 있고, 이 파일은 NSIS(Nullsoft Scriptable Install System) 자가 압축 설치파일 구조를 갖고 있다. 그런데 이 설치파일은 단순히 실행되는 것이 아니라, 실행되기 전에 CPU 타이머를 직접 읽어 분석 환경 여부를 판별하고 디버거가 붙어 있는지를 점검하며 의도적으로 장시간 대기하는 동작을 내장하고 있다. VirusTotal 기준 탐지율은 56/76으로 이미 절반 이상의 엔진이 걸러내지만, 같은 계열 안에서도 페이로드로 추정되는 블롭 파일은 26/79에 머물러 있다는 점이 이번 사례를 단순한 트로이목마 하나의 이야기가 아니라 로더와 페이로드 사이의 가시성 격차를 다루는 이야기로 만든다.
#PlugX#Korplug#MustangPanda#NSIS로더#샌드박스회피#지원서비스업종#스위스#CobaltStrike행위자Mustang Panda · HoneyMyteIOCf3 · i0 · d2 · u81MITRE20지역CH산업지원 서비스
APT회원 전용2026년 8월 25일 14:37 (UTC+9)벽지 플레이어 RAT, 中 4개 법인 서명체인 하나로 수렴
'动态壁纸播放器(동적 배경화면 플레이어)'라는 제품명을 달고 성도영창시대문화전파유한공사(成都盈畅时代文化传播有限公司) 명의로 서명된 바이너리(이하 '동적 배경화면 플레이어 바이너리', 92adc620…)가 있다. VirusTotal 기준 탐지율은 32/76에 불과하고, 두 개 샌드박스 중 나머지는 아예 판정을 내리지 못했지만, C2AE 샌드박스 하나만은 이 바이너리를 명확히 악성으로 분류하며 'PubNubRAT'이라는 이름을 붙였다. 문제는 이 서명자가 이번에 확인된 4개의 중국계 법인 서명 신원 가운데 하나일 뿐이라는 점이다. 성도기로과기유한공사(成都奇鲁科技有限公司), 북경창상계과기유한공사(北京创想界科技有限公司), 성도영창시대, 성도적협신식과기유한공사(成都赤侠信息科技有限公司) 네 개 법인 명의가 모두 동일한 'DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1' 발급 체인 아래 묶여 있고, 그중 한 빌드는 두 법인 명의로 번갈아…
#코드사이닝인증서#PubNubRAT#애드웨어#PUA#재서명#DigiCert#ChinaMobile#FIN6행위자FIN6 · Skeleton SpiderIOCf36 · i4 · d1 · u5MITRE28
FILE회원 전용2026년 8월 24일 22:33 (UTC+9)5년 전 매크로 문서, Emotet 이름 달고 최신 인프라 곁에 재등장
Attachment-5598.doc라는 이름으로 유통된 MS 워드 문서(6d52566b89a5b92fa269622283544ea520f7c2b92f3afa5eade2cb849c473ddd) 한 건이, 2026년까지 이어지는 현재 추적 구간 안에서 가장 뚜렷한 실행 증거를 남기고 있다. VirusTotal 기준 탐지율은 44/77로 절반을 넘기지만, 이 파일이 흥미로운 이유는 탐지 수치 자체가 아니라 행위 태그의 구성이다. "auto open", "creates OLE objects", "contains office macros", "runs a file it drops to disk"라는 네 개의 태그가 나란히 붙어 있는데, 이는 문서를 열자마자 매크로가 자동 실행되고 그 매크로가 디스크에 파일을 떨어뜨려 곧바로 구동시키는 전형적인 2단계 다운로더 구조를 그대로 드러낸다.
#Emotet#TA542#매크로다운로더#PowerShell다운로더#Let'sEncrypt인증서#싱가포르VPS#교육연구표적#정부기관표적행위자Emotet Group · TA542IOCf4 · i1 · d2 · u0지역RO · US산업교육·연구 · 정부·공공
FILE회원 전용2026년 8월 24일 14:46 (UTC+9)Gamaredon 이름표 뒤엔 크랙 툴 두 종뿐이었다
정부 부문을 표적으로 지목하고 심각도 100, "apt"·"ransomware" 태그까지 붙은 위협 피드 레코드 하나가 있다. 상위 메타데이터는 이를 Gamaredon Group과 expiro·beacon 계열에 연결하지만, 실제로 그 안에 담긴 파일 세 건을 개별적으로 열어 보면 그림이 완전히 달라진다. 하나는 "AAct v4.0 Portable" 활성화 도구로 위장한 GUI 실행파일(93de3f95b785…, 이하 AAct 활성화기)로 WZTeam 명의의 코드서명을 달고 있지만 그 서명 체인이 신뢰되지 않는 루트에서 끝난다. 다른 하나는 서명이 전혀 없는 33KB짜리 Ratiborus 제작 KMS 에뮬레이터 KMSSS.exe이고, 세 번째는 이 둘과 아무 연관 없이 딸려 들어온 정상 크롬 설치파일이다. 이 레코드의 뉴스 가치는 행위자 이름이 아니라, 그 이름표 아래 실제로 놓여 있는 것이 국가급 침투 도구가 아니라 불법 라이선스 우회용 크랙 툴 두 종이라는 간극 그 자체에 있다
#Gamaredon#AAct활성화기#KMSSS.exe#코드서명우회#크랙툴#UPX패킹#정부표적#위협인텔리전스행위자Gamaredon Group · CTIGIOCf3 · i0 · d0 · u0MITRE17산업정부·공공
FILE회원 전용2026년 8월 24일 06:37 (UTC+9)위장 인보이스 압축파일과 이중 스크립트, TA505의 저비용 배포망
2026년 8월 12일, 같은 날 같은 진영에서 나온 것으로 보이는 파일 네 개가 VirusTotal 표면에 동시에 떠올랐다. 그중 하나는 PO_400269712_Signed_Copy.pdf.txz라는 이름을 달고 있었지만 실제 내부 구조는 서명된 PDF가 아니라 RAR v5 압축 아카이브였다(738e0737…e7). 이중 확장자로 서명 문서를 사칭한 이 149KB짜리 파일은 VirusTotal에서 23/76의 탐지율을 기록했고, 위협 라벨은 trojan.sagent/crit로 분류됐다. 그리고 그 옆에는 이름조차 없이 sleestak_payload_1.bin이라는 내부 라벨만 공유하는 두 개의 스크립트 — 하나는 PowerShell(.ps1, 487fe56c…9), 하나는 JavaScript(.js, 70e0a3c6…30) — 가 나란히 놓여 있었다. 둘 다 정확히 64KB, 둘 다 같은 날 첫 관측, 둘 다 76개 엔진 중 단 하나도 탐지하지 못한 0/76이었다.
#TA505#rockloader#스피어피싱#제조업#남아공VPS#인보이스사칭#PowerShell#다운로더행위자TA505 · Hive0065IOCf7 · i1 · d1 · u2지역DE · IN · IT · TH산업제조
APT회원 전용2026년 8월 23일 14:27 (UTC+9)가짜 어도비 업데이터, 10년째 도는 다운로더의 회전형 백엔드
탐지엔진 44개가 이미 악성으로 낙인찍은 낡은 다운로더 한 개와, 그 다운로더가 통신하는 도메인 네 곳을 놓고 보면 눈에 들어오는 건 파일이 아니라 뒤편의 회로다. micronao.hopto.org, microplats.mooo.com, microrabit.jumpingcrab.com, goizmi.ignorelist.com — 서로 다른 무료 DDNS(Dynamic DNS) 사업자 아래 등록된 이 네 개 호스트는 모두 /bin/home/home.php라는 동일한 경로로 신호를 보내고, 요청 파라미터에는 a2=3548f9b8a118bd3d7b72b30cc85996a6라는 완전히 같은 값이 박혀 있다. 등록기관도, 최상위 도메인 접미사도 제각각인 네 호스트가 URL 스키마와 고정 토큰까지 일치한다는 것은 우연으로 설명하기 어렵다.
#DarkHotel#다운로더#다이나믹DNS#프로세스인젝션#C2인프라#어도비위장#통신산업#샌드박스회피행위자DarkHotel · Fallout TeamIOCf1 · i0 · d1 · u19MITRE10지역JP산업통신
APT회원 전용2026년 8월 22일 22:37 (UTC+9)같은 초에 발급된 인증서 한 장이 드러낸 재활용 인프라
bijibali.com과 inspiringgemsshop.com이라는, 서로 아무 관계가 없어 보이는 두 개의 도메인이 정확히 같은 초(秒)에 발급된 자가서명 TLS 인증서를 공유하고 있다는 사실이 이번 분석의 출발점이다. 두 도메인 모두 일련번호 '1', 지문값 db407a3d284fde04…인 인증서를 내걸고 있고, 두 인증서 모두 유효 시작 시각이 2025년 9월 3일 05시 55분 01초로 초 단위까지 정확히 일치한다. 문제는 이 두 도메인의 등록 시점이 2년 6개월 가까이 벌어져 있다는 점이다 — bijibali.com은 2023년 8월 26일, inspiringgemsshop.com은 2026년 2월 11일에 등록됐다. 더 눈에 띄는 것은 인증서의 발급 시각(2025-09-03)이 inspiringgemsshop.com의 등록일(2026-02-11)보다 오히려 5개월 이상 앞선다는 사실이다.
#자가서명인증서#도메인파킹#Sality#XMRig#SaltySpider#크립토재킹#조지아트빌리시#미국소매업행위자Salty Spider · KuKuIOCf18 · i2 · d6 · u31MITRE15지역US산업소매·유통
FILE회원 전용2026년 8월 22일 14:52 (UTC+9)5분짜리 인증서가 드러낸 소모품 인프라의 실체
이번에 CTX Team이 들여다본 기록은 파일 하나, IP 6개, 도메인 24개, URL 6개로 구성된 인프라 묶음이다. 규모만 보면 평범한 피드 항목처럼 보이지만, 인증서 발급 이력을 하나씩 짚어보면 이 묶음 안에 서로 다른 두 개의 시간축이 공존하고 있다는 게 드러난다. 하나는 aromasupply.nl·81moxing.com·autohes.cz처럼 유효기간이 정확히 89일로 맞춰진 도메인 인증서들이고, 다른 하나는 atlanticinsulationservices.co.uk에 발급된, 유효기간이 2026년 8월 10일 11시 17분 47초부터 같은 날 11시 22분 47초까지, 단 5분짜리 인증서다. 둘 다 발급 CA는 제각각이지만(YE2, E1, YR1) 패턴은 동일하다 — 오래 쓸 인프라가 아니라 짧게 쓰고 버릴 인프라라는 뜻이다. 이 기록에는 행위자 라벨로 'Rtm'이 붙어 있고 동기는 'espionage'로 태깅돼 있지만, 본문에서 이 라벨을 척추로 세우지는 않는다.
#Rtm#Cerber#CryptoWall#랜섬웨어#피싱#C2인프라#TLS인증서#OVH행위자RtmIOCf1 · i6 · d24 · u6MITRE22지역US산업소매·유통
APT회원 전용2026년 8월 22일 14:30 (UTC+9)정품 서명 두 장 뒤에 숨은 RAT, PC 최적화 프로그램의 두 얼굴
중국계 PC 최적화 프로그램 'WinOptimize' 계열 설치 파일에 포함된 두 개의 DLL이 샌드박스 분석에서 'PubNubRAT'라는 이름의 원격제어 악성코드로 판정됐다. 문제는 이 DLL들이 애드웨어치고는 이례적으로 정상적인 코드 서명을 달고 있었다는 점이다. privacy.dll이라는 이름으로 배포된 DLL(82c06ae2…f0928)은 정적 탐지 25/76에 불과했지만 C2AE 샌드박스는 이를 명확히 'RAT' 범주로 분류하며 악성코드 이름을 PubNubRAT로 특정했다. scarctrl.dll(f66ff607…3ab88)도 동일한 이름의 RAT로 지목됐는데, 같은 파일을 본 Zenbox 샌드박스는 오히려 '무해'로 판정했다. CTX Team이 이번 사례를 주목하는 이유는 바로 이 간극에 있다 — 정품처럼 보이는 애드웨어 유통망이 실제로는 원격 접근 도구를 실어 나르는 통로로 쓰이고 있다는 정황이 데이터로 확인됐기 때문이다.
#TA428#PubNubRAT#Ludashi#WinOptimize#애드웨어#코드사이닝인증서#중국이동통신망#CDN프론팅행위자TA428 · ThunderCatsIOCf17 · i7 · d2 · u13MITRE24
APT회원 전용2026년 8월 21일 22:58 (UTC+9)48시간 세 얼굴 악성코드, 착지점은 메일서버 위장 하나
같은 시간대에 관측된 악성코드가 서로 다른 패밀리 라벨을 달고 나타나는 경우는 드물지 않지만, 이번 사례는 그 폭이 유독 넓다. CTX Team이 확인한 세 개의 파일은 2026년 8월 10일과 11일, 이틀이 채 안 되는 창 안에서 처음 관측됐다. VirusTotal 기준 첫 번째 파일은 trojan.agenttesla/etecer 라벨과 함께 formbook 계열 명칭까지 함께 붙어 있고, 두 번째는 trojan.modiloader/muldrop, 세 번째는 trojan.luainj/obfuscator로 분류된다. Agent Tesla는 정보 탈취형 다운로더, ModiLoader는 아카이브로 전달되는 드로퍼, Luainj는 난독화된 스크립트 계열이다 — 세 이름이 가리키는 것은 하나의 악성코드가 아니라 세 개의 서로 다른 상품형 악성코드다. 더 눈에 띄는 것은 이 세 파일이 임포트 해시나 서명자, 심지어 위협 라벨까지 아무것도 공유하지 않는다는 점이다.
#TA505#AgentTesla#ModiLoader#Luainj#RFQ피싱#BlueVPS#메일서버위장C2#상품형악성코드행위자TA505 · Hive0065IOCf5 · i1 · d1 · u0지역AU · CH · DE · ES산업협회·단체 · 화학 · 교육·연구
C&C회원 전용2026년 8월 20일 22:46 (UTC+9)서명·시간·신원, 세 갈래로 무너진 신뢰의 유통망
애드웨어 번들러 두 종이 정식 EV 코드사인 인증서로 서명된 채 유통되다 그 인증서가 발급기관에 의해 폐기됐고, 같은 시기 관측된 VPN 서비스 위장형 정보 탈취 악성코드는 발급 사흘 만에 시간 유효성을 잃는 Microsoft 검증 인증서를 달고 있었다. 그 뒤를 받치는 명령제어(C2) 인프라에서는 파나마와 중국계 클라우드 두 곳이 각각 Akamai와 알리바바 클라우드의 TLS 인증서를 그대로 복제해 자신의 트래픽을 CDN 트래픽처럼 위장했다. 서명 신뢰(code signing), 시간 유효성(time validity), 인증서 신원(certificate identity) — 신뢰 체계를 구성하는 세 축을 각각 다른 방식으로 무너뜨린 사례가 하나의 유통 체인 위에서 동시에 관측됐다는 점이 이번 데이터셋의 핵심이다.
#DustSquad#PureLogStealer#EV코드사이닝인증서#TLS인증서복제#C2인프라#애드웨어번들러#CDN위장#VPN위장악성코드행위자DustSquad · APTC34IOCf3 · i8 · d7 · u0산업비영리
C&C회원 전용2026년 8월 20일 06:42 (UTC+9)다른 통신망, 같은 인증서…中 애드웨어망 CDN 공유 흔적 포착
중국 광둥성 통신망(CHINANET Guangdong, AS 134763) 소속의 IP 119.147.118.106가 이번 관측에서 새로 포착됐다. 그런데 이 주소가 내놓는 TLS 인증서를 열어보면, 전혀 다른 통신 사업자 대역인 Chinanet(AS 4134) 소속 113.96.132.210이 이미 제시하고 있던 것과 동일한 일련번호(b234dba9d0c0f44f93cd5fdc51fcfa4)가 찍혀 있다. 서로 다른 통신망, 서로 다른 지역 코드를 가진 두 노드가 정확히 같은 인증서를 내보인다는 것은 이 둘이 독립적으로 구축된 인프라가 아니라 하나의 CDN 엣지 뒤에 나란히 걸려 있다는 뜻이다. 이 사실 자체는 새롭지만, 그보다 흥미로운 것은 이 인프라 재사용 패턴이 이번 캠페인의 파일 계층에서 이미 관측된 것과 동일한 논리를 그대로 반복하고 있다는 점이다.
#만능우필입력기#2345看图王#CDN인증서공유#코드서명남용#애드웨어유통#중국통신망#잠복형악성코드#위협인텔리전스행위자Group123 · Venus 121IOCf16 · i4 · d0 · u0MITRE28
APT회원 전용2026년 8월 19일 14:40 (UTC+9)라자루스 라벨 뒤엔 66/76 탐지된 마이둠 웜 한 마리뿐
이번에 확보된 서른세 건의 파일 해시 가운데, 실제로 판독 가능한 내용을 담고 있는 것은 단 한 건뿐이다. 나머지 서른두 개는 해시 값만 존재하고 파일 종류·크기·서명·탐지 정보 어느 것도 확인되지 않는다. 그 유일한 표본은 fdeacb79…로 시작하는 59KB짜리 Win32 실행파일로, VirusTotal 기준 76개 엔진 중 66개가 악성으로 판정했고 위협 분류상 worm.mydoom/emailworm으로 분류되며, 대중적으로는 mydoom·emailworm·amfu라는 이름으로 묶인다. 이 웜은 스스로 다른 호스트로 확산하는 태그와 실행파일 끝단에 데이터가 덧붙여진 특징을 그대로 드러내고 있다. 이 레코드에는 라자루스라는 이름과 스무 개의 별칭이 함께 붙어 있지만, 실제로 손에 잡히는 기술적 증거는 이 상용 이메일 웜 계열 하나뿐이라는 사실이, 이번 지표 묶음이 던지는 가장 흥미로운 질문이다.
#라자루스#mydoom#이메일웜#위협인텔리전스#오탐지#인프라오분류#APT라벨#VirusTotal행위자Lazarus Group · Hastati GroupIOCf33 · i10 · d11 · u0지역DE
FILE회원 전용2026년 8월 19일 07:10 (UTC+9)2년 시차 두 도메인, 같은 발급자 인증서로 겹치다
새로 확인된 노드 가운데 가장 눈에 걸리는 것은 파일이나 행위자가 아니라 두 개의 도메인이다. sa1atik.cn은 2026-03-13에 등록됐고, websalat.top은 그보다 888일 앞선 2024-03-13에 등록됐다. 등록 시점만 보면 서로 관련 없는 별개의 자산처럼 보이지만, 두 도메인 모두 Google Trust Services가 발급자로 표시되고 발급자 이름이 동일하게 "WE1"로 기재된 인증서를 걸고 있고, 그 발급 시점은 각각 2026-07-30과 2026-08-17로 18일밖에 차이 나지 않는다. 인증서의 subject alternative names 역시 두 도메인 모두 와일드카드 형태(.sa1atik.cn, .websalat.top)로 동일한 구조를 취하고 있으며, DNS 위임도 둘 다 Cloudflare 네임서버(sa1atik.cn은 dale.ns.cloudflare.com·sonia.ns.cloudflare.com, websalat.top은…
#SalatStealer#Vidar#Snowglobe#UPX패킹#WMI탐색#Cloudflare#인증서발급#스틸러행위자Snowglobe · Animal FarmIOCf1 · i2 · d2 · u2MITRE10지역CN · DE
C&C회원 전용2026년 8월 19일 06:51 (UTC+9)정품 서명 애드웨어, 탐지엔진 31 대 샌드박스 0의 간극
phorpiex 계열 명령제어(C2) 서버로 분류된 한 위협 레코드에, 이번 관측 주기에서 처음으로 완전한 파일 지표가 붙었다. 그 파일은 다름 아닌 상하이의 정품 소프트웨어 업체 Shanghai 2345 Mobile Technology Co., Ltd. 명의로 정상 서명된 2345HomePage.exe(SHA256 e3fe19d7…c5e4b7)다. VirusTotal 기준 77개 엔진 가운데 31개가 이 파일을 악성으로 판정했지만, 실제로 동적 실행 결과를 내놓은 샌드박스 두 곳 — Zenbox와 C2AE — 은 각각 harmless(신뢰도 99)와 undetected 판정을 내렸다. 즉 정적 탐지 엔진들은 파일을 위험하다고 보는데, 실제로 돌려본 두 개의 실행 환경은 아무 이상을 잡아내지 못했다는 뜻이다. 이 간극이 이번 기사의 척추다.
#phorpiex#C2서버#정품서명#애드웨어#PUA#중국통신사#클라우드인증서#도매업IOCf4 · i25 · d0 · u0MITRE20지역CN산업도매
APT회원 전용2026년 8월 19일 06:34 (UTC+9)유효 EV 인증서 하나가 샌드박스 눈 가린다
정적 엔진 30여 곳이 이미 악성으로 판정한 실행파일을, 적어도 하나의 행위 분석 엔진은 84~99%의 확신으로 "무해"라고 채점한다. CTX Team이 이번에 확인한 크랙 소프트웨어 유통 캠페인의 핵심은 바로 이 간극이다. 인도 지역을 중심으로 유포되는 이 캠페인은 4단계로 이어지는 설치 체인 전체가 단 하나의 유효한 Sectigo EV 코드 서명 인증서로 묶여 있고, 그 서명이 걸려 있는 동안 동적 분석 결과가 체계적으로 "깨끗함" 쪽으로 기운다는 사실을 보여준다. 서명이 만료되거나 폐기된 인증서를 재활용하는 사례는 흔하지만, 이번 건은 발급 후 아직 유효 기간이 남아 있는 정상 인증서가 그대로 회피 도구로 기능하고 있다는 점에서 결이 다르다. 이 설치 체인에 이름을 붙인 서명자는 "ORYON TECH LIMITED"다.
#ORYONTECHLIMITED#SectigoEV코드서명#크랙소프트웨어#애드웨어#PUP#샌드박스회피#인도#PPI인프라행위자Patchwork · ChinastratsIOCf21 · i0 · d6 · u14MITRE49지역IN
FILE회원 전용2026년 8월 18일 14:51 (UTC+9)크랙 SQL 인젝션 툴에 숨은 BitRAT, 식음료 기업 노려
펜테스터와 스캐머 사이에서 여전히 통용되는 SQL 인젝션 자동화 도구 'SQLi Dumper v8.5'의 크랙판이, 실은 BitRAT 계열 원격제어 악성코드를 실어 나르는 운반체였다는 정황이 이번 분석에서 확인됐다. 확보된 파일 가운데 하나인 메인 실행파일(sqli v.8.5.exe, 해시 b693010f3f342fb0…e7)은 임시 폴더 경로 안에 'SQLi_Dumper_v.8.5_Cracked_By_LautheKing'이라는 배포판 폴더명을 그대로 남겼고, 실행 파일명도 원본 도구를 그대로 사칭했다. 같은 배포판 안에 함께 담긴 동봉 실행파일(SQLi Dumper.exe, 해시 4081a78ba280d28c…5ed7)은 크기가 훨씬 작은 .NET 어셈블리 형태로, 파일명은 'SQLi Dumper.exe' 그대로지만 위협 라벨은 별도의 트로이목마 계열(cryptinject/marsilia)로 분류된다.
#BlueBottle#BitRAT#SQLiDumper#크랙소프트웨어#이탈리아식음료제조업#PEiD패커#자가서명인증서#안티디버깅행위자BlueBottle · Opera1erIOCf4 · i1 · d0 · u1MITRE23지역IT산업식음료
C&C회원 전용2026년 8월 18일 14:28 (UTC+9)서명은 셋, 뒤는 하나 — VPN 위장 3계열 C2로 수렴
정품 VPN·프록시 브랜드를 내세운 서명된 실행파일 세 갈래가 최근 VirusTotal 텔레메트리에서 동시에 관측됐다. 하나는 GlobalSign이 이미 신뢰를 철회한 EV 인증서를 여전히 두른 채 유통되는 WireVPN 계열이고, 다른 하나는 아직 유효한 DigiCert 체인으로 서명됐지만 정작 샌드박스가 '무해'로 판정하는 VPNMaster 계열이다. 여기에 더해 상용 레지덴셜 프록시 SDK인 Bright Data의 정식 서명 바이너리 한 점이 스틸러로 행동하는 정황까지 포착됐다. 서로 다른 서명 주체, 서로 다른 인증기관, 서로 다른 탐지 패턴을 가진 이 세 갈래가 공교롭게도 하나의 자가서명 TLS 인증서를 공유하는 명령제어 인프라 뒤에 모여 있다는 점이 이 사건의 핵심이다. 이번 관측치는 CTX Team이 심각도 100, 신뢰도 80으로 분류해 c2-servers 카테고리로 등록한 지표 묶음에서 나왔다.
#WireVPN#VPNMaster#BrightData#PBot스틸러#코드서명남용#C2인프라#APT15#Cactus랜섬웨어행위자APT15 · ROYALAPTIOCf12 · i8 · d4 · u0MITRE14산업식음료
C&C회원 전용2026년 8월 17일 22:47 (UTC+9)중국 통신사 3곳, 동일 폴백 인증서로 은밀히 연결
중국 내 세 개의 서로 다른 통신사업자 회선에 물린 IP가 똑같은 TLS 인증서를 내걸고 있는 정황이 확인됐다. China TieTong Telecommunications(AS24138) 소속 111.132.45.48, China Mobile(AS56046) 소속 223.111.170.30, 그리고 저장성 진화 소재 소규모 통신사(AS136190) 소속 61.153.101.18 세 곳이 모두 *.certfallback.com이라는 와일드카드 인증서로 HTTPS를 서비스하고 있다. 이름 자체가 "인증서 폴백"을 뜻하는 도메인이 정식으로 존재하는 서비스로도, 앞서 확인된 다운로드 인프라의 일부로도 나타나지 않는다는 점에서, 세 노드가 우연히 같은 인증서 발급 대상을 공유했다고 보기는 어렵다.
#폴백인증서#코드사이닝남용#애드웨어유통#중국통신사#Kimsuky#Cactus#GlobalSign#DigiCert행위자Cactus · Cactus Ransomware GroupIOCf8 · i3 · d1 · u3MITRE10
APT회원 전용2026년 8월 17일 22:29 (UTC+9)정적탐지 53/76인데 샌드박스는 '무해'…클립뱅커의 위장술
클립보드 뱅킹 악성코드로 분류된 두 개의 실행파일이 VirusTotal 기준 53/76이라는 상당히 높은 탐지율을 기록했다. 그런데 같은 표본을 동적 분석 환경에 넣었을 때는 정반대의 결과가 나왔다. 샌드박스 Zenbox는 두 표본 모두를 각각 97%, 96% 확신도로 "harmless"라고 판정했고, 세 개 샌드박스 중 단 하나(Yomi Hunter)만 악성으로 분류했다. 정적 탐지 엔진 30여 개가 트로이목마로 지목한 파일을, 동적 분석 파이프라인은 깨끗한 파일로 흘려보낸 셈이다. 이 간극을 설명하는 실마리는 파일 속성에 있다. clipbanker 계열 표본(3ea66df0…4e5d4, 이하 표본 A)과 kepavll/gencirc 계열 드롭퍼(42d3f82f…dd794a, 이하 표본 B), 그리고 hzeh/krypt 계열 DLL(8b718083…3aab6, 이하 표본 C)까지 서로 다른 위협 라벨을 가진 세 파일이 공통적으로 디버거가 실행 중인지 탐지하는 루틴과 실행을 장시간…
#클립뱅커#APT28#샌드박스회피#안티디버깅#CloudFlare인증서위장#저신뢰호스팅#크라임웨어#귀속불일치행위자APT28 · StrontiumIOCf54 · i3 · d4 · u4MITRE66지역JO · NL · RO · SA
C&C회원 전용2026년 8월 17일 14:31 (UTC+9)4개국 7개 IP, 인증서 하나로 묶인 폴백 인프라 포착
같은 페이로드 계열을 추적하던 CTX Team의 최근 조사에서, 정작 눈에 띈 변화는 파일이 아니라 그 뒤에 숨은 네트워크 층이었다. 미국·싱가포르·필리핀(3개)·홍콩에 흩어진 7개의 서로 다른 IP가 정확히 동일한 TLS 인증서(일련번호 6696262f452fcf46b79266a8, 발급기관 GlobalSign GCC R46 OV TLS CA 2025)를 내걸고 있었고, 그 인증서의 제목은 다름 아닌 *.certfallback.com이었다. 이름부터가 "인증서 폴백"을 자처하는 이 호스트 군은 모두 AS24429(Zhejiang Taobao Network Co.,Ltd, 알리바바 클라우드 계열)에 속해 있다. 지리적으로 전혀 다른 대륙에 걸친 서버들이 하나의 인증서를 그대로 재사용하는 구성은 자연 발생적인 호스팅 다변화로 보기 어렵다 — 오히려 중앙에서 관리되는 폴백 또는 로드밸런스형 리다이렉터 인프라의 흔적으로 읽는 것이 합리적이다.
#WireVPN#BrightData#net_updater.exe#certfallback.com#AS24429#Let'sEncrypt#프록시웨어#C2인프라행위자Cactus · Cactus Ransomware GroupIOCf87 · i18 · d55 · u17MITRE21
FILE회원 전용2026년 8월 16일 23:04 (UTC+9)만료된 EV 인증서 두른 Ncat, 탐지엔진 74곳 눈속임
Windows 셸 구성요소를 사칭한 실행파일 하나가 VirusTotal 기준 76개 엔진 가운데 단 2곳(DrWeb, Jiangmin)에만 걸리며 조용히 순환하고 있었다. 이 파일은 사실 보안 진단·침투테스트에 널리 쓰이는 정품 네트워킹 도구 Ncat(Nmap 프로젝트의 확장판)이며, "Insecure.Com LLC"명의로 발급된 DigiCert EV 코드 서명 체인을 그대로 얹은 채 C:\ProgramData\nuldata..\ShellExperienceHost.exe라는 경로에 놓여 있었다. 대체 이름 목록에는 nmap-7.92/ncat.exe, bin/nmap/ncat.exe처럼 원래 배포 경로가 그대로 흔적으로 남아 있어, 이 파일이 정식 Nmap 배포판에서 추출돼 이름만 바뀐 상태로 재배포됐음을 보여준다. 정식 서명이 걸린 도구를 그대로 가져다 이름과 경로만 바꾸는 방식은 새로운 기법이 아니지만, 이 사례가 유독 눈에 띄는 이유는 서명 자체가 위조가 아니라는 점이다.
#Ncat#Nmap#DigiCertEV인증서#Conti#Petya#LockBit#TeslaCrypt#Zerologon행위자Lockbit Gang · DragonForceIOCf9 · i0 · d0 · u0MITRE7
C&C회원 전용2026년 8월 16일 22:50 (UTC+9)브라이트데이터 서명 인증서, 스틸러부터 PUA까지 다섯 얼굴로
상용 프록시 네트워크 업체 Bright Data Ltd 명의로 서명된 net_updater.exe 계열 실행파일 다섯 개가 VirusTotal에서 서로 다른 다섯 가지 위협 분류를 얻은 채 관측되고 있다. 같은 서명 체인 아래 있는 파일인데도 하나는 pua.luminati/brightdata, 다른 하나는 hacktool.luminatinetworks/luminati, 또 다른 하나는 adware.luminatinetworks/brightdata로 갈라졌고, 내부 샌드박스는 이 가운데 네 개를 'PBot'이라는 이름의 스틸러로 분류했다. 정상적으로 발급된 상용 코드 서명 인증서 한 계열이 PUA에서 hacktool, adware, 그리고 스틸러 판정까지 넘나드는 배포물 위에 얹혀 있는 셈이다.
#브라이트데이터#PBot스틸러#WireVPN로더#WEILAI인증서#certfallback.com#코드서명남용#프록시웨어#인증서재사용행위자Cactus · Cactus Ransomware GroupIOCf44 · i20 · d45 · u8MITRE9
APT회원 전용2026년 8월 16일 22:28 (UTC+9)자가서명 인증서 하나로 태평양 잇는 위장 VPN 유통망
바이트댄스(Bytedance Inc.)가 미국에서 할당받은 IP 대역과 젠레이어(Zenlayer Inc)가 필리핀에서 운용하는 IP 대역은 원래 아무 관계가 없어야 한다. 전자는 ARIN이 관리하는 71.18.96.0/20 네트워크, 후자는 APNIC이 관리하는 156.59.112.0/21 네트워크로, 등록 기관도 다르고 대륙도 다르다. 그런데 이번에 확인된 71.18.106.226, 71.18.106.229, 156.59.113.130, 156.59.113.135 네 개의 IP는 모두 동일한 자가서명 TLS 인증서를 그대로 얹고 있다. 인증서 시리얼은 1acf3e37b37910d932ea64e6bb27615d6484c07d로, 발급자·주체 필드는 모두 "NONE"으로 채워진 전형적인 무명 자가서명 인증서이며, 유효기간은 2024년 3월 12일부터 2034년 3월 10일까지 무려 10년에 달한다.
#바이트댄스#젠레이어#자가서명인증서#WEILAI#BrightData#PBot#VPNMaster#코드사이닝남용행위자UAC-0063 · TAG-110IOCf36 · i4 · d1 · u0MITRE21
FILE회원 전용2026년 8월 16일 14:57 (UTC+9)무서명 스틸러 아홉, 서명된 취약 드라이버 하나
12개 파일로 묶인 이번 배치를 훑다 보면 눈에 걸리는 비대칭이 하나 있다. 열한 개의 분류된 파일 가운데 아홉 개는 코드 서명 정보 자체가 없는 완전 무서명 실행파일이고, 나머지 하나만 정식 WHQL 체인으로 서명돼 있다. 그런데 그 유일한 서명 파일이 하필 Elastic Security가 배포하는 Windows_VulnDriver_ProcessMonitorDriver_89e06ec6 YARA 룰에 걸리는 취약 드라이버라는 점이 이번 배치의 성격을 규정한다. 나머지 아홉 개는 Amadey, StealC v2, Lumma, ClipBanker, PowerLoader, RemusStealer, MaskgramStealer 등 이름만 다른 상용 크리미웨어 키트들이고, VirusTotal 탐지율은 17/75에서 57/76까지 파일마다 크게 흔들린다.
#Amadey#StealC#Lumma#ClipBanker#PowerLoader#BYOVD#취약드라이버#크리미웨어유통IOCf12 · i2 · d0 · u3MITRE40지역AL · DE · EC산업상업 서비스
APT회원 전용2026년 8월 16일 14:29 (UTC+9)폐기된 인증서 걸친 가짜 VPN, 유통은 계속된다
VirusTotal에 누적된 제출 이력을 훑어보면 이상한 지속성이 눈에 띈다. GlobalSign이 발급한 EV 코드 서명 인증서 하나가 "폐기됨(revoked)"으로 표시된 지 오래인데도, 그 인증서로 서명된 실행파일과 DLL은 2025년 9월부터 2026년 8월까지 거의 1년간 끊이지 않고 제출되고 있다. 같은 시기, DigiCert 인증서 하나로 서명된 또 다른 VPN 설치 스위트는 인증서 체인이 "유효 기간 만료(not time valid)"로 판정된 뒤에도 63건, 164건, 221건씩 제출량이 쌓였다. 이는 단발성 침해가 아니라, 서명 신뢰를 소모품처럼 쓰고 버리는 유통 파이프라인이 살아 움직이고 있다는 신호다. CTX Team이 이번에 들여다본 것은 바로 이 두 개의 독립적인 서명 계열과, 그 뒤에 걸린 인프라의 재활용 흔적이다.
#WireVPN#VPNMaster#코드사이닝남용#PEGTECHINC#PBot스틸러#가짜VPN설치파일#인증서폐기#APT15행위자APT15 · ROYALAPTIOCf17 · i3 · d8 · u2MITRE8산업식음료
FILE회원 전용2026년 8월 16일 06:51 (UTC+9)등록기관은 제각각, 인증서만 89일로 나란히
인프라 계열 위협 데이터를 다루다 보면 가장 먼저 눈에 걸리는 건 대개 등록기관이나 네임서버가 겹치는 패턴이다. 그런데 이번에 CTX Team이 들여다본 세 개 도메인 — smileplz.com, veonetwork.com, voxdream.com — 은 겹치는 게 거의 없다. smileplz.com은 Bluehost Inc.를 통해 등록됐고 네임서버는 ns1.hostmonster.com / ns2.hostmonster.com이다. veonetwork.com은 Cosmotown(등록기관 ID 1509)을 거쳐 등록됐고 Cloudflare 네임서버(aaden.ns.cloudflare.com, love.ns.cloudflare.com) 아래 놓여 있다. voxdream.com은 Dynadot Inc를 통해 등록됐고 Bunny.net 네임서버(coco.bunny.net, kiki.bunny.net)를 쓴다.
#이모텟#피싱도메인#Let'sEncrypt인증서#오토디스커버리위장#웹메일사칭#매크로다운로더#나이지리아제조업#도메인클러스터행위자Emotet Group · TA542IOCf4 · i0 · d3 · u6지역NG산업제조