APT회원 전용2026년 8월 15일 22:30 (UTC+9)유니온페이 위장 인증서 뒤 애드웨어 유통망, 차이나유니콤 백본에 숨다
중국계 애드웨어·PUA 설치파일을 실어 나르는 배포 인프라가 유니온페이 인터내셔널(UnionPay International) 브랜드를 흉내 낸 TLS 인증서로 위장하고 있는 정황이 확인됐다. 이번에 확인된 IP 11개 가운데 10개가 차이나유니콤 백본(AS4837, CHINA UNICOM China169 Backbone) 안에 몰려 있고, 그중 7개는 발급기관이 DigiCert Basic OV G2 TLS CN RSA4096 SHA256 2022 CA1인 *.unionpayintl.com 와일드카드 인증서를 동일하게 내걸고 있다. 정작 이 IP들이 실어 나르는 것은 금융 서비스가 아니라 LuDaShi(鲁大师)·PolarWind·ChinaAd 계열의 애드웨어 설치파일이며, 그중 일부는 서명 체계 안에 PubNubRAT이라는 이름의 RAT 판정을 숨기고 있다. 행위자보다 눈에 띄는 것은 이 배포 전선이 어떻게 조립돼 있는가이며, 그 조립 방식 자체가 이번 분석의 척추다.
#유니온페이위장#애드웨어#PUA#PubNubRAT#차이나유니콤#코드사이닝인증서#FIN6#루다시행위자FIN6 · Skeleton SpiderIOCf45 · i11 · d3 · u0MITRE14
FILE회원 전용2026년 8월 15일 14:31 (UTC+9)MAS 위장 파워셸, 탐지엔진 14곳 걸렸지만 샌드박스는 못 잡아
크랙 액티베이터를 찾는 사용자들 사이에서 흔히 유통되는 오픈소스 도구 이름을 그대로 베낀 파워셸 스크립트 한 건이 CTX Team의 레이더에 걸렸다. 파일명은 MAS_AIO.cmd, 그리고 Microsoft-Activation-Scripts-3.12/MAS_AIO.cmd — 실제로 널리 쓰이는 오픈소스 Windows 활성화 도구 "Microsoft Activation Scripts(MAS)"의 배포 구조를 그대로 흉내 낸 이름이다. VirusTotal 기준 76개 엔진 가운데 14개가 이 파일(850f979665fb93999acae93f4790c1ff8ed2041532060b7966a121c2d29a0bfa, 이하 "MAS_AIO 위장 스크립트")을 hacktool.presenoker/abapplication 계열로 판정했지만, 행위 분석을 수행한 샌드박스는 1건 중 1건 모두 이를 악성으로 판정하지 않았다.
#TA505#파워셸드로퍼#MAS위장스크립트#masgravr.site#다중TLD인증서#샌드박스탐지회피#rockloader#hacktool.presenoker행위자TA505 · Hive0065IOCf1 · i1 · d2 · u1MITRE16
C&C회원 전용2026년 8월 15일 07:41 (UTC+9)게임 치트 위장 로더, 자격증명 유통 파이프라인 입구로
게임 커뮤니티에서 통용되는 "리처(leecher)" 툴 이름을 내건 실행파일 한 개가, 실제로는 암호화폐 지갑 시드와 2단계 인증 비밀, 텔레그램 세션, FTP 자격증명을 한 바구니에 쓸어담는 상품화된 유통 파이프라인의 입구 역할을 하고 있는 정황이 확인됐다. CTX Team이 추적한 이 C2 백엔드는 diamotrix.world라는 단일 도메인과 서로 다른 두 개의 자율시스템(AS)에 걸친 IP 두 곳으로 구성돼 있는데, 이 세 개 노드가 모두 /diamo/post.php라는 동일한 체크인 경로를 서비스한다는 사실이 이 인프라를 단순한 임시 호스팅 이상으로 보게 만드는 첫 단서다. 여기에 결합된 파일 증거는 정교한 침투 도구가 아니라, PEiD로 패킹된 .NET 로더 한 개와 탐지 엔진이 거의 손대지 못하는 평문 데이터 블록 여섯 개다. 이 조합이 흥미로운 이유는 정교함이 아니라 그 반대에 있다.
#B3RAPLeecher#diamotrix.world#자격증명탈취#스틸러로그#암호화폐지갑#텔레그램세션#FTP자격증명#C2인프라IOCf47 · i2 · d1 · u7MITRE61지역US
FILE회원 전용2026년 8월 15일 07:01 (UTC+9)청두 서명키 하나, 벤더 탐지명 일곱 개로 갈라졌다
업스트림 위협 피드는 이번 파일 묶음에 TA428(별칭 ThunderCats)이라는 행위자명과 ncctrojan·ghost라는 백도어 계열 패밀리, 그리고 "espionage"라는 동기를 붙여 놓았다. 그런데 열여섯 개 파일을 하나씩 열어보면 그 라벨이 가리키는 그림과 실제 파일들이 보여주는 그림이 서로 다른 방향을 향하고 있다는 사실이 곧바로 드러난다. VirusTotal에서 확인되는 위협 라벨은 하나같이 polarwind, ludashi, jaik, gencbl, misc/cert 같은 애드웨어·PUP(불필요 프로그램) 계열이고, ncctrojan이나 ghost라는 문자열은 어느 파일의 어떤 필드에도 등장하지 않는다.
#TA428#ThunderCats#애드웨어#PUP#코드서명남용#성도치샤신식과기유한공사#디지서트#샌드박스회피행위자TA428 · ThunderCatsIOCf54 · i0 · d0 · u0MITRE22지역CA · CN · TH산업통신 · 유틸리티
C&C회원 전용2026년 8월 15일 06:52 (UTC+9)도메인 없이 IP로 뿌려진 옛 봇넷, Phorpiex의 생존술
지난 관측에서 확인된 Phorpiex/Kadrbot 계열 바이너리(48eee6e4eedb7291e09cd68d3ff4f1608df7fb538be806d785a4e99cb77a9da2)의 유포 경로에는 도메인이 단 하나도 등장하지 않는다. 확인된 URL 7건 전부가 185.215.113.84라는 세이셸 할당 IP 하나로 귀결되고, 그중 여섯 개는 /twizt/1부터 /twizt/6까지 순번이 매겨진 경로다. 나머지 하나는 루트 경로 그 자체다. 도메인 등록 이벤트가 아예 발생하지 않는 유포 구조라는 점이 이번 관측에서 가장 먼저 눈에 띄는 특징이다. 이 경로 명명 방식은 우연으로 보기 어렵다. VirusTotal에서 이 바이너리는 phorpiex, kadrbot과 함께 trizt라는 별칭으로도 널리 식별되는데, URL 경로의 "twizt"는 이 별칭과 거의 그대로 겹친다.
#Phorpiex#Kadrbot#Twizt#UDPP2PC2#봇넷#샌드박스회피#인도정부기관#도메인없는유포IOCf4 · i6 · d0 · u7MITRE31지역IN산업정부·공공
APT회원 전용2026년 8월 15일 06:31 (UTC+9)크랙 설치파일 뒤 숨은 로더-스틸러 유통 파이프라인 포착
크랙 소프트웨어로 위장한 로더(5c07ed55…909)의 제품 정보 문자열은 "Real Files"라는 짧은 값을 담고 있다. 그런데 이 값은 우연이 아니다. 캠페인에 연결된 리다이렉트 도메인인 aa.lockstart.host와 bb.handssurprise.website의 URL에는 각각 title이라는 파라미터가 포함되어 있으며, 두 URL 모두 p 값이 2268, t 값이 46134022로 동일하고 title 파라미터에는 인코딩된 값 "UmVhbCBGaWxlcw=="가 담겨 있다. 이 값을 base64로 디코딩하면 정확히 "Real Files"가 나온다. 파일 하나의 메타데이터와 도메인 인프라의 URL 파라미터가 이렇게 문자열 단위로 정확히 겹치는 경우는 흔치 않다. 이는 곧 이 페이로드 뭉치가 임의로 수집된 IOC 목록이 아니라, 하나의 유통 백엔드가 실제로 이 파일을 밀어냈다는 직접적 연결고리로 읽힌다.
#패치워크#APT28#AgentTesla#Negasteal#크랙소프트웨어#페이퍼인스톨#안티샌드박스#리다이렉트체인행위자Patchwork · ChinastratsIOCf6 · i0 · d4 · u15MITRE29지역AD · AU · BG · BS산업건설 · 교육·연구 · 정부·공공
C&C회원 전용2026년 8월 14일 22:29 (UTC+9)크롬 경로 위장한 수집 스크립트, VPN망 8개 ASN에 분산 C2
C2 서버로 지정된 IP 14개 가운데 10개가 VPN 태그를 달고 있다. M247 Europe SRL(AS9009), Host Universal Pty Ltd(AS136557), Al-hadatheh Lil-itisalat Wa Al-technologia(AS47887), EstNOC OU(AS206804), Gigabit Hosting Sdn Bhd(AS55720), Latitude.sh(AS396356), OVH SAS(AS16276) — 최소 8개 이상의 서로 다른 ASN에 걸쳐 상업용 VPN·VPS 리셀러 IP가 흩어져 있는 형태다. 이 인프라 뒤에서 확인되는 유일한 파일은 2KB짜리 자바스크립트 한 개(eb9e1d58c0fe11feafd319cb7599b9d70bdb64ffa2f7aac15f8d8beed451a8e1)로, C:\chrome\executors\200.js라는 경로명과 datacollector라는 자기 식별 라벨을 달고 있다.
#C2인프라#VPN리셀러#샌드박스회피#datacollector#M247#HostUniversal#시간지연전술#기술산업IOCf1 · i14 · d0 · u24MITRE11산업기술·IT
APT회원 전용2026년 8월 14일 14:45 (UTC+9)RAR 하나, 탐지율 13→31의 간극이 드러낸 상용 배송 체인
스페인어로 "결제 영수증 세부사항(Detalles de los recibos de pago)"이라는 이름을 단 RAR 압축파일이 지난 8월 6일 처음 관측됐다. 이 압축파일을 열면 내부에는 단 하나의 JS 파일만 들어 있고, 그 스크립트는 곧바로 SLoad/ModiLoader 계열 다운로더로 식별된다. 흥미로운 대목은 압축파일 자체의 탐지율이 13/76에 그친 반면, 그 안에서 추출된 JS 스크립트는 같은 날 31/76까지 탐지율이 뛰어오른다는 점이다 — 같은 캠페인의 서로 다른 두 단계가 보안 엔진 앞에서 전혀 다른 얼굴을 하고 있었던 셈이다. CTX Team이 이 클러스터를 들여다본 결과, 이 격차는 단순한 우연이 아니라 압축 컨테이너가 서명 기반 탐지를 우회하는 동안 내부 스크립트만 뒤늦게 잡히는, 다운로더 배송 체인에서 흔히 나타나는 '탐지 창(window of detection)' 불일치로 읽힌다.
#SLoad/ModiLoader#AgentTesla#RAR스피어피싱#TA505#Namecheap호스팅#정보탈취멀웨어#커머디티캠페인행위자TA505 · Hive0065IOCf3 · i1 · d1 · u1지역AT · CY · DE · EG산업자동차 · 소매·유통 · 지원 서비스
FILE회원 전용2026년 8월 13일 22:37 (UTC+9)게임 안티치트 위장 설치파일, 텐센트 인증서 뒤 C2 은신
CTX Team이 최근 확보한 위협 지표 세트는 파일 하나와 IP 열 개로 구성돼 있지만, 그 안에 담긴 그림은 단순하지 않다. 핵심 파일은 ACEVILLE PTE LTD 명의로 유효하게 서명된 설치파일(1d232964…)로, 제품명은 "Anti-Cheat Expert"이며 실행 경로 흔적은 인기 슈팅 게임 Delta Force와 ABInfinite의 안티치트 모듈 디렉터리를 그대로 가리킨다. 이 파일과 연동된 C2 후보 IP 열 곳 가운데 여섯 곳은 텐센트(Tencent)의 QQ·WeGame·myqcloud 브랜드 또는 중국 CDN 사업자 왕쑤(网宿, ChinaNetCenter)의 와일드카드 인증서를 그대로 얹고 있다. CTX Team은 이 파일과 열 개 IP를 하나의 위협 세트로 묶어 심각도 69, 신뢰도 85로 분류했고, 배후 행위자는 'Confucius', 악성코드군은 'beacon'으로 표기했다. 흥미로운 지점은 이 세트 전체가 사실상 탐지되지 않는다는 것이다.
#Confucius#beacon#안티치트위장#텐센트인증서#ChinaUnicom백본#서명남용#C2인프라#게임산업행위자ConfuciusIOCf4 · i10 · d0 · u0
C&C회원 전용2026년 8월 13일 06:28 (UTC+9)일곱 개 악성코드 이름표, 실은 하나의 스틸러 체인
VirusTotal 탐지 라벨만 보면 이 사건은 서로 다른 일곱 개 악성코드 패밀리가 우연히 겹친 잡탕처럼 보인다. StealC v2, TinyNuke, PowerLoader, Carberp, Vidar, RedLine, 그리고 MaskGramStealer — 벤더 엔진들은 열한 개 파일을 이렇게 제각각 분류했다. 그런데 CTX Team이 크로스 IOC 축으로 다시 묶어본 결과는 전혀 다른 그림을 그린다. 여섯 개의 독립적인 YARA 룰셋과 다섯 개의 IDS 시그니처가 이름이 다른 파일들에서 동시에 발화하며, 이 표면적 다양성이 실제로는 하나의 로더-스틸러 체인과 하나의 C2 프로토콜을 감싸는 포장지에 불과했음을 드러낸다. 서명 정보가 있는 파일은 열한 개 중 두 개뿐이고 네 개 IP 가운데 두 개는 ASN 정보조차 없는, 증거가 얇은 캠페인이다. 하지만 얇은 인프라와 두꺼운 룰 매칭 증거가 만나는 지점에서, 이 캠페인이 실제로 얼마나 응집돼 있는지가 드러난다.
#StealC#TinyNuke#PowerLoader#Vidar#RedLine#MaskGramStealer#C2서버#크립토미끼IOCf11 · i4 · d1 · u11MITRE45지역PK · US산업기술·IT · 통신
APT회원 전용2026년 8월 13일 00:05 (UTC+9)네 도메인 한 네임서버… 브라질 IP서 정체 드러나다
zelpx.garden, carogra.biz, tzpx.courses, fightwa.biz — 서로 다른 시기에 등록된 이 네 개 도메인은 모두 동일한 네임서버 쌍, ns1.dyna-ns.net과 ns2.dyna-ns.net을 가리킨다. 게다가 fightwa.biz와 브라질에 위치한 IP 148.230.76.66은 완전히 동일한 TLS 인증서 일련번호(58a18d190d7e77351d4c58d9a5bf75ba598)를 공유하고 있어, 이 IP가 해당 도메인의 실제 운영 서버라는 점이 인증서 수준에서 확인된다. 파일 목록에는 APT28이라는 익숙한 이름이 붙어 있지만, 정작 이 인디케이터 집합에서 가장 견고하게 재구성되는 것은 행위자의 서명이 아니라 도메인·IP·인증서가 서로를 지목하는 인프라 지문 쪽이다. 이번 분석은 그 지문을 따라가며, 동시에 같은 카탈로그에 묶여 있는 파일 뭉치가 실제로는 이 인프라와 무관한 별개의 수집 활동일 가능성까지 짚어본다.
#APT28#네임서버공유#인증서위장#Hostinger#WHOIS템플릿#스틸러로그#Exodus지갑#도메인등록행위자APT28 · StrontiumIOCf32 · i1 · d4 · u4MITRE34지역AR · CL · CM · EE산업식음료
FILE회원 전용2026년 8월 12일 14:41 (UTC+9)USB로 퍼진 15년 전 Sality, TLS 지문서 Tofsee와 겹쳐
2010년 7월 25일에 최초로 관측된 Sality 계열 실행파일(df83a0d6…)이 2025년 10월 30일까지도 새로 제출되며 유통되고 있다. VirusTotal 기준 탐지율은 57/76, 제출 건수는 281회, 이를 올린 소스는 46곳에 이른다. 이 표본 하나에서 눈에 띄는 것은 단순한 '옛 멀웨어의 생존'이 아니라, 크라임웨어 실행 체인의 마지막 단계에서 관측된 TLS 클라이언트 지문이 전혀 다른 계열인 Tofsee 봇넷과 겹친다는 점이다. USB 자동실행으로 퍼지는 웜형 파일 감염체가 지연 실행과 폴리모픽 패킹을 거쳐 암호화 채널로 빠져나가는 이 흐름은, 행위자 이름표보다 훨씬 구체적이고 검증 가능한 서사를 제공한다. 이 글은 그 실행 체인을 시간순으로 따라가며, 그 끝에서 발견되는 JA3 겹침이 무엇을 의미하고 무엇을 의미하지 않는지를 구분해서 짚는다.
#Sality#Tofsee#JA3핑거프린트#USB전파#폴리모픽패킹#SaltySpider#클리퍼#크라임웨어인프라행위자Salty Spider · KuKuIOCf13 · i2 · d5 · u4MITRE32지역BD
APT회원 전용2026년 8월 12일 06:37 (UTC+9)5년 전 컴파일된 로더, 2025년까지 재유통 확인
컴파일 타임스탬프 2020-03-04, imphash 34791a1ad0a42b816d48d1d1c182fe7d — 이 두 값이 정확히 일치하는 실행파일 다섯 개가 2020년 3월부터 2025년 12월 사이 서로 다른 시점에 제출됐다. 같은 빌드가 5년 넘게 재사용됐다는 것은 흔한 일이 아니다. 보통 위협 행위자는 탐지를 피하기 위해 빌드를 반복적으로 다시 찍어내는데, 이 캠페인의 핵심 로더는 오히려 그 반대의 선택을 한 것으로 보인다 — 새로 빌드하지 않고 같은 바이너리를 계속 재유통시키는 쪽을 택한 정황이다. CTX Team이 이번에 확인한 20건의 파일 IOC 가운데 절반이 이 동결된 빌드 흔적을 공유하며, 이는 이번 분석의 척추가 인프라나 행위자 정체성이 아니라 '빌드 파이프라인 자체'에 있음을 보여준다.
#DarkHotel#Snowglobe#Ramsay#UACMe#리플렉티브DLL인젝션#게임런처위장#UAC우회#필리핀행위자DarkHotel · Fallout TeamIOCf20 · i1 · d0 · u0MITRE11지역PH산업기술·IT
C&C회원 전용2026년 8월 11일 14:48 (UTC+9)서명 파일은 그대로, 도메인 66건·IP 19건만 새로 늘었다
Bright Data Ltd 명의로 서명된 EarnApp·net_updater 계열 실행파일 4종은 이번 관측에서도 예전과 동일한 해시로 남아 있다. 반면 그 주변을 채우는 도메인은 66건, IP는 19건이 새로 확인됐고 이는 새 파일 9건보다 훨씬 큰 폭이다. 핵심 실행 코드는 그대로 두고 등록기관과 인증서 발급 경로만 계속 갈아타는 이런 비대칭은, 운영 주체가 탐지를 피하기 위해 투자하는 지점이 악성코드 자체가 아니라 그 뒤에 놓인 도메인·인증서 조달 라인이라는 것을 보여준다. 실제로 파일군은 이전 관측 대비 하나도 탈락하지 않았지만, 도메인·IP 묶음은 상당 부분이 교체된 것으로 확인돼 핵심 코드와 주변 인프라의 수명이 서로 다르게 움직이고 있다는 인상을 준다. 이 글은 정체된 파일군보다, 그 파일군을 둘러싸고 새로 드러난 등록기관·인증서 발급자 단위의 묶음이 무엇을 말해주는지에 초점을 맞춘다.
#EarnApp#net_updater#BrightData#PBot스틸러#코드사이닝인증서#도메인등록기관#APT28태깅#CDN인프라행위자APT28 · StrontiumIOCf78 · i24 · d91 · u11MITRE2산업상업 서비스
APT회원 전용2026년 8월 11일 14:28 (UTC+9)13년 묵은 QuasarRAT, 클리퍼 얹고 재활용되다
윈도우용 원격제어툴(RAT) 네 개의 표본을 나란히 놓고 보면 눈에 띄는 것은 각 파일의 개별 위협성이 아니라 그것들이 공유하는 뼈대다. 이번에 확인된 페이팔 크래커 위장 바인더(7328321f…790a)와 베놈 스푸핑 로더($77-Venom.exe, d53df5b6…e60e), 소프트웨어 위장 클리퍼(Soft.exe, d37fa555…cdad), 서비스 위장 클리퍼(Services.exe, adda26f3…2f05)는 PE 컴파일 시각이 2011년부터 2024년까지 걸쳐 있으면서도 동일한 YARA 서명 계열을 공유한다. 그리고 2024년에 새로 컴파일된 두 파일에는 원래 RAT 계열에는 없던 클립보드 탈취(클리퍼) 모듈이 그대로 얹혀 있다. C2 경로는 portmap.io라는 동적 DNS 터널링 서비스의 서브도메인을 거치는데, 이 서브도메인은 자신이 무엇인지 스스로 이름에 적어 놓았다 — quasarrat220-24487.portmap.io.
#LazyScripter#QuasarRAT#xRAT#VenomRAT#Diamotrix클리퍼#portmap.io#지갑주소탈취#RAT재활용행위자LazyScripterIOCf9 · i1 · d1 · u2MITRE30지역PT
APT회원 전용2026년 8월 11일 07:30 (UTC+9)네 나라 다섯 개 IP, 인증서 하나로 묶인 오퍼코어-스틸러 체인
인도네시아, 필리핀, 베트남, 말레이시아. 서로 다른 네 나라에 흩어진 다섯 개의 IP가 지난 8월 초 동시에 같은 TLS 인증서를 제시하고 있었다. 주체 이름은 한결같이 *.certfallback.com — "인증서 대체용"이라는 뜻이 그대로 읽히는, 목적이 뻔한 와일드카드 명의다. 그중 네 개(128.1.178.192, 128.1.45.175, 43.109.107.28, 155.102.33.22)는 단순히 같은 발급 템플릿을 쓰는 정도가 아니라, 일련번호 363a6b88ee219be351b40934짜리 인증서 객체 자체가 문자 그대로 동일했다. 같은 파일을, 서로 다른 서버 네 대에 그대로 복사해 넣은 흔적이다. 이 네 개의 IP는 소유 관계로 보면 전혀 무관해 보이는 두 인프라 사업자에 절반씩 걸쳐 있다.
#certfallback#TLS인증서재사용#오퍼코어번들러#PureLog스틸러#EV코드서명폐기#DustSquad#알리바바클라우드#동남아인프라행위자DustSquad · APTC34IOCf3 · i5 · d1 · u1MITRE5산업기술·IT
C&C회원 전용2026년 8월 11일 06:38 (UTC+9)위장 앱 16종 엮은 서명 체인, 명의만 세 번 갈아탔다
윈도우용 시스템 정리·광고 차단·PC 최적화 도구로 소개된 설치파일 16종이 모두 하나의 코드 서명 체인으로 연결돼 있다. VirusTotal 기준으로 이들 파일은 adware.ludashi, trojan.jaik, adware.chinad, adware.tedy 등 서로 다른 라벨을 달고 있지만, 서명 검증 단계까지 들어가면 12종이 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인 하나로 수렴한다. 서명자 이름은 成都奇鲁科技有限公司(청두치루과기유한공사)로 11건, 나머지 1건은 成都知安天下信息技术有限公司(청두즈안톈샤정보기술유한공사)로 갈리지만 상위 인증서 체인은 동일하다. 파일 크기는 1,117KB에서 4,417KB까지 분포하고, 정적 탐지율은 16/76에서 33/76 사이에 걸쳐 있어 단일 배포처가 지속적으로 빌드를 갱신해 온 흔적으로 읽힌다.
#코드서명인증서#애드웨어#PUA#루다스#청두#AS23650#APT29오귀속#차이나텔레콤행위자APT29 · MinidionisIOCf23 · i2 · d0 · u0MITRE26산업도매
C&C회원 전용2026년 8월 10일 22:37 (UTC+9)20년 묵은 도메인들, 같은 주에 새 인증서…라자루스 딱지의 속사정
resolvent.net은 2004년 4월 14일 NAMECHEAP INC를 통해 등록됐고, iskunk.org는 그보다 4년 앞선 2000년 3월 13일에 만들어졌다. 두 도메인 모두 20년을 훌쩍 넘긴 오래된 자산이다. 그런데 이 두 도메인은 2026년 6월 말에서 7월 초 사이 거의 같은 시기에 새 TLS 인증서를 발급받았다 — iskunk.org는 6월 24일부터 9월 22일까지 유효한 인증서를, resolvent.net은 7월 3일부터 10월 1일까지 유효한 인증서를 각각 받았다. 두 인증서 모두 유효기간이 정확히 89일로 동일하다는 점도 눈에 띈다. 이 기사가 다루는 인디케이터 세트는 표면적으로는 Lazarus Group과 mimail이라는 이름을 달고 들어왔지만, 실제로 손에 잡히는 증거는 파일이나 행위가 아니라 인프라 쪽에 몰려 있다.
#LazarusGroup#mimail#Incapsula#NAMECHEAP#C2인프라#도메인재활용#CDN#TLS인증서행위자Lazarus Group · Hastati GroupIOCf29 · i7 · d8 · u0지역DE
FILE회원 전용2026년 8월 10일 06:52 (UTC+9)Prometei 추정 크립토마이닝 도메인에 임시 인증서 포착
이번 주기에 새로 편입된 인프라는 단 하나, IP 31.56.209.100이다. 이 IP는 AS 209373(Swissnet LLC) 위에 떠 있으며, VirusTotal이 마지막으로 관측한 인증서에는 발급자가 Let's Encrypt(issuer CN "E8")로 기록돼 있고, 시리얼 넘버는 5bd06a073839319b24e1de5db1536631ab7이다. 이 인증서의 주체명(subject CN)은 corvusxmr.live이며, 대체 주체명(SAN)에는 mine.corvusxmr.live와 www.corvusxmr.live가 함께 걸려 있다 — "corvus"에 모네로(XMR) 티커를 붙인 명명 구조는 누가 봐도 마이닝 풀을 흉내 낸 도메인 네이밍이다. VirusTotal 탐지율은 72개 남짓의 엔진 가운데 12/91에 불과해, 이 인프라 자체를 아직 확증된 악성 노드로 부르기엔 이르다.
#Prometei#OilRig#corvusxmr.live#크립토마이닝#Let'sEncrypt#C2인프라#Swissnet#RDP위장다운로더행위자OilRig · APT34IOCf2 · i1 · d0 · u0MITRE8산업통신
APT회원 전용2026년 8월 10일 06:35 (UTC+9)'APT39' 이름표 뒤엔 10년 묵은 애드웨어, 확장 6개 복제
Chrome 확장 프로그램으로 위장한 자바스크립트 페이로드 네 종이 최소 여섯 개의 서로 다른 확장 프로그램 GUID 아래에서 한 글자도 다르지 않게 반복 배포된 사례가 확인됐다. js/api/message.js, js/lib/onbgdocumentload.js, js/api/chrome.js, js/lib/async_api.js라는 동일한 파일 경로가 algmakeomkafjglfhpomolfhjppoojff, nnlomafmkpiclmaaekkhpoecnclldmaa, fjbgonfbgjdmlkjofohofdjnakkfppge, pgmfkblbflahhponhjmkcnpjinenhlnc, mifpbickojhbejhppcfgifjbmiinpjap, fjkndgpgkiomekpgdaclpoecngmjonhe라는 각기 다른 확장 GUID 폴더 아래에 나란히 존재한다.
#APT39#Crossrider#애드웨어#브라우저확장#NSIS설치파일#PUA#위협인텔리전스라벨링#apps-update.com행위자APT39 · ChaferIOCf20 · i0 · d1 · u3지역GB
APT회원 전용2026년 8월 9일 20:14 (UTC+9)동일 서명, 극단적 탐지 격차…31대4 설치파일의 진실
두 개의 Win32 설치파일이 완전히 동일한 코드 서명 인증서를 공유하면서도, 탐지 스펙트럼의 정반대 끝에 서 있는 사례가 확인됐다. 하나는 VirusTotal 76개 엔진 가운데 31개가 애드웨어·다운로더로 탐지했고(34278d6fd8874bc12cd7498d…), 다른 하나는 동일한 서명자·동일한 인증서 일련번호를 물고 있으면서도 76개 중 4개만 반응했다(c1e0bf25484a1dacced5e782…). 여기에 더해 고탐지 쪽 빌드는 원래 이름을 버리고 RustDesk, Lenovo Vantage, 그리고 정체가 불분명한 'Maple' 패키지 이름으로 재배포되고 있었다. CTX Team은 이 조합을 코드 서명 신뢰의 악용과 소프트웨어 위장, 분석 환경 회피가 한 세트로 엮인 사례로 분류했다. 표면적으로는 흔한 PUP(불필요 프로그램) 번들링처럼 보이지만, 데이터를 뜯어보면 이야기가 조금 더 복잡해진다.
#코드서명위조#SaltySpider#RustDesk위장#LenovoVantage위장#애드웨어#CloudFront#offercore#다운로더행위자Salty Spider · KuKuIOCf2 · i0 · d1 · u2MITRE21지역AR · BO · BR · CL산업농업 · 건설 · 교육·연구
FILE회원 전용2026년 8월 9일 11:05 (UTC+9)서명 인증서 하나로 뚫린 3분, 탐지율 0%의 3종 세트
정상적인 코드 서명 인증서 한 장이 서로 다른 역할을 가진 세 개의 실행파일을 동시에 감싸고 있을 때, 그 인증서가 신뢰의 증거가 아니라 하나의 빌드 라인을 지목하는 지문이 되는 경우가 있다. CTX Team이 이번에 확인한 지표군에서는 런처, 메인 애플리케이션, 자가복구 유틸리티로 기능이 나뉘는 세 개의 파일이 SPRING (SG) PTE. LTD 명의로 발급된 동일한 DigiCert Trusted G4 인증서로 서명돼 있었고, 서명 시각은 2026년 8월 2일 오전 6시4분에서 6시7분 사이 단 3분의 창 안에 몰려 있었다. 세 파일 모두 VirusTotal 탐지율이 0/76~1/76에 그치는 사실상 백지 상태였다는 점을 감안하면, 이 캠페인의 무게중심은 정교한 페이로드가 아니라 서명 신뢰를 통과시키는 파이프라인 자체에 있다고 보는 것이 합리적이다.
#APT28#IcedID#코드서명인증서남용#Zenlayer#브라질호스팅#Dola런처#정부기관표적#TLS인증서재사용행위자APT28 · StrontiumIOCf5 · i6 · d0 · u0MITRE38산업정부·공공
C&C회원 전용2026년 8월 9일 10:54 (UTC+9)차이나유니콤 백본, 유니온페이·화웨이 위장 인증서 동시 포착
중국 최대 통신사인 China Unicom의 백본 네트워크, AS4837 한 곳에 걸려 있는 서로 다른 네 개의 IP가 완전히 동일한 TLS 인증서 일련번호(b16a258a252d804ceb0eb5ba860f3e5)를 내걸고 있다. 이 인증서의 주체는 *.unionpayintl.com — 중국 국영 결제망 유니온페이 인터내셔널을 그대로 흉내 낸 도메인이다. 119.188.149.190(산둥성), 183.93.116.87(후베이성), 119.188.44.230(산둥성), 101.72.227.192(허베이성) 네 개 IP는 지리적으로도, 소속 통신사 지역망으로도 서로 무관해 보이지만 인증서의 발급자(DigiCert Basic OV G2 TLS CN RSA4096 SHA256 2022 CA1)와 일련번호, 유효기간(2025-09-30~2026-10-31)까지 완전히 일치한다. 독립적으로 운영되는 정상 호스트라면 서로 다른 지역의 서버가 동일한 인증서 일련번호를 들고 있을 이유가 없다.
#ChinaUnicom#AS4837#유니온페이위장#화웨이앱갤러리위장#코드사인인증서재사용#PUA애드웨어#TLS인증서스푸핑#청두치루과기IOCf28 · i7 · d0 · u0MITRE14
APT회원 전용2026년 8월 9일 10:45 (UTC+9)13년 된 해킹툴과 위장 드로퍼, 한 세트에서 공존
VirusTotal 탐지율만 놓고 보면 정반대의 두 파일이 하나의 위협 인디케이터 묶음에 나란히 들어 있다. 하나는 75개 엔진 중 46개가 탐지하고 YARA 룰 3건이 동시에 발화하는, 누가 봐도 위험 신호가 뚜렷한 파일이다. 다른 하나는 77개 엔진 전부가 무해로 판정한, 표면적으로는 아무 문제도 없어 보이는 16.8메가바이트짜리 바이너리다. CTX Team이 이번에 확인한 인디케이터 세트는 파일 2건과 IP 13건으로 이뤄져 있으며, 그 중심에 이 극단적인 탐지율 대비가 자리한다. 오래돼서 이미 시그니처가 다 퍼진 공개 해킹툴과, 정품 오픈소스 유틸리티로 위장해 탐지를 완전히 통과하는 신형 바이너리가 같은 세트 안에서 발견됐다는 사실 자체가, 이 캠페인의 운영 방식을 짚어볼 실마리가 된다. 시그니처가 이미 낡아버린 도구를 계속 쓰는 쪽과, 새로 위장을 갈아입혀 탐지를 피하는 쪽이 공존한다는 것은 단순한 우연이라기보다 역할 분담을 암시한다.
#RemCom#njrat#Cactus#WinSW위장#방탄호스팅#측면이동#C2인프라#Proton66행위자Cactus · Cactus Ransomware GroupIOCf2 · i13 · d0 · u0MITRE20
FILE회원 전용2026년 8월 9일 01:56 (UTC+9)가짜 서명 '@ByELDI', KMS 크랙 도구 4종을 묶다
윈도우·오피스 정품 인증을 우회해 준다는 크랙 도구 4종이 동일한 코드 서명 체인을 공유하고 있다는 사실이 확인됐다. KMSELDI.exe(50ebfa1d…), Service_KMS.exe(2b533757…), AutoPico.exe(4a714d98…), 그리고 이들을 한 번에 설치하는 NSIS 패키지 KMSpico_setup.exe(64c731ad…)까지 네 개 파일 모두 "@ByELDI; @ByELDI Certificate Authority"라는 동일한 서명자 이름을 달고 있다. 그런데 이 인증서는 정식 발급기관이 아니라 자체 발급된 자가서명 루트에서 나온 것이어서, VirusTotal 신뢰 판정 단계에서 네 파일 모두 "서명 검증이 실패한다"는 결과를 받는다. 서명은 걸려 있지만 그 서명을 아무도 신뢰하지 않는다는 역설적 상태, 즉 서명이 실질적 신뢰 증거가 아니라 사용자를 안심시키기 위한 시각적 장치로 쓰이고 있다는 정황이다.
#KMSpico#AutoKMS#코드서명위조#자가서명인증서#다이나믹DNS#패커YARA#Patchwork#크랙도구생태계행위자Patchwork · ChinastratsIOCf14 · i1 · d1 · u1MITRE51
APT회원 전용2026년 8월 9일 01:46 (UTC+9)만료 서명 스캐너와 AWS 뒤 해시 경로 C2
이번에 확보한 인디케이터 묶음에서 가장 뚜렷한 신호는 파일이 아니라 도메인 하나에서 나온다. wb.sleevesbarbing.com은 2025년 6월 29일 URL SOLUTIONS INC.를 통해 등록된 도메인으로, 네임서버가 ns-1417.awsdns-49.org, ns-1900.awsdns-45.co.uk, ns-217.awsdns-27.com, ns-819.awsdns-38.net 등 AWS Route53의 네임서버로 위임돼 있다. 여기에 더해 8개의 A 레코드(172.240.212.133, .205, .214, .230, .238, .44, .70, .78)가 순환하고, 동시에 aelionvel.com으로 향하는 CNAME 레코드가 걸려 있다. 하나의 도메인이 여덕 개의 IP 주소를 오가며 응답하고, 동시에 다른 도메인으로 우회 경로를 열어둔 이 구성은 단일 서버 하나를 지키는 방식이 아니라 어느 한 노드가 차단되더라도 나머지가 즉시 대체할 수 있게 설계된 형태다.
#AdvancedIPScanner#Famatech#AWSRoute53#EdgenextCDN#C2도메인#해킹툴재활용#LockbitGang#통신서비스행위자Lockbit GangIOCf1 · i1 · d1 · u6MITRE4산업통신
FILE회원 전용2026년 8월 9일 00:27 (UTC+9)인증서 한 장이 웨이브브라우저 14개 파일 통째 봉인
Wavesor Software(Eightpoint Technologies Ltd. SEZC) 명의로 발급된 DigiCert 코드 서명 인증서 한 장이, 설치파일·업데이터·리소스 DLL·브라우저 런타임까지 이어지는 웨이브브라우저(WaveBrowser)/SWUpdater 제품군 14개 파일 전체에 동일한 시리얼 번호로 찍혀 있다. 일련번호 09 D7 7A 45 C1 C0 97 55 AE 3E 7A 51 53 98 3C 03, 지문 2EA4ADE8719DE01274C5A3BAF694B91E339BDA79. 이 인증서는 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1를 거쳐 DigiCert Trusted Root G4로 체인되는, 형식적으로는 흠잡을 데 없는 상용 서명 체계다.
#웨이브브라우저#SWUpdater#코드사이닝인증서남용#번들웨어#애드웨어#샌드박스회피#시프트설치파일#위협인텔오귀속행위자APT28 · StrontiumIOCf16 · i1 · d0 · u0MITRE9산업교육·연구
FILE공개2026년 8월 8일 23:59 (UTC+9)정품 관리 도구 20종, 4단계 침투 사슬로 재조립돼
방어 도구를 무력화하는 유틸리티, 커널 접근을 허용하는 서명된 드라이버, 보안 프로세스를 종료하는 관리 도구, 그리고 자격증명을 복구하는 프리웨어 — 이번에 CTX Team이 추적한 파일 묶음은 이 네 가지가 각각 별개의 PUA(잠재적 유해 프로그램)로 흩어져 있던 것이 아니라, 하나의 순차적 공격 사슬 위에 다시 배열됐다는 정황을 보여준다. 새로 편입된 지표 가운데 눈에 띄는 것은 LOLDrivers 프로젝트에 등재된 취약 커널 드라이버 kprocesshacker.sys(x86: 0f97f6d53fff47914174bc3a..., x64: 70211a3f90376bbc61f49c22...)와, 신뢰되지 않는 루트로 인증 체인이 끝나는 디펜더 무력화 도구(5161a16217b9d8b9817ad1f6...)다.
#CTXTeam#프로세스해커#BYOVD#LOLDrivers#NirSoft#로열랜섬웨어#코멘트크루#정부기관표적행위자Royal Ransomware · Team OneIOCf35 · i0 · d0 · u0산업정부·공공
APT회원 전용2026년 8월 8일 23:04 (UTC+9)방어무력화 도구, RAT 빌더에 그대로 흡수됐다
Windows Defender를 강제로 무력화하는 상용 해킹툴 DefenderControl(1ef6c1a4dfdc39b63bfe650ca81ab89510de6c0d3d7c608ac5be80033e559326)과, 시냅틱스 터치패드 드라이버로 위장한 원격제어 드롭퍼(a27aefce9366d6374030917385b3df25ecd5b75155d4934ebc4f754cf216bae6)가 동일한 크라우드소싱 YARA 룰 DefenderControl(작성자 @bartblaze)에 동시에 걸린 정황이 확인됐다. 하나는 독립된 PUA/해킹툴로 분류되고 다른 하나는 샌드박스에서 XRed 계열 원격접근트로이목마(RAT)로 판정된 서로 다른 카테고리의 파일인데, 같은 서명이 두 파일을 관통한다는 것은 우연한 탐지 중복이라기보다 Defender 무력화 코드 자체가 RAT 드롭퍼 내부에 이식됐음을 시사하는 강한 지문이다.
#GorgonGroup#Subaat#XRed#DefenderControl#Synaptics위장드라이버#홍콩기술산업#동적DNS#방어회피행위자Gorgon Group · SubaatIOCf15 · i1 · d0 · u0MITRE29지역HK산업기술·IT
C&C회원 전용2026년 8월 8일 20:44 (UTC+9)정품 인증서 두 세대로 위장한 EarnApp發 스틸러 PBot
EarnApp라는 이름으로 유통되는 대역폭 공유 클라이언트가 있다. 유휴 인터넷 대역폭을 이스라엘 기업 Bright Data Ltd에 되팔아 소액의 보상을 받는, 프록시웨어 계열의 정상 상용 소프트웨어다. 그런데 이 브랜드를 표방한 설치파일 네 개를 뜯어보면 이야기가 갈린다. 모두 "Bright Data Ltd" 명의의 DigiCert 코드 서명 체인을 정상적으로 물고 있으면서도, VirusTotal 위협 라벨은 hacktool·adware·trojan을 오간다. 그리고 그중 두 개는 샌드박스(C2AE)가 아예 "STEALER" 카테고리에 "PBot"이라는 이름을 붙여 분류했다. 정품 서명과 스틸러 판정이 같은 파일 위에 나란히 앉아 있는 셈이다. 더 눈에 띄는 것은 이 네 파일이 두 개의 서로 다른 서명 시점으로 명확히 갈린다는 점이다.
#EarnApp#BrightData#PBot#코드서명남용#DigiCert인증서#스틸러#프록시웨어#공유호스팅IOCf69 · i22 · d98 · u9MITRE4산업상업 서비스
FILE공개2026년 8월 8일 19:48 (UTC+9)안티분석 3종·자가삭제·WMI, 한 바이너리의 정석 침투
Win32 PE32 실행파일 하나가 VirusTotal 76개 엔진 중 61개로부터 탐지되고, 동적 분석 샌드박스 2곳(Dr.Web vxCube, Lastline) 모두에서 malicious 판정을 받았다. 이 위협에는 trojan.python/fkuk라는 이름이 붙어 있고, 추적 패밀리명은 stitch로 확인된다. 눈에 띄는 것은 탐지율 자체가 아니라 이 샘플이 담고 있는 행동 지문의 조합이다 — 디버거 탐지, CPU 타이머 직접 판독, CPU 모델 문자열 조회로 이어지는 3단 안티분석 루틴이 한 실행파일 안에 나란히 박혀 있고, 재부팅 생존 설치와 자가 삭제, WMI 호출을 통한 환경 열거가 순서대로 이어진다. 이 기사는 이 한 개의 지표가 보여주는 공격 기법의 결을 따라간다 — 인프라나 행위자 귀속이 아니라, 이 바이너리가 실제로 무엇을 하도록 설계됐는지가 이번 분석의 척추다. 이 지표를 캠페인이라 부르기엔 아직 조심스럽다.
#stitch#HolyWater#안티샌드박스#지속성메커니즘#WMI#위장파일명#교육연구산업#미서명실행파일행위자HolyWater · Storm CloudIOCf1 · i0 · d0 · u0산업교육·연구
C&C회원 전용2026년 8월 8일 19:39 (UTC+9)유니온페이 위장 인증서, 中 통신사 5곳 19개 IP 엮어
중국 내 최소 5개 이상의 서로 다른 통신사 자율시스템(ASN)에 흩어진 19개의 IP가, 동일한 TLS 인증서 한 장을 내세우고 있다는 사실은 그 자체로 뉴스거리다. 해당 인증서는 발급자가 DigiCert Basic OV G2 TLS CN RSA4096 SHA256 2022 CA1이고, subject CN이 *.unionpayintl.com — 즉 중국의 국가급 카드결제 인프라인 유니온페이 인터내셔널을 지칭하는 이름을 달고 있다. 실제 유니온페이가 이런 방식으로 자사 인증서를 20개에 가까운 별개의 국내 ISP 서버에 뿌려 놓을 이유는 없다는 점에서, 이는 위장이거나 최소한 브랜드 명의를 무단으로 두른 공유 프런트엔드로 해석하는 것이 합리적이다.
#유니온페이사칭#코드사이닝인증서남용#鲁大师애드웨어#APT23#PUA#CDN도메인#중국통신사ASN#샌드박스회피행위자APT23 · KeyBoyIOCf17 · i23 · d2 · u0MITRE7
APT회원 전용2026년 8월 8일 19:30 (UTC+9)정품 인증서 두른 VPN 설치파일, 스틸러까지 겸비
Bright Data Ltd 명의로 발급된 코드 서명이 붙은 프록시 업데이트 설치파일 네 종이, DigiCert 인증서 체인을 흠 없이 유지한 채로 VirusTotal에서 8/76에서 22/75에 이르는 제각각의 탐지율을 기록하고 있다. 서명 검증 상태는 모두 '유효'로 표시되고 체인은 DigiCert Trusted Root G4까지 완결돼 있는데, 이 중 두 종은 샌드박스 엔진 C2AE가 악성으로 판정하며 정보 탈취 계열인 PBot으로 분류했다. 정품 서명이 붙은 상업용 프록시 SDK 설치파일이 정보 탈취 기능까지 겸비하고 있다는 뜻이다. 서명이 위조가 아니라는 점이 오히려 문제의 핵심이다 — 이 파일들을 실행 단계에서 막을 유일한 신뢰 장치가 이미 뚫려 있는 것이다. 이번에 확인된 것은 단일 악성코드가 아니라 세 갈래의 서로 다른 서명 주체 아래 묶인 설치파일 묶음이다.
#코드서명남용#BrightData#WireVPN#VPNMaster#PBot스틸러#프록시웨어#PUA#DigiCert인증서행위자Emotet Group · TA542IOCf15 · i36 · d51 · u10MITRE22
C&C회원 전용2026년 8월 8일 14:23 (UTC+9)9개월 버틴 서명 하나…중국 애드웨어의 신뢰 재활용
중국 애드웨어 유통 라인에서 이례적인 패턴이 포착됐다. VirusTotal 카탈로그에 오른 9개 파일 가운데 8개가 완전히 동일한 코드 서명 인증서 — 成都奇鲁科技有限公司(청두치루과기유한공사) 명의, DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인, 일련번호 0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98 — 를 그대로 물려받아 서명돼 있다. 이 인증서로 서명된 빌드의 최초 관측 시점은 2025년 10월 5일부터 2026년 6월 12일까지, 무려 9개월에 걸쳐 분포한다. 그사이 VirusTotal 탐지율은 10/77에서 29/75까지 요동쳤지만, 서명 자체는 단 한 번도 바뀌지 않았다. 통상 악성 유포자가 인증서 폐기나 평판 훼손을 우려해 서명 인프라를 주기적으로 교체하는 것과 달리, 이 운영자는 같은 신뢰 앵커를 계속 재사용하는 쪽을 택한 것으로 보인다.
#애드웨어#코드서명인증서남용#루다시위장#청두치루과기#whnuowo.cn#ChinaUnicomAS4837#FIN6#lockergoga행위자FIN6 · Skeleton SpiderIOCf9 · i2 · d4 · u3MITRE11
APT회원 전용2026년 8월 7일 06:05 (UTC+9)매크로 문서 하나가 열어준 Emotet 다운로더 체인
문서 파일 하나가 사고의 시작점이 됐다. SHA256 e5f6385e4a493c599585ccf6c17d2177515475196e58fe7bdd08e334db238808로 식별되는 이 MS Word 문서는 VirusTotal에서 43/75 엔진 탐지를 기록했고, 3개 샌드박스가 예외 없이 malicious 판정을 내렸다. C2AE 엔진은 이 파일에 Lnk_Powershell_Downloader, Office_Downloader, Emotet, SuspiciousDownloader라는 네 개의 이름을 동시에 붙였고, ReaQta-Hive와 BitDam ATP 역시 별도의 이름 없이 malicious 판정으로 합류했다. 이 정도의 sandbox 일치도는 이 데이터셋 안에서 유일하게 강한 신호이며, CTX Team이 이번 배치를 검토하면서 가장 먼저 주목한 지점도 바로 여기다. 이 문서의 메타데이터를 들여다보면 공격의 설계 의도가 비교적 선명하게 드러난다.
#Emotet#TA542#매크로문서#스피어피싱#PowerShell다운로더#미국교육연구#마스커레이딩#공유호스팅인프라행위자Emotet Group · TA542IOCf3 · i1 · d2 · u5지역US산업교육·연구
C&C회원 전용2026년 8월 6일 22:12 (UTC+9)C2 인프라 9개 IP·20개 도메인 급증, 악성파일은 5개뿐
이번 관측 주기에서 가장 눈에 띄는 변화는 페이로드가 아니라 그 페이로드를 실어 나르는 뒷단이다. 동일한 C2 서버 군집을 추적해 온 CTX Team의 관찰에 따르면, 이번 주기에 새로 편입된 지표는 IP 9개, 도메인 20개인 반면 파일은 5개에 그쳤다. 숫자만 봐도 이번 확장이 '악성코드가 바뀌었다'는 이야기가 아니라 '악성코드를 걸어두는 자리가 늘었다'는 이야기라는 것을 알 수 있다. 실제로 새로 추가된 IP들은 CTX Team이 앞서 식별해 둔 두 개의 인증서 기반 지문 — Bytedance·Zenlayer를 가로지르는 자가서명 인증서 재사용, 그리고 AS24429(Zhejiang Taobao Network Co.,Ltd) 안에서 템플릿화된 인증서 재사용 — 안으로 정확히 슬롯인되었고, 도메인 쪽에서는 Let's Encrypt 발급 89일짜리 단명 인증서를 공유하는 스테이징 코호트가 몸집을 불렸다.
#C2서버#인증서재사용#Bytedance#Zenlayer#AS24429#LetsEncrypt#WEILAI네트워크#BrightData행위자Space Pirates · WebwormIOCf14 · i21 · d47 · u6MITRE16
C&C회원 전용2026년 8월 5일 22:13 (UTC+9)정품 서명 애드웨어, 탐지율 51%에도 샌드박스는 매번 '무해'
애드웨어 계열 인디케이터 20건을 훑다 보면 이상한 패턴이 반복적으로 튀어나온다. 파일마다 정품 코드 서명 체인이 붙어 있고, VirusTotal 탐지율은 27/77에서 51/78 사이를 오르내리는데, 그 파일들을 실제로 돌려본 샌드박스는 예외 없이 "정상"이라는 결론을 낸다. C2AE는 전부 "undetected"로 분류하고, Zenbox는 confidence 97~100%로 "harmless" 판정을 내린다. 즉 정적 탐지 엔진 절반 가까이가 위험을 경고하는 동안, 동적 분석 계층은 매번 침묵한다. 이 record에는 APT27과 Salty Spider라는 이름이 행위자 필드에 붙어 있고 심각도 100, 신뢰도 80이라는 높은 점수가 매겨져 있지만, 20개 파일 도시에를 하나씩 열어 보면 그 안에서 확인되는 것은 국가 배후 침투 조직의 흔적이 아니라 중국 소재 두 회사의 이름으로 대량 서명된 애드웨어 설치 프로그램 묶음이다. 핵심은 두 개의 "서명 배치"다.
#GoodZip#万能五笔输入法#APT27#SaltySpider#애드웨어번들러#코드서명인증서#샌드박스탐지회피#중국CDN인프라행위자APT27 · TEMP.HippoIOCf30 · i14 · d1 · u1MITRE24
APT회원 전용2026년 8월 5일 22:04 (UTC+9)스틸러가 다운로더 물고 등장, C2 인프라는 그대로
이번 캠페인을 다시 들여다보게 만든 계기는 새 인프라가 아니라 새 파일 두 개였다. 이전 추적 이후 이 위협 클러스터에 새로 편입된 지표는 오직 파일 두 건뿐이고, C2로 지목된 IP·도메인·URL 쪽에는 변화가 전혀 없었다. 그런데 그 두 파일이 예사롭지 않다. 하나는 %APPDATA%\crkhost.exe로 떨어지는 stealc 계열 스틸러(SHA256: f1025f62…a79aee2, VirusTotal 55/76 탐지)이고, 다른 하나는 taskhostw.exe·WinUpdateHelper.exe로 위장한 agentb/mint 계열 다운로더(SHA256: 11e8084e…30d0d1b, 46/76 탐지)다. 둘 다 서명은 없고, 첫 관측 시점이 2026-05-01과 2026-05-02로 하루 차이밖에 나지 않는다. 두 파일을 하나의 사슬로 묶어주는 근거는 통계적 우연이 아니라 룰 매칭이다.
#WizardSpider#stealc#다운로더#C2인프라#AS214351#BYOVD#hosts조작#브랜드위장인증서행위자Wizard Spider · Grim SpiderIOCf5 · i3 · d0 · u6MITRE25지역JO산업식음료
FILE회원 전용2026년 8월 5일 11:49 (UTC+9)정품 인증 크랙 위장 MAS 번들서 base64 실행 체인 확인
윈도우·오피스 무단 활성화 도구로 위장한 스크립트 뭉치 안에서, 서로 다른 파일 형식임에도 동일한 base64 디코드·실행 패턴이 반복적으로 발화하는 정황이 확인됐다. CTX Team이 확보한 9개 인디케이터 가운데 8개는 'Microsoft Activation Scripts (MAS)'라는 이름의 불법 KMS/오피스 활성화 툴킷 압축 파일에서 풀려나온 컴포넌트로, 2026년 7월 4일부터 6일 사이라는 좁은 시간대에 한꺼번에 관측됐다. 이 중 두 파일은 파일 형식이 배치(.bat)와 PowerShell(.ps1)로 서로 다름에도 불구하고 똑같은 YARA 룰 조합을 발화시켰고, 또 다른 두 파일은 서로 독립된 AutoKMS 변종이면서도 동일한 의심스러운 .win 최상위도메인 DNS 조회를 시도했다. 정품 소프트웨어 크랙을 가장한 배포 경로 안에 반복 가능한 실행·통신 패턴이 심어져 있다는 점이 이번 세트의 핵심이다.
#TA505#rockloader#MAS크랙#AutoKMS#hacktool.kmsauto#base64실행체인#.win도메인#크랙웨어유통행위자TA505 · Hive0065IOCf10 · i1 · d0 · u0MITRE13
C&C회원 전용2026년 8월 5일 11:41 (UTC+9)만료된 서명도 유효한 서명도, VPN·프록시 위장한 신뢰 남용
VirusTotal에 누적된 서명 검증 로그를 들여다보면 흥미로운 모순이 하나 발견된다. GlobalSign EV 코드서명 인증서로 서명된 3개 파일의 signer 상세 정보에는 "This certificate or one of the certificates in the certificate chain is not time valid" — 즉 인증서 체인 중 하나가 이미 시간적으로 유효하지 않다는 경고가 명시돼 있다. 그런데도 이 파일들은 지난 4개월 동안 수백 건씩 재제출되며 VPN 설치 프로그램으로 계속 유통됐다. 같은 시기, 정상적인 잔여 프록시 서비스 업체인 Bright Data Ltd 명의의 DigiCert 인증서로 완전히 유효하게 서명된 별개의 실행파일 두 개는 샌드박스에서 'PBot'이라는 이름의 스틸러(STEALER)로 분류됐다. 코드 서명이 신뢰의 지표가 아니라 탐지 회피의 수단으로 뒤집혀 쓰이는 정황이, 하나의 캠페인 안에서 두 갈래로 동시에 관측된 셈이다.
#WEILAINETWORKTECHNOLOGY#BrightData#PBot스틸러#코드서명남용#VPN설치파일유인#회전형호스팅#SpacePirates#잔여프록시SDK행위자Space Pirates · WebwormIOCf9 · i15 · d27 · u3MITRE17
APT회원 전용2026년 8월 5일 05:34 (UTC+9)가짜 클리너 YCleaner, 3단 회피 체인 감춘 로더
'YCleaner'라는 이름의 시스템 최적화 유틸리티를 위장한 실행 파일이 실제로는 PowerShell 기반 다운로더 체인을 심는 정황이 확인됐다. 눈에 띄는 건 행위자의 이름이 아니라 이 체인이 짜여진 방식이다 — 첫 진입점부터 최종 스테이징 단계까지, 각 구간이 서로 다른 회피 기법을 하나씩 얹어가며 이어진다. 인증서 사칭으로 시작해 고엔트로피 리소스 섹션에 숨긴 페이로드 추출, 그리고 77개 백신 엔진 중 단 한 곳도 탐지하지 못한 암호화 ZIP 아카이브까지, 표면적으로는 흔한 PUP(potentially unwanted program)형 클리너처럼 보이는 로더가 실은 정교하게 설계된 회피 파이프라인을 감추고 있었다. CTX Team이 이번에 추적한 IOC 세트는 파일 6종과 도메인 1개로 규모 자체는 크지 않다. 하지만 그 안에 담긴 신호는 밀도가 높다.
#YCleaner#BlueBottle#PowerShell다운로더#인증서사칭#말레이시아#암호화ZIP#PUP위장#adobehelp.net행위자BlueBottle · Opera1erIOCf16 · i0 · d1 · u2MITRE29지역MY
FILE회원 전용2026년 8월 4일 13:47 (UTC+9)정상 DigiCert 인증서 탄 uTorrent 위장 트로이목마 등장
파일명은 utorrent_installer.exe, 서명자는 BitTorrent Inc — 그런데 VirusTotal에서는 76개 엔진 중 18개가 이를 trojan.offercore/r783575로 분류한다. CTX Team이 확인한 이 표본(해시 접두 0a4f6c69…037c23)은 위조된 인증서가 아니라 실제로 유효한 4단계 코드사이닝 체인— BitTorrent Inc → DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 → DigiCert Trusted Root G4 → DigiCert 루트—를 그대로 짊어지고 있다. 인증서 자체는 2024년 3월 21일부터 2026년 12월 16일까지 유효한 정상 발급물이며, 서명 타임스탬프는 2026년 6월 25일로 찍혀 있다.
#uTorrent위장#트로이목마#코드사이닝인증서남용#샌드박스회피#offercore#PUP애드웨어#CDN사칭#S3배포경로IOCf28 · i4 · d2 · u0MITRE48지역AD · AE · AL · AM산업화학 · 상업 서비스 · 건설
APT회원 전용2026년 8월 4일 05:33 (UTC+9)태국 의료업체 서브도메인 3개, 89일 인증서 주기로 하나로 묶여
태국 국가도메인 등록기관 THNIC를 통해 등록된 도메인 세 개가 하나의 인증서 발급 패턴으로 묶이고, 여기에 미국 AWS Route53 뒤에 숨은 파나마발 배포 노드, 그리고 2018년에 등록돼 8년 가까이 방치돼 있던 일본 도메인까지 얹혀 총 다섯 개 도메인이 정확히 같은 89일짜리 Let's Encrypt 인증서 유효기간을 공유하고 있는 정황이 확인됐다. 등록기관도 다르고, 호스팅 위치도 다르고, WHOIS 국적도 제각각인 세 개의 인프라 군집이 인증서 발급 주기라는 단 하나의 지표에서 정확히 일치한다는 점은, 이 뒤에 사람이 하나씩 인증서를 갱신하는 것이 아니라 스크립트화된 프로비저닝 파이프라인이 돌고 있음을 시사한다. CTX Team은 이 인프라 세트를 espionage 목적의 정부·의료·통신 서비스 표적 캠페인으로 분류했으며, 행위자는 Donot Team(SectorE02, APT-C-35로도 알려진 APTC35)으로 귀속됐다.
#DonotTeam#APT-C-35#SectorE02#태국#의료산업#정부기관#통신산업#인증서기반추적행위자APTC35 · Donot TeamIOCf7 · i0 · d5 · u15MITRE18산업정부·공공 · 헬스케어 · 통신
FILE회원 전용2026년 8월 3일 21:49 (UTC+9)넷블록 하나에 몰린 IP 19개, C2일까 감염 장비일까
이번에 확인된 지표 묶음의 중심은 악성 파일이 아니라 인프라다. 문제의 파일 코호트는 트로이목마 계열 웜 Allaple로 라벨링된 HTML 드로퍼 세 개뿐이지만, 함께 수집된 IP 지표 20건 가운데 19건이 단 하나의 자율시스템 번호, AS45899(VNPT Corp)로 수렴한다. 베트남 국영 통신사업자 VNPT가 운영하는 이 넷블록(14.160.0.0/11)은 whois 등록 정보상 하노이에 본사를 둔 소비자용 광대역 인터넷 할당 구역이며, 여기 속한 IP들은 예외 없이 VirusTotal 기준 0/91 또는 1/91이라는 극히 낮은 탐지율을 기록하고 있다. 공격자가 의도적으로 구축한 명령제어(C2) 서버 집합이라면 이례적일 정도로 깨끗한 수치다. 더 흥미로운 것은 이 넷블록 안에서 발견된 두 개의 TLS 인증서다. 14.160.32.213은 대만 Synology Inc.가 발급한 인증서(발급자 CN "Synology Inc.
#Allaple#VNPT#AS45899#C2인프라#웜확산#시놀로지인증서#Masquerading#탐지불일치IOCf33 · i23 · d0 · u0MITRE25지역US산업소매·유통
APT회원 전용2026년 8월 3일 21:35 (UTC+9)7년 관통한 하나의 빌더, imphash가 드러낸 재사용 파이프라인
윈도우 바이너리 15종을 놓고 교차 분석을 진행한 결과, 겉보기에는 전혀 무관한 크라임웨어 라벨들이 하나의 빌드 지문 아래 묶이는 정황이 확인됐다. 임포트 테이블 해시 f34d5f2d4577ed6d9ceec516c1f5a744를 공유하는 파일 네 개가 그 핵심이다. 2017년 12월 22일에 처음 관측된 c99340a6…(트로얀 msilheracles)부터 2023년 12월 22일의 2fcad226…(Amadey), 2024년 3월 22일의 737d0e06…(msilmamut), 2024년 11월 1일의 0de3cc45…(XWorm)까지 — VirusTotal이 매긴 위협 라벨은 제각각이지만 임포트 해시는 완전히 동일하다. 이는 단순한 우연이라기보다, 서로 다른 시기에 서로 다른 페이로드를 얹어 배포된 동일한 .NET/MSIL 빌더 스텁이 최소 7년째 재사용되고 있다는 뜻으로 읽힌다. 흥미로운 대목은 이 코호트 안에서도 다시 하위 계보가 갈린다는 점이다.
#APT28#XWorm#Amadey#XRed#임포트해시#타임스탬프조작#EV인증서남용#다이나믹DNS행위자APT28 · StrontiumIOCf35 · i7 · d2 · u6MITRE100
APT회원 전용2026년 8월 3일 13:34 (UTC+9)가짜 reCAPTCHA 뒤 세이셸 전용 백엔드, 인증서로 덜미 잡혀
reCAPTCHA 검증 절차를 그대로 베낀 피싱 도메인 verifyrecapcha.info가 VirusTotal에서 19/91의 탐지율로 식별됐다. 이 도메인은 Cloudflare 네임서버(teresa.ns.cloudflare.com, todd.ns.cloudflare.com)를 통해 프런팅되고 있어 겉보기에는 흔한 CDN 뒷단처럼 보인다. 그러나 마지막으로 관측된 A 레코드는 CDN 엣지가 아니라 158.94.208.87이라는 단일 IP를 직접 가리키고 있다. Cloudflare NS를 앞세우면서도 실제 리졸빙 경로가 특정 백엔드로 곧게 뚫려 있는 이 구조는, 방어 회피용 프런팅이 완전하지 않았다는 뜻이며 동시에 분석가 입장에서는 매우 유용한 균열이다. 더 결정적인 것은 이 도메인과 158.94.208.87이 동일한 TLS 인증서 일련번호를 공유한다는 사실이다.
#Tortilla#피싱#reCAPTCHA#TLS인증서#C2인프라#세이셸호스팅#PDR디렉티#예술엔터테인먼트행위자TortillaIOCf0 · i4 · d2 · u1MITRE10산업예술·엔터테인먼트
C&C회원 전용2026년 8월 3일 05:32 (UTC+9)89일짜리 인증서로 묶인 APT28 추정 C2 발판 인프라
새로 등록된 C2 도메인 세 곳이 서로 다른 인증기관 중간체를 거쳤음에도 인증서 유효기간이 정확히 89일로 일치한다는 사실이 이번 클러스터에서 가장 뚜렷한 신호로 확인됐다. ccu.to는 2026년 5월 3일 10:40:26부터 8월 1일 10:40:25까지, swisscutterastronaut.com은 7월 24일 11:03:54부터 10월 22일 11:03:53까지, each-task.com은 5월 31일 22:18:14부터 8월 29일 22:18:13까지 — 발급 시각까지 다른 세 인증서가 89일이라는 동일한 유효기간 값을 공유한다. 발급 기관도 각각 R13, YR2, YE1로 서로 다른 Let's Encrypt 중간 CA를 거쳤다.
#APT28#C2서버#LetsEncrypt인증서#텐센트CDN위장#도메인프런팅#싱가포르호스팅#소모성인프라#포장용기산업행위자APT28 · StrontiumIOCf0 · i5 · d7 · u0MITRE4산업포장·용기
APT회원 전용2026년 8월 2일 21:35 (UTC+9)새 악성파일 0건, 새 IP·도메인 16건…VPN 위장 캠페인의 인프라 재정비
서명된 VPN·프록시 유틸리티로 위장한 트로이목마 유통 작전을 추적하는 과정에서, 최근 관측 구간에 새로 편입된 악성 실행 파일은 단 한 건도 없었다. 대신 늘어난 것은 인프라 쪽이었다 — 새로 확인된 IP가 10개, 도메인이 6개에 달했다. 페이로드 계층이 완전히 정지 상태를 유지하는 사이 호스팅·인증서 계층만 확장되는 이런 비대칭은, 운영팀이 새 바이너리를 찍어내는 대신 이미 검증된 빌드를 그대로 두고 뒤에서 배포망만 넓히고 있다는 뜻으로 읽힌다. CTX Team이 이번 구간에서 주목한 것은 바로 이 지점이다 — 신뢰받는 코드 서명 아래 숨은 두 개의 VPN 트로이목마 계열은 그대로인데, 그걸 실어 나르는 인증서·호스팅 뼈대가 세 개 ASN, 두 개 국가를 넘나드는 형태로 재정비되고 있다는 것. 가장 눈에 띄는 흔적은 *.certfallback.com이라는 이름을 공유하는 TLS 인증서 일련번호 363a6b88ee219be351b40934다.
#VPN트로이목마#WEILAINETWORKTECHNOLOGY#INNOVATIVECONNECTING#BrightData#certfallback.com#WE1인증서#스틸러#코드사이닝남용행위자UAC-0063 · TAG-110IOCf35 · i21 · d15 · u4MITRE21산업기술·IT
FILE회원 전용2026년 8월 2일 05:49 (UTC+9)선박 서류로 위장한 AgentTesla, 다섯 겹 패커로 정적 탐지 회피
해운 서류 양식을 흉내 낸 이중 확장자 파일 한 통이 열리면, 그 안에서 튀어나오는 것은 상용 정보탈취형 악성코드 AgentTesla다. CTX Team이 확인한 이번 코호트에서 핵심 페이로드로 지목된 파일(sha256 6c384338…ca738d, 490KB)의 alt_names 목록에는 MV TBN SHIP PARTICULARS.docx.exe, SHIP PARTICULARS - MV OSTC01.xlsx.exe, MV PACIFIC ENDEAVOR V2202 PARTICULARS I.docx.exe 같은 이름이 나란히 올라와 있다. 하나같이 문서 확장자(.docx, .xlsx) 뒤에 실행 파일 확장자(.exe)를 덧붙인 전형적인 이중 확장자 위장이며, "선박 명세서"라는 소재 자체가 해운·물류 업무를 다루는 수신자를 겨냥한 사회공학적 미끼임을 짐작하게 한다. 주목할 지점은 이 페이로드가 신종 변종이 아니라는 사실이다.
#AgentTesla#이중확장자#해운물류#인포스틸러#imphash#닷넷패커#APT29귀속#CAB스프레더행위자APT29 · MinidionisIOCf9 · i0 · d2 · u0MITRE38
C&C회원 전용2026년 8월 2일 05:41 (UTC+9)바이두·알리바바 위장 인증서로 숨은 中 C2 프런팅 인프라
한 무더기의 Win32 실행파일과 그에 연계된 IP 10개를 훑어보면, 정작 눈길을 끄는 건 악성코드 탐지율이 아니라 TLS 인증서 쪽이다. CTX Team이 이번에 확인한 인프라 10개 중 어느 것도 VirusTotal에서 의미 있는 악성 판정을 받지 못했다 — 대부분 0/91, 유일하게 하나가 1/91을 기록했을 뿐이다. 그런데도 이 IP들이 내거는 TLS 인증서는 하나같이 바이두(baidu.com), 알리바바(.certfallback.com), 그리고 텐센트·바이트댄스 계열 CDN 도메인(.ffnews.cn, *.flash.cn)을 자처하고 있다. 문제는 그 인증서를 내건 주체가 실제로는 중국 통신사업자 네트워크나 싱가포르 CDN 사업자라는 점이다. 탐지 회피가 아니라 애초에 탐지될 필요가 없도록 설계된, 트래픽 위장에 가까운 그림이다.
#APT28#DarkKomet#XRed#TLS인증서위장#C2프런팅#바이두#알리바바#다이나믹DNS행위자APT28 · StrontiumIOCf13 · i10 · d0 · u0MITRE40지역TW