FILE회원 전용2026년 7월 31일 21:52 (UTC+9)폐기 인증서 단 mimikatz 드라이버, 6년째 그대로 유통
VirusTotal에 누적된 46개 파일 묶음을 들여다보면 눈에 띄는 것은 새로운 악성코드가 아니라 낡은 도구의 재활용이다. mimikatz의 커널 드라이버 mimidrv.sys와 라이브러리 mimilib.dll 네 종은 지금도 Benjamin Delpy(gentilkiwi)의 원본 코드 서명 체인을 그대로 달고 유통되고 있는데, 그 인증서는 이미 발급기관이 명시적으로 폐기(revoke)한 상태다. 32비트 빌드 02ebf848fa618eba27065db366b15ee(mimidrv.sys)는 GlobalSign CodeSigning CA-G2 체인으로 서명돼 있고, VirusTotal 서명 검증 결과는 "A certificate was explicitly revoked by its issuer"로 명확히 나온다.
#mimikatz#Neshta#NirSoft#코드서명폐기#자격증명탈취#living-off-the-land#WarzoneRAT#VirusTotal행위자Royal Ransomware · Team OneIOCf46 · i0 · d0 · u0MITRE19
APT회원 전용2026년 7월 31일 21:36 (UTC+9)정품 EV 서명 두른 중국 입력기, IcedID 페이로드 동시 발화
윈도우용 중국어 입력기 '万能五笔输入法(완능오필입력법)' 배포판으로 보이는 실행파일 네 개가 정품 EV(Extended Validation) 코드 서명 인증서를 달고 있으면서도, 그중 두 개는 CAPEv2 샌드박스의 'IcedID' YARA 룰에 동시 걸려든 정황이 CTX Team의 분석 과정에서 확인됐다. WnUtility.exe, WnTool.exe, WnCore.exe, WnMoniter.exe로 명명된 이 네 바이너리는 모두 Shanghai Oriental Webcasting Co. Ltd. 명의로, Symantec Class 3 Extended Validation Code Signing CA - G2를 거쳐 VeriSign 루트까지 이어지는 동일한 EV 인증 체인 아래 서명돼 있으며, PE 타임스탬프까지 2021-04-19로 완전히 일치한다. 서명 시각은 "12:36 PM 04/19/2021"로 넷 다 동일하다.
#APT27#IcedID#EV코드서명남용#BYOVD#취약드라이버#CDN인증서위장#중국입력기트로이목마#서명신뢰생태계행위자APT27 · TEMP.HippoIOCf9 · i9 · d0 · u0MITRE11
C&C회원 전용2026년 7월 31일 13:43 (UTC+9)다른 회사 명의, 같은 서명 뿌리 쓰는 中 소프트웨어 두 브랜드
중국계 소프트웨어 브랜드 두 곳이 각각 독립적으로 발급받은 DigiCert 코드 서명 인증서를 들고 있지만, 정작 그 인증서로 서명된 실행 파일들은 VirusTotal에서 25~47/77개 엔진에 의해 애드웨어·트로이목마로 탐지되고 있다. 하나는 '万能五笔입력기'를 자처하는 Shanghai Oriental Webcasting Co. Ltd. 명의의 파일 7종, 다른 하나는 '2345看图王' 포토뷰어를 자처하는 Shanghai 2345 Mobile Technology Co., Ltd. 명의의 파일 5종이다. 두 서명 주체는 표면상 완전히 다른 회사지만, CTX Team이 이번에 수집한 14개 파일 인디케이터를 들여다보면 두 브랜드가 같은 YARA 지문을 공유하고, 심지어 한 쌍은 완전히 동일한 빌드가 재배포된 것으로 확인된다.
#万能五笔#2345看图王#코드사이닝인증서#애드웨어#CDN인프라#ChinaTelecom#YARA지문#행위자태깅불일치행위자Group123 · Venus 121IOCf14 · i6 · d0 · u0MITRE28
APT회원 전용2026년 7월 31일 13:33 (UTC+9)13년 묵은 도메인들, 한 장의 인증서로 되살아나다
남아프리카에서 13년째 살아 있는 메일 서버 도메인 5.tipsy.co.za와, 2026년 1월에야 등록된 hbsdzwd.com, 그리고 2024년 2월 인도에서 등록된 뒤 2년 넘게 잠들어 있던 presidencycollege.in — 등록 시점이 13일에서 4,800일 가까이 벌어진 이 도메인들이 공유하는 것은 단 하나, Let's Encrypt가 발급자명 'YR1'로 발행한 유효기간 89일짜리 인증서다. 5.tipsy.co.za는 2026-05-30, hhsafe.com은 2026-06-27, presidencycollege.in은 2026-07-20, hbsdzwd.com은 2026-07-23 — 모두 두 달 남짓한 시차 안에서 동일한 89일 유효기간의 YR1 인증서를 새로 받았다.
#Cactus#PBot#스틸러#피싱#인증서재활용#도메인재활용#DGA#코드사이닝위장행위자Cactus · Cactus Ransomware GroupIOCf23 · i3 · d9 · u0산업통신
C&C회원 전용2026년 7월 31일 05:44 (UTC+9)이모텟 다운로더 뒤, 인증서 발급 이력으로 엮인 도메인 5개·IP 1개
Emotet 계열 다운로더와 결부된 이번 인디케이터 묶음에서 가장 두드러지는 신호는 파일이 아니라 인프라 쪽에서 나온다. CTX Team이 이번 클러스터를 심각도 100, 신뢰도 85로 분류해 c2-servers 카테고리 위협으로 등록한 근거도 바로 여기에 있다. 등록된 지 3년 이상 차이 나고 등록 기관도 제각각인 도메인 다섯 개와 미국 소재 IP 한 개가, 인증서 발급 기관(issuer_cn) 레이블과 유효기간, 네임서버라는 세 축 위에서 서로 물려 있는 모습이 확인된다. bachhoanhale.com, invaluablearts.com, tatilburdur.com은 모두 Let's Encrypt R3가 발급한 인증서를 물고 있고 그 유효 기간이 하나같이 89일로 동일하다.
#이모텟#TA542#C2인프라#인증서발급이력#도메인재활용#매크로다운로더#교육기관표적#스피어피싱행위자Emotet Group · TA542IOCf3 · i1 · d5 · u2지역US산업교육·연구
APT회원 전용2026년 7월 31일 05:34 (UTC+9)폐기된 2014년 인증서, 10년째 애드웨어 5종 서명 중
2014년 여름 발급된 코드 서명 인증서 한 장이, 지금까지도 설치 프로그램 한 개와 실행 파일 한 개, 헬퍼 DLL 두 개를 동시에 묶고 있다. CTX Team이 확인한 이 다섯 개 바이너리 세트는 모두 'PC Utilities Software Limited' 명의로 서명돼 있으며, 리프 인증서 일련번호 00 CF 20 ED FB 9E 9D 56 F4 29 A4 4E 79 C3 46 58 05가 설치 파일(d52e7d63123f1ab1638ae70e1d070635e794ab9fa48bbb1aa609074ec8f410ed)부터 메인 실행 파일(4b4868f2436fd1658ac4bd3f6eee3981c2f6e4e9ecd88203580aa2ce35958600), 헬퍼 DLL인 OptProMon.dll(977595563eebda730389b7addc051dbb246caea07d6889ce3404c663e7676a02)과…
#Snowglobe#babar#OptimizerPro#BProtector#코드서명남용#PUP#애드웨어#도메인재활용행위자Snowglobe · Animal FarmIOCf5 · i0 · d3 · u3MITRE44지역DE
FILE회원 전용2026년 7월 30일 13:44 (UTC+9)청두·톈진 4개 페이퍼컴퍼니, 같은 인증서 뿌리로 애드웨어 유포
지난 8월 초 수집된 15개 파일 표본 가운데 11개가 코드 서명 검증을 통과했다는 사실 자체는 특별하지 않다. 그런데 그 11개 파일이 시간순으로 늘어놓고 보면 서명자 이름이 4번 바뀐다는 점이 눈에 띈다. 成都奇鲁科技有限公司(청두 치루 테크)에서 시작해 天津中思明达科技有限公司(톈진 중스밍다 테크), 天津立方星球文化传媒有限公司(톈진 리팡싱추 미디어), 天津星聚时代科技有限公司(톈진 싱쥐스다이 테크)로 이어지는 서명 주체 4곳은 하나같이 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1이라는 동일한 루트로 체인된다. 서명자는 몇 달마다 교체되지만 인증 뿌리는 단 한 번도 바뀌지 않았다는 점이, 이번 표본군을 단순한 "애드웨어 배치"가 아니라 신뢰 자산을 계획적으로 순환시키는 유통 구조로 읽게 만드는 핵심 지점이다. 가장 오래된 서명 코호트는 2025년 2월부터 9월까지 관측된 6개 파일에 걸쳐 있다.
#ludashi#polarwind#unwantedx#코드서명인증서회전#애드웨어유통#DigiCert#ChinaTelecom#CDN공유인프라IOCf15 · i4 · d6 · u6MITRE12산업통신
APT회원 전용2026년 7월 30일 13:33 (UTC+9)청두發 DigiCert 인증서 두 장, 애드웨어 12개 브랜드 8개월 서명
청두(成都) 소재 두 개 법인 명의로 발급된 DigiCert Trusted G4 코드서명 인증서가, 서로 다른 이름의 "PC 최적화" 유틸리티 열두 종에 걸쳐 동일한 애드웨어 코드베이스를 계속 서명해 왔다. CTX Team이 확인한 파일 코호트에서는 성도기로과기유한공사(成都奇鲁科技有限公司) 명의 인증서(시리얼 0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98)가 NetSentinelTray.exe, winopt_assistant_ui.exe, index_service.exe, cclean_tray.exe, cclean.exe 등 다섯 개 바이너리를 2025년 11월부터 2026년 5월까지 연속으로 서명했고, 성도지안천하정보기술유한공사(成都知安天下信息技术有限公司) 명의의 두 번째 인증서(시리얼 01 B4 D0 C8 60 64 D2 AA E2 40 D8 47 16 6B 13 E9)가 Search.exe, BwSystemHelper.tpi,…
#Ludashi#PUA#애드웨어#DigiCert#코드서명인증서남용#청두#TLS사칭#Chinanet행위자FIN6 · Skeleton SpiderIOCf23 · i7 · d0 · u1MITRE11산업도매
C&C회원 전용2026년 7월 30일 05:42 (UTC+9)입력기 위장 애드웨어 20종, 인증서 하나로 2년 유통
DigiCert가 "Shanghai Oriental Webcasting Co. Ltd."에 발급한 코드 서명 인증서 한 장이, 중국어 입력기 프로그램 '万能五笔输入法'(만능오필입력기)을 표방한 실행 파일과 DLL 20종 전체에 동일하게 걸려 있다. 시리얼 번호 0B 03 D3 41 0E 57 67 8D F3 FC A1 3A 38 44 3E 84는 WnCloud.exe, WnWizard.exe, WnChatAI.exe, wnTSF.ime 등 이름은 저마다 다른 컴포넌트 20개에서 예외 없이 반복되고, 서명 시각 역시 05/29/2024 03:3X AM 대역에 몰려 있다. CTX Team이 확인한 바로는 이 서명 인증서가 처음 관측된 시점(2024-06-11)부터 가장 최근 제출(2026-04-27)까지 거의 2년에 걸쳐 동일한 인증 체계로 재사용되고 있다는 점이 이번 분석의 출발점이다.
#트릭봇#큐봇#애드웨어#만능오필입력기#코드서명인증서#AS4134#CDN인프라#PUA번들러IOCf39 · i9 · d0 · u0MITRE10
APT회원 전용2026년 7월 29일 14:14 (UTC+9)KMS 크랙 4종, 이름은 하나인데 빌드는 제각각
Win32 실행파일 네 개가 같은 위협 라벨 계보 위에 놓여 있다. 그런데 그 중 하나는 겉모습이 전혀 다르다. SHA256 ea853b5d5fba…는 VirusTotal 상에서 제품명 '7-Zip', internal name '7z.sfx.exe', copyright 'Igor Pavlov 1999-2018'을 그대로 내걸고 있다 — 실제 7-Zip SFX 스텁의 identity 메타데이터를 그대로 흡수한 형태다. 그러나 이 파일의 위협 라벨은 hacktool.hackkms/abapplication이고, 내부에는 kmss.dat라는 오버레이 페이로드가 들어 있다. 정상 유틸리티의 이름·저작권 표기를 그대로 차용해 관찰자와 보안 도구의 눈을 피하는 전형적인 매스커레이딩(T1036.005, Match Legitimate Resource Name or Location)이다.
#KMS크랙#hacktool#매스커레이딩#7-Zip위장#안티디버그#APT27#샌드박스판정불일치#상품화해킹툴행위자APT27 · TEMP.HippoIOCf4 · i0 · d0 · u0MITRE16산업농업 · 상업 서비스 · 교육·연구
C&C회원 전용2026년 7월 29일 13:43 (UTC+9)Bright Data 서명 도용, VPN 위장 스틸러 PBot 확인
글로벌 레지덴셜 프록시 서비스로 이름이 알려진 Bright Data Ltd의 코드 서명 인증서가, VPN·드라이버 업데이트 유틸리티를 가장한 스틸러형 악성코드에 그대로 도용된 사례가 확인됐다. 문제의 실행파일은 net_updater.exe라는 내부명으로, DigiCert Trusted G4 코드 서명 체인 아래 유효 상태의 Bright Data Ltd 서명(일련번호 05 B0 D6 42 9E 35 E8 F3 FD DC A4 21 1E C6 5F 93, 유효기간 2025-09-28~2027-11-07)을 달고 있으면서도, 설치 경로는 C:\Program Files (x86)\DriverHub\net_updater32.exe와 C:\Program Files (x86)\Bright VPN\net_updater32.exe 두 갈래로 위장돼 있다. 샌드박스는 이 바이너리를 단순한 프록시 SDK가 아니라 스틸러 계열 악성코드 PBot으로 판정했다.
#BrightData#PBot#코드서명인증서도용#스틸러#VPN위장악성코드#교통산업#C2인프라#도메인재사용IOCf49 · i4 · d10 · u0MITRE6산업운송·물류
APT회원 전용2026년 7월 29일 13:35 (UTC+9)9.8MB SFX 드로퍼에 얽힌 5개 크라임웨어, Lazarus 라벨과 불일치
VirusTotal에서 44/73 탐지율을 기록한 7zS.sfx.exe라는 이름의 9.8MB짜리 자기추출식 7-Zip 압축파일이, 서로 무관해 보이는 최소 5개 악성코드 패밀리와 동시에 YARA·IDS 룰을 발화시키는 정황이 확인됐다. 이 파일(sha256 55b5708c50c1…)은 AutoIT_Compiled, INDICATOR_EXE_Packed_VMProtect, INDICATOR_SUSPICIOUS_EXE_UACBypass_CMSTPCOM, MALWARE_Win_DLInjector03 등 무려 7개의 YARA 룰을 동시에 트리거하는데, 이 룰들은 각각 Fabookie(4040769c…), Socelars(f90a1324…), Manuscrypt/Tnega(d66c7fb8…), RedlineStealer가 심어진 AutoIT 컴파일 바이너리(226d6fc9…)에서도 개별적으로 관측된다.
#LazarusGroup#RedlineStealer#Socelars#Fabookie#SmokeLoader#크라임웨어#SFX드로퍼#파킹도메인행위자Lazarus Group · Hastati GroupIOCf20 · i1 · d10 · u10MITRE8지역BR
APT회원 전용2026년 7월 29일 05:36 (UTC+9)패커만 바꿨을 뿐인데 탐지율 55%→0%, 실체는 애드웨어
GubedZL.dll, Packet.dll, WinSAP.dll. 이번에 CTX Team이 들여다본 IOC 세트 안에서 이 세 파일명은 정확히 두 번씩 등장한다. 한쪽 계열은 VirusTotal에서 38/77~55/77 수준의 높은 탐지율을 기록했다. 그런데 같은 이름에 .ubqu 확장자만 붙은 반대편 계열은 0/60~5/72까지 탐지율이 주저앉는다. 예컨대 GubedZL.dll(d6c764af9b5ef23aa0470f5c7d6a1d44e643b3389fac74a96a6575f9ffc19ab4)은 55/76 탐지를 받았지만, 동일한 이름의 GubedZL.dll.ubqu(6696ea75bf1942af8a9980283bab8f0803e4d83edb4c38e86d1bacdc44982ca9)는 0/60에 그쳤다.
#Barium#Elex#Fireball#애드웨어#패커탐지회피#CloudFront#루마니아#위협인텔리전스오탐행위자Barium · Wicked SpiderIOCf34 · i0 · d8 · u0MITRE44지역RO
APT회원 전용2026년 7월 28일 21:35 (UTC+9)크랙 툴 AAct, 신뢰 없는 서명 속 Konni 흔적
윈도우·오피스 정품 인증을 우회하는 크랙 도구 "AAct"의 32비트·64비트 두 변종이 동일한 구조적 지문과 동일한 코드 서명 인증서를 공유한 채 유통되고 있는 정황이 확인됐다. 두 바이너리는 서명 체인이 "신뢰 제공자가 신뢰하지 않는 루트 인증서에서 종료됐다"는 판정을 받으면서도 Windows Defender를 비활성화하는 레지스트리 조합을 내부에 품고 있었고, 이례적으로 Konni 계열 악성코드에 매칭되는 YARA 룰과 패킷 캡처용 WinDivert 드라이버 탐지 룰이 동시에 발화됐다. 그런데 샌드박스 두 곳 모두 이 파일을 "무해"로 판정했다는 점이, 이 사례를 단순한 PUA(유해가능 프로그램) 탐지 이상의 흥미로운 분석 대상으로 만든다. 두 AAct 바이너리(sha256 1d93fba3…와 941e8c0a…)는 모두 "WZTeam" 명의로 서명돼 있다.
#AAct#WZTeam인증서#Konni#Gamaredon#WinDivert#KMS크랙툴#코드사이닝남용#샌드박스회피행위자Gamaredon Group · CTIGIOCf4 · i0 · d3 · u0MITRE36지역AR · BR · CI · CO산업건설 · 컨설팅 · 정부·공공
C&C회원 전용2026년 7월 28일 13:43 (UTC+9)GlobalSign 인증서 하나로 세탁된 9개 애드웨어, 신뢰 게시자 위장
중국 코드사이닝 발급 업체 沧州句号网络科技有限公司(창저우쥐하오네트워크과학기술) 명의로 발급된 GlobalSign GCC R45 인증서 체인 하나가, 서로 다른 두 개의 '유틸리티' 브랜드로 위장한 9개의 PE32 실행파일·DLL에 동일하게 물려 있다는 정황이 확인됐다. 시리얼 넘버 74 8A E7 40 52 3E E3 39 FF 9C AE 7C로 특정되는 이 인증서는 GlobalSign GCC R45 CodeSigning CA 2020 → GlobalSign Code Signing Root R45 → GlobalSign Root CA - R3로 이어지는 정상적인 신뢰 체인을 갖추고 있으며, 실제로 VirusTotal에서는 이 서명 하나로 묶인 9개 파일 전부가 signed 태그를 달고 있다. 그런데 같은 파일들의 탐지율은 32/77에서 46/77까지 걸쳐 있고, 그중 하나는 트로이목마 계열 라벨까지 붙어 있다.
#GlobalSign인증서#코드사이닝악용#애드웨어#GoodZip#HappyPicture#AS4808차이나유니콤#SaltySpider#PUA유통망행위자Salty Spider · KuKuIOCf11 · i4 · d3 · u1MITRE11
APT회원 전용2026년 7월 28일 13:34 (UTC+9)만료 경고 뜬 인증서로 가짜 VPN 두 곳 서명 계속 찍어
"WEILAI NETWORK TECHNOLOGY CO., LIMITED" 명의로 GlobalSign이 발급한 EV 코드서명 인증서가 유효성 문제가 확인된 뒤에도 계속 새로운 바이너리에 서명을 찍어내고 있다. VirusTotal이 수집한 서명 상세 정보(signers_details)에는 이 인증서 체인에 대해 "This certificate or one of the certificates in the certificate chain is not time valid"라는 경고가 명시돼 있는데도, 해당 서명은 2025년 9월 11일(wire.exe, wire.dll)과 2026년 1월 5일(upWire.exe) 사이 세 개 표본에 반복 적용됐다. 흥미로운 건 이 패턴이 단발성이 아니라는 점이다. 완전히 별개의 브랜드를 표방하는 또 다른 서명 체인 — "INNOVATIVE CONNECTING PTE.
#코드서명인증서남용#가짜VPN#프록시웨어#PBot스틸러#Cactus#ramnit#Let'sEncrypt인증서회전#BrightData행위자Cactus · Cactus Ransomware GroupIOCf48 · i16 · d36 · u8MITRE18
FILE공개2026년 7월 28일 05:47 (UTC+9)크랙 트로이목마와 서명된 '윈도우 매니저', 임프해시로 들켰다
크랙·키젠 배포망에서 45/75의 높은 탐지율로 잡히던 2024년산 트로이목마와, 2026년 7월 정식 코드 서명 인증서를 달고 나타난 'Windows Manager' 유틸리티 설치 패키지가 동일한 임프해시(imphash) f34d5f2d4577ed6d9ceec516c1f5a744를 공유하고 있다는 사실이 확인됐다. 문제는 이 서명된 패키지 안에 agenttesla/msil로 태깅된 컴포넌트가 함께 들어 있었다는 점이다. CTX Team이 확보한 파일 단위 증거를 보면, 불법 소프트웨어 배포 채널에서 사용된 빌드 툴체인이 시간이 지나 정품처럼 보이는 서명된 바이너리 제작에도 재사용됐을 가능성을 시사하는 흔적이 뚜렷하다. 이번 케이스는 인프라 측면에서는 다룰 게 거의 없다 — IP·도메인·URL 지표가 전혀 수집되지 않은, 순수하게 파일 기반의 사례다. 대신 파일 네 개가 만들어내는 서명·빌드·탐지 패턴이 그 어떤 C2 서버 목록보다 많은 이야기를 들려준다.
#크랙소프트웨어#키젠#임프해시#코드사이닝인증서#AgentTesla#TA505#Certum#윈도우매니저유틸리티행위자TA505 · Hive0065IOCf52 · i0 · d0 · u0MITRE10지역AT · AU · BE · BO산업기술·IT
C&C회원 전용2026년 7월 28일 05:37 (UTC+9)손상된 서명의 우토렌트 설치파일, DealPly 애드웨어 배포망 드러나
파일명은 분명 utorrent-331-build-29812-32-bits.exe였다. 사용자의 다운로드 폴더(%userprofile%\downloads\)에 내려앉은 이 643KB짜리 Win32 실행파일은 겉보기엔 세계에서 가장 널리 쓰이는 토렌트 클라이언트의 정식 빌드였다. 그러나 VirusTotal 코드서명 검증 결과는 명확하다. "The digital signature of the object is malformed. For technical detail, see security bulletin MS13-098." — 서명은 붙어 있지만 신뢰 체인이 깨진 상태였다는 뜻이다. 이 파일은 signed와 invalid-signature 태그를 동시에 달고 있는데, 이는 공격자가 서명 블록 자체를 위조하거나 손상시켜 "서명된 소프트웨어처럼 보이되 실제 검증은 통과하지 못하는" 상태를 의도적으로 만들었을 가능성을 시사한다.
#DealPly#InstallCore#애드웨어#uTorrent위장#브라질#PUP번들러#코드서명위장#CDN인프라IOCf8 · i2 · d3 · u2MITRE34지역BR산업지원 서비스
C&C회원 전용2026년 7월 27일 05:36 (UTC+9)청두발 애드웨어, 3개 도메인·3개 통신사 인증서로 위장
stat.xhyktech.com, api-lock.xhyktech.com, cdn-ali.xhyktech.com — 이름도, 기능도 제각각인 이 세 서브도메인은 등록 정보를 열어보면 놀랄 만큼 똑같다. 세 도메인 모두 2025-03-10 같은 날 Alibaba Cloud Computing Ltd. d/b/a HiChina(www.net.cn)를 통해 등록됐고, 지금은 2026-04-21에 발급돼 2026-11-06까지 유효한 동일한 와일드카드 TLS 인증서(시리얼 5c5af70eb8ffb8b122f171b0bb0f368e, 발급자 iTrust DV TLS CA, subject *.xhyktech.com)를 걸고 있다. 이 정도의 동시성은 세 개의 독립적인 소유자가 우연히 같은 도메인 뒤에 모인 결과로 보기 어렵다. 오히려 하나의 운영 주체가 처음부터 계획을 세워 apex 도메인 밑에 역할이 나뉜 인프라 티어를 통째로 세팅했다고 읽는 편이 자연스럽다. 역할 분담도 뚜렷하다.
#애드웨어#PUA#코드사이닝인증서#유니온페이사칭#청두#xhyktech.com#크로스ASN#Ludashi행위자FIN6 · Skeleton SpiderIOCf29 · i5 · d3 · u2MITRE38산업교육·연구 · 도매
C&C회원 전용2026년 7월 26일 21:42 (UTC+9)Bright Data 서명 훔친 가짜 VPN 업데이터, 스틸러 심었다
VirusTotal에서 22/75 엔진만이 탐지한 한 실행 파일이, 실제로는 상업용 프록시 SDK 업체 Bright Data Ltd의 유효한 코드 서명 인증서를 그대로 지니고 있다. 파일명은 net_updater.exe, 그러나 설치 경로는 C:\Program Files (x86)\Bright VPN\net_updater32.exe와 C:\Program Files (x86)\DriverHub\net_updater32.exe 두 갈래로 갈라진다 — 하나는 VPN 업데이터, 하나는 드라이버 관리 유틸리티로 위장한 동일 바이너리다. 이 파일을 샌드박스는 malicious로 판정하며 악성코드 패밀리명을 'PBot', 분류를 STEALER로 명시했다. 정상 서명과 스틸러 판정이 한 파일에 공존하는 이 구조가 이번 캠페인에서 CTX Team이 주목한 핵심 신호다. 이 사건은 특정 행위자의 이름값이나 대규모 인프라 스케일로 뉴스가 되는 캠페인이 아니다.
#BrightData#PBot#스틸러#코드사이닝인증서#매스커레이딩#C2인프라#정부부문표적#DigiCertIOCf35 · i5 · d6 · u2MITRE8산업정부·공공
APT회원 전용2026년 7월 26일 21:34 (UTC+9)15년 전 Sality 웜, 모네로 채굴기 업고 2026년에도 활동
Monero 채굴기 두 점이 서로 다른 이름의 윈도우 시스템 프로세스로 위장해 실행되고 있고, 그 옆에는 15년 전 처음 포착된 Sality 계열 감염체가 여전히 유통되고 있다. VirusTotal 기준 malxmr 바이너리(8845124578...)는 탐지율 57/75, XMRig 계열 채굴기(2b0146bc...)는 52/76을 기록했고, 이 둘을 하나의 작전으로 묶는 것은 정교한 인프라가 아니라 낡은 웜의 전파 경로를 재활용하는 값싼 운영 방식이다. 인프라 쪽에서 확인되는 유일한 교차 연결고리도 거창하지 않다 — 조지아에 위치한 IP 91.212.213.2와 도메인 skolalazare.ge가 발급 시점이 2011년으로 거슬러 올라가는 동일한 자기서명 인증서(일련번호 b1f79f2c01ffda5e)를 그대로 공유하고 있을 뿐이다. 이 조합이 흥미로운 이유는 멀웨어 계보의 단절이 아니라 연속성에 있다.
#Sality#XMRig#malxmr#모네로채굴#자기서명인증서#조지아인프라#Tofsee#SaltySpider행위자Salty Spider · KuKuIOCf26 · i2 · d2 · u11MITRE57지역US산업소매·유통
C&C회원 전용2026년 7월 26일 13:43 (UTC+9)크랙 사이트 두 곳, 89일 인증서로 하나의 배포망 드러나
게임 모드 앱을 내려받으려는 이용자와 Adobe Photoshop 크랙을 찾는 이용자는 서로 다른 웹사이트에 접속한다고 생각한다. 하지만 이번에 CTX Team이 추적한 인프라 기록을 보면, 그 두 사이트 — modedapk.net과 adobephotoshopcrack.com — 은 겉보기에 무관한 브랜딩 뒤에서 동일한 발급 주기의 Let's Encrypt 인증서를 공유하고 있다. modedapk.net의 인증서는 2026-07-12부터 10-10까지, adobephotoshopcrack.com은 2026-06-11부터 09-09까지, 그리고 modedapk.net을 서비스하는 유일한 IP인 94.154.172.39는 2026-07-07부터 10-05까지 — 세 인증서 모두 유효기간이 정확히 89일이다.
#모데드APK#어도비크랙#LummaStealer#XMRig채굴기#AsyncRAT#Let'sEncrypt인증서#크랙사이트유포#인포스틸러IOCf13 · i2 · d2 · u11MITRE32지역CN
APT회원 전용2026년 7월 26일 13:35 (UTC+9)러시아 두 ASN 넘나든 동일 인증서, 크립토재킹 로더의 발판
지난 한 주간 CTX Team이 추적한 26개 파일·5개 IP·3개 도메인으로 구성된 이 캠페인에서 가장 눈에 띄는 신호는 악성코드 자체가 아니라 그것을 실어 나르는 인프라의 재사용 패턴이다. AS29182(JSC IOT, 러시아)에 속한 두 IP — 62.109.31.142와 37.230.117.113 — 는 완전히 동일한 TLS 인증서 시리얼 7b670437a77c69583d393d4c를 공유하고 있으며, 이 인증서의 subject는 *.imageban.ru라는 와일드카드다. 이는 정상적인 러시아 이미지 호스팅 서비스를 흉내 낸 프록시 프런트가 두 대의 서버에 그대로 복제돼 있다는 뜻이고, VirusTotal의 인증서 이상 탐지 로직도 이를 wildcard_san 이상치로 별도 표시했다.
#VoidArachne#banload#PureLogs#Remcos#XMRigMiner#WinRing0#크립토재킹#인증서재사용행위자Void Arachne · Silver FoxIOCf26 · i5 · d3 · u4MITRE15지역BR
C&C회원 전용2026년 7월 26일 05:34 (UTC+9)13개월 재사용된 서명 인증서, 中 애드웨어를 '신뢰 게시자'로
VirusTotal 탐지 엔진 76개 가운데 35개가 악성으로 표시한 파일(8822a1a1d1d5…)과, 같은 서명자·같은 인증서 체인을 쓰면서도 16개 엔진만 걸어낸 파일(a3d00237fffb…)이 같은 뿌리에서 나왔다. 두 파일 모두 성도(成都) 소재 기업 명의의 DigiCert Trusted G4 코드 서명 인증서로 서명돼 있고, 시리얼 넘버까지 완전히 동일하다. CTX Team이 이번에 정리한 지표군은 하나의 서명 계정이 13개월에 걸쳐 계속 새 빌드를 서명해 배포한 흔적을 촘촘하게 남기고 있다 — 그리고 그 서명 신뢰를 발판으로 삼은 것은 스파이웨어나 랜섬웨어가 아니라, 시스템 최적화·정리 유틸리티로 위장한 중국계 애드웨어/PUA 계열이다. 업스트림 피드는 이 레코드에 APT29(코드네임 Cozy Bear 등)와 'glasses', 'radrat' 패밀리, 그리고 espionage 동기를 태그로 붙여 놓았다.
#코드서명인증서남용#애드웨어#PUA#루다시#APT29라벨오귀속#TLS인증서사칭#장쑤성백본#청두행위자APT29 · MinidionisIOCf26 · i6 · d0 · u0MITRE24산업교육·연구 · 도매
APT회원 전용2026년 7월 25일 13:38 (UTC+9)같은 서명, 다른 행동—EarnApp 설치파일 속 스틸러 정체
동일한 Bright Data Ltd/DigiCert 코드 서명 체인을 공유하는 세 개의 Win32 설치파일 가운데, 단 하나만 샌드박스에서 스틸러(STEALER)로 분류됐다. 나머지 두 개는 똑같은 서명자 체인을 달고 있음에도 악성 판정 없이 통과했다. CTX Team이 이번에 들여다본 지표 묶음의 핵심은 바로 이 지점이다 — 정상 대역폭 공유 SDK로 알려진 EarnApp/Bright Data 설치파일이 반복적으로 재포장되는 과정에서, 그중 한 빌드가 사용자 데이터 수집 행위로 넘어가는 정황이 포착됐다. 세 파일의 정체는 모두 EarnApp 브랜드를 달고 있다. net_updater32.exe라는 내부명을 가진 48173c32… 샘플은 VirusTotal에서 11/75 탐지를 기록했고, C2AE 샌드박스는 이를 신뢰도 50%의 STEALER, 패밀리명 PBot으로 분류했다.
#EarnApp#BrightData#PBot#코드사이닝#스틸러#DGA서브도메인#APT28#애드웨어PUP행위자APT28 · StrontiumIOCf10 · i10 · d38 · u8MITRE7산업상업 서비스
FILE회원 전용2026년 7월 25일 05:49 (UTC+9)인텔 드라이버로 위장한 셸코드 로더, APT28 증거는 단 하나뿐
이번에 CTX Team이 들여다본 위협 묶음은 파일 해시 24건과 IP 주소 1건으로 구성된, 표면적으로는 제법 규모 있는 캠페인처럼 보이는 데이터셋이었다. 그러나 실제로 VirusTotal 탐지 정보와 샌드박스 행위 기록이 채워진 대상은 단 하나, 'Inteldriver.exe'라는 이름의 서명되지 않은 Win32 바이너리(sha256 12e522…6fa521)뿐이었다. 나머지 23개 해시는 인디케이터 목록에 이름만 올라 있을 뿐 탐지 비율, 서명자, 태그 어느 것도 확인되지 않는다. 즉 이 기사가 다룰 수 있는 실체는 사실상 이 한 개의 파일이 보여주는 정교한 회피 공학이며, 그 이상을 "캠페인"이라 부르기에는 아직 근거가 얇다. 이 단일 아티팩트가 흥미로운 이유는 규모가 아니라 완성도에 있다.
#APT28#Inteldriver.exe#DonutLoader#셸코드로더#샌드박스회피#통신산업표적#러시아IP#귀속신뢰도행위자APT28 · StrontiumIOCf24 · i1 · d0 · u1MITRE13지역CA · ES산업통신
APT회원 전용2026년 7월 25일 05:36 (UTC+9)네 번째 서명자 등장, DigiCert 체인서 인증서 회전 반복
지난 며칠 사이 성도(成都)와 천진(天津), 무한(武汉)에 흩어진 것으로 등록된 서로 다른 중국 법인 명의의 코드 서명 인증서 네 개가 동일한 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 중간 인증서 아래로 다시 한 번 모습을 드러냈다. 이미 CTX Team이 추적해온 Ludashi/PolarWind 계열 애드웨어 서명 체계에, 이번 주기에는 天津星聚时代科技有限公司와 武汉诺沃网络科技有限公司라는 두 개의 새 명의가 추가됐고, 이 두 신규 서명자 아래에서 나온 파일에서만 이전 코호트에는 없던 고엔트로피 .rsrc 패킹이 처음으로 관측됐다. 동시에 인프라 쪽에서는 apil.whnuowo.cn이라는 새 서브도메인이, 이미 세 개의 자매 서브도메인을 커버하던 기존 와일드카드 인증서 시리얼 안으로 그대로 편입됐다. 새 인프라를 세우는 대신 이미 있는 틀 안에 이름 하나를 밀어 넣은 셈이다.
#Ludashi#PolarWind#PubNubRAT#인증서파밍#코드사이닝남용#애드웨어#중국#PUA번들러행위자TA428 · ThunderCatsIOCf18 · i1 · d6 · u9산업통신
FILE회원 전용2026년 7월 24일 21:34 (UTC+9)89일 인증서 도메인, APT29 라벨은 근거 없이 붙었다
등록기관 정보 한 줄, 인증서 한 장, 그리고 벤더 4곳의 카테고리 태그 — 이번에 CTX Team이 들여다본 위협 레코드는 딱 이만큼의 뼈대만으로 구성돼 있다. 도메인 holzbrenzii.com은 2025년 6월 23일 PDR Ltd. d/b/a PublicDomainRegistry.com을 통해 등록됐고, hosterbox.com 네임서버(ns39~ns42) 아래 단일 A-레코드(198.27.80.139)로 해석된다. 이 도메인에는 89일짜리 Let's Encrypt 와일드카드 인증서(*.holzbrenzii.com, 발급자 CN "YR1", 유효기간 2026-05-31~2026-08-29)가 얹혀 있고, VirusTotal 기준 16/91개 벤더가 이를 악성으로 분류한다.
#APT29#Remcos#도메인등록#Let'sEncrypt인증서#피싱#위협인텔리전스#WHOIS#커머디티RAT행위자APT29 · MinidionisIOCf1 · i0 · d1 · u0MITRE28지역AU · BA · BG · EC산업협회·단체 · 상업 서비스 · 엔지니어링
FILE회원 전용2026년 7월 24일 13:47 (UTC+9)17년 묵은 서명 커널 드라이버, 백신 절반은 아직도 못 잡아
2009년 2월 16일 VirusTotal에 처음 제출된 파일 하나가, 17년이 지난 2026년 7월 22일에도 여전히 제출되고 있다. 이름은 WinRing0.sys. 오픈소스 하드웨어 센서 접근 라이브러리인 OpenLibSys.org 프로젝트의 커널 드라이버로, 2008년 7월 26일 Noriyuki MIYAZAKI 명의로 정상 서명까지 받은 파일이다. 그런데 이 파일이 지금까지도 LOLDrivers 프로젝트가 지목한 "취약 드라이버(vulnerable driver)" 목록에 올라 있고, YARA 룰이 자동으로 BYOVD(Bring Your Own Vulnerable Driver) 후보로 짚어내고 있으며, VirusTotal 기준 탐지율은 2/75에 불과하다. 이번에 CTX Team이 들여다본 지표군은 이 파일 한 건과, 스위스 통신사 Bluewin(AS3303) 대역에 자리한 IP 4개로 구성돼 있다 — 그리고 이 둘의 성격은 극단적으로 다르다.
#WinRing0.sys#BYOVD#LOLDrivers#커널드라이버#Turla#AkamaiCDN#코드서명인증서#권한상승행위자Turla · Iron HunterIOCf2 · i4 · d0 · u0MITRE7산업교육·연구
C&C회원 전용2026년 7월 24일 13:39 (UTC+9)배치파일로 위장한 464KB 로더, 60/75 탐지되나 단 1회 제출
VirusTotal 기준 75개 엔진 중 60개가 악성으로 판정한 파일 하나가 있다. 흥미로운 것은 이 파일이 단 한 차례, 단일 소스에서만 제출됐다는 점이다 — 널리 퍼진 커먼 멀웨어가 아니라 특정 표적을 겨냥해 짧게 쓰이고 사라졌을 가능성이 있는 샘플이라는 뜻이다. 파일명은 docs.log.bat. 배치 스크립트처럼 보이도록 이름을 붙였지만 실제로는 "PE32 executable for MS Windows (GUI)" 포맷의 정통 Win32 실행파일(SHA256: 07c0fe3c3fffdbfba4fa416d8abbad4895a726342c9b78499a2b6a2e982c625c)이다. 이번 c2-servers 카테고리 레코드에서 CTX Team이 확보한 33개 IOC 가운데 실질적인 기술적 실체를 갖춘 것은 사실상 이 파일 하나뿐이며, 나머지 57개 도메인과 12개 IP는 대부분 흩어진 유럽계 호스팅 인프라의 흔적으로 남아있다.
#패킹로더#C2인프라#유럽호스팅#Win32실행파일#임포트스트리핑#지속성메커니즘#핀란드연구망#인증서분석IOCf11 · i12 · d57 · u3MITRE31지역US산업소매·유통
APT회원 전용2026년 7월 24일 13:32 (UTC+9)라자루스 라벨 붙은 7년 묵은 파일, 알고보니 중국산 애드웨어
sha256 ece2d6ff…f2323f — VirusTotal 탐지율 52/76을 기록한 이 Win32 실행파일은 첫 관측 시점이 2018년 4월 6일, 최근 관측이 2025년 11월 19일로, 7년 넘게 산발적으로 재제출되고 있는 파일이다. VirusTotal은 이 파일을 trojan.adload/genericrxcf로 라벨링했고, popular_names에는 adload, genericrxcf, addtv 같은 애드웨어·PUA 계열의 이름이 붙어 있다. 그런데 이 레코드에 상위 피드가 붙여놓은 태그는 다름 아닌 Lazarus Group, family는 torpig, motivation은 espionage였다.
#LazarusGroup#torpig#애드웨어#TheWorld브라우저#Qihoo360#CDN인프라#오탐라벨#PUA행위자Lazarus Group · Hastati GroupIOCf49 · i15 · d0 · u0지역CN · MY
C&C회원 전용2026년 7월 24일 05:40 (UTC+9)10년 묵은 무료 DDNS 풀, 지금도 C2로 살아있다
2015년 10월 24일과 2017년 2월 2일, 서로 다른 두 시점에 등록된 도메인 세트가 2026년 현재까지 동일한 C2 인프라 풀로 기능하고 있는 정황이 확인됐다. 이번에 확보된 지표 11개 도메인 전량이 단 하나의 레지스트라 — Dynu Systems Incorporated — 에 등록돼 있고, 네임서버 역시 예외 없이 Dynu가 운영하는 ns0.dynu.com~ns6.dynu.com 블록을 가리킨다. 흥미로운 점은 이 풀이 정적으로 방치된 유산 인프라가 아니라는 것이다. 2026년 4월 7일 새로 등록된 mytunnel.org가 이 풀에 합류하면서, 10년 묵은 서브도메인들과 갓 태어난 도메인이 같은 레지스트라·같은 네임서버 아래 나란히 활동 중인 구조가 드러났다. 이 풀에서 눈에 띄는 것은 도메인 개별 지표의 탐지력이 아니다.
#Dynu#DDNS#AgentTesla#ConfuserEx#C2인프라#웹소켓위장#레츠인크립트#도메인풀IOCf5 · i1 · d11 · u2MITRE51지역BD · FR · GR · HK산업미디어 · 통신
APT회원 전용2026년 7월 24일 05:31 (UTC+9)Zalo 인증서 하나로 묶인 정상 설치파일과 HijackLoader
베트남 국민 메신저 Zalo의 정식 코드 서명 인증서를 가진 파일이 두 개 있다. 하나는 133MB짜리 정상 설치 프로그램이고, 다른 하나는 772KB짜리 소형 실행파일이다. 그런데 이 둘은 완전히 동일한 인증서 일련번호 03 3B 74 44 B0 D9 C6 40 37 83 62 0B CC 5F 4C AF(발급자 VNG GROUP JSC, DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1, 유효기간 2026-03-04~2026-12-09)를 공유한다. 문제는 후자가 CAPE Sandbox에서 HijackLoader로 명명되고, 크라우드소스 YARA 룰 HijackLoaderStub가 두 차례 발화했다는 점이다. VirusTotal 탐지율은 겨우 3/75. 정상 서명 뒤에 로더가 숨어 있는, 신뢰를 가로챈 위장이 이번 캠페인의 핵심 그림이다. 두 파일 모두 2026-07-20에 처음 관측됐다는 사실도 눈에 띈다.
#HijackLoader#Zalo#코드서명인증서남용#VNGGROUP#zdn.vn#TA551#애드웨어#베트남행위자TA551 · ShathakIOCf6 · i2 · d2 · u9MITRE13
FILE회원 전용2026년 7월 23일 21:51 (UTC+9)만료 인증서인데도 살아있는 신뢰 체인, 네 얼굴의 번들러
Resource Hacker 5.2.8, XMEye VMS 2.0.1.18, KeyTweak 2.3.1, glogg 1.1.4 — 서로 아무 관련이 없는 네 개의 정상 유틸리티 설치파일 이름을 뒤집어쓴 동일한 바이너리 한 개가 CTX Team의 관측 대상에 걸렸다. 해시 4bc69acd…788bb3c60a로 식별되는 이 파일은 resource-hacker-5.2.8-installer_s-xLCW1.exe, xmeye-vms-2.0.1.18-installer_oSJXm-1.exe, keytweak-2.3.1-installer_0-uzqM1.exe, glogg-1.1.4-installer_Xw-tXh1.exe라는 네 가지 파일명으로 동시에 유포되며, 위협 라벨은 adware.bundler/cppinstaller로 분류돼 있다.
#코드서명악용#PUA번들러#InstallCore#샌드박스회피#크립토스캠#Hostinger#APT라벨오염#Patchwork행위자Patchwork · ChinastratsIOCf3 · i3 · d3 · u3MITRE8산업에너지
C&C회원 전용2026년 7월 23일 21:42 (UTC+9)정상 EV 인증서로 위장한 애드웨어, 저장성 CDN 뒤에 은신
중국 신설 법인 명의로 발급된 EV(Extended Validation) 코드 서명 인증서 두 건이, 각각 30건 이상의 백신 엔진에서 트로이목마·PUA로 탐지되는 설치파일에 그대로 걸려 있는 사례가 확인됐다. 브라우저 설치 프로그램으로 가장한 JiSuSetup.exe(SHA256 359a0b45…18, VirusTotal 탐지 37/75)와 AI 브라우저를 사칭한 GptChrome(SHA256 8c6d24d1…4c, 탐지 31/75)은 각각 Sectigo와 GlobalSign의 정규 EV 체인을 통해 완전한 유효 서명을 갖추고 있다. CTX Team이 이번 명령제어(C2) 레코드를 들여다본 결과, 이 두 설치파일과 연결된 7개 IP·2개 도메인은 항저우(Hangzhou)·원저우(Wenzhou)·진화(Jinhua) 세 지역의 Chinanet IDC 블록에 걸쳐 있으면서도, 상용 CDN 인증서를 공유하는 방식으로 공격 인프라의 존재감을 지우고 있다는 정황이 드러났다.
#EV코드서명#애드웨어#CDN위장#항저우#APT28#APT15#trojan.zusy#C2인프라행위자APT28 · StrontiumIOCf2 · i7 · d2 · u1MITRE13
APT회원 전용2026년 7월 23일 21:33 (UTC+9)매크로 문서 하나, 8개 샌드박스가 만장일치로 악성 판정
VirusTtotal에 올라온 한 Word 문서(sha256 04c40043a6f85ced583227c163faec46ab1ea268357293dea65e35744895955c)를 두고 8개 샌드박스가 예외 없이 malicious 판정을 내렸다. 이 정도로 일치된 샌드박스 컨센서스는 흔치 않다 — 보통은 벤더별로 판정이 갈리기 마련인데, BitDam ATP·VMRay·Dr.Web vxCube·Yomi Hunter·C2AE·Lastline·DOCGuard·Zenbox 8곳 모두가 malicious로 수렴했고, 그 중 C2AE는 malware_names로 MalwareDownloader, DropLink, Powershell_Downloader, Lnk_Powershell_Downloader, Office_Downloader를 나란히 붙였다. Zenbox는 여기에 EVADER 분류까지 얹었다.
#Emotet#TA542#매크로다운로더#샌드박스우회#트로이목마#워드프레스위장경로#방어회피#스피어피싱행위자Emotet Group · TA542IOCf3 · i1 · d2 · u5지역US산업교육·연구
FILE회원 전용2026년 7월 23일 13:47 (UTC+9)화웨이 위장 인증서 코호트에 다섯 번째 IP 합류, CDN 위장 3종으로 확산
중국 광둥성 통신사업자 CHINANET Guangdong 네트워크, AS134763 안에 자리한 IP 다섯 곳이 동일한 TLS 인증서 일련번호 5ace246430093aa3ef595686를 공유하며 화웨이 앱갤러리(AppGallery)·HiCloud CDN을 위장하고 있는 정황이 이번 관측에서 다시 확인됐다. 기존에 119.147.128.38, 218.16.127.48, .49, .53 네 개 주소로 구성돼 있던 이 코호트에 119.147.128.39가 새로 편입되면서 멤버가 다섯으로 늘었다. 다섯 IP 모두 GlobalSign RSA OV SSL CA 2018이 발급한 동일 인증서(유효기간 2025-07-15~2026-08-16, subject_cn .n.cdnhwc3.com)를 그대로 서비스하고 있으며, 이 인증서의 SAN 목록에는 appgallery.huawei.com, .hicloud.com, *.dbankcloud.cn 등 화웨이 생태계 도메인이 빠짐없이 나열돼 있다.
#AS134763#开心看图王#HappyPicture#화웨이앱갤러리위장#CDN인증서도용#adware/PUA#SaltySpider#코드서명악용행위자Salty Spider · KuKuIOCf10 · i8 · d0 · u0MITRE6
C&C회원 전용2026년 7월 23일 13:34 (UTC+9)12개 도메인 잇는 인증서 재활용의 흔적
표면적으로는 서로 무관해 보이는 12개 도메인이 놓여 있다. 2016년에 등록된 낡은 자산부터 2026년에 갓 생성된 도박성 도메인까지 나이도 제각각이고, 등록 기관도 NameSilo, Amazon Registrar, NAMECHEAP, Spaceship, Dreamscape Networks로 겹치는 곳이 없다. 그런데 이 도메인들의 TLS 인증서 발급 기록을 나란히 놓고 보면, 서로 다른 세 갈래의 발급 코호트가 뚜렷하게 드러난다. 이번 캠페인의 진짜 지문은 특정 악성코드 패밀리가 아니라 이 인증서 회전 패턴에 있다. CTX Team이 확인한 바로는, 서로 무관한 도메인들이 동일한 인증 기관(CA) 짧은 이름을 공유하며 짧은 시차로 발급받는 패턴이 세 개의 코호트에서 반복적으로 나타났고, 그중 두 도메인은 등록 시점이 1년 넘게 벌어져 있는데도 완전히 동일한 IP로 수렴한다. 페이로드 쪽 증거는 얇지만, 인프라 프로비저닝 쪽 증거는 오히려 이례적으로 촘촘하다.
#APT15#인증서재활용#C2인프라#법률서비스표적#도박사이트미끼#DGA도메인#LetsEncrypt#방탄호스팅행위자APT15 · ROYALAPTIOCf1 · i4 · d12 · u0MITRE6산업법률
C&C회원 전용2026년 7월 23일 05:46 (UTC+9)서명 6개 돌려쓴 中 애드웨어, FIN6 라벨은 오류였다
지난 7월 21일 CTX Team이 수집한 'c2-servers' 분류 레코드는 처음엔 평범해 보였다. FIN6(Skeleton Spider)로 귀속되고 lockergoga·lummastealer 패밀리가 붙은, 심각도 100짜리 위협 클러스터였다. 그러나 19개 파일 도시에를 하나씩 열어본 CTX Team의 분석 결과는 전혀 다른 그림을 보여줬다. 랜섬웨어 코드도, 스틸러 흔적도 없었다. 대신 나타난 건 成都奇鲁科技有限公司, 天津微极智科技有限公司, 天津简诚科技有限公司, 成都赤侠信息科技有限公司, 深圳市禹仁科技有限公司, 北京创想界科技有限公司라는 최소 여섯 개의 서로 다른 중국계 법인 명의로 발급된 코드 서명 인증서가, 사실상 동일한 중국산 PC 최적화·애드웨어 번들러(鲁大师, Ludashi/ChinaAD 계열)를 12개월에 걸쳐 번갈아 서명하고 있는 정황이었다. 이 레코드가 흥미로운 이유는 행위자 라벨의 오류 자체가 아니라, 그 오류 뒤에서 실제로 관측되는 운영 패턴이다.
#FIN6#lockergoga#lummastealer#Ludashi#ChinaAD#코드사인인증서#애드웨어#ChinaUnicom행위자FIN6 · Skeleton SpiderIOCf36 · i13 · d2 · u0MITRE19
APT회원 전용2026년 7월 23일 05:36 (UTC+9)태국 의료업체 위장한 서브도메인 농장, 첩보 인프라로 드러나
지난주 관측된 이번 위협군의 인프라를 뜯어보면, 가장 먼저 눈에 걸리는 것은 악성코드 샘플이 아니라 도메인 명명 방식이다. meddup, files, donorcheck, labonline, api-notify — 다섯 개의 서브도메인이 모두 bmscloud.in.th라는 하나의 THNIC 등록 도메인 아래 걸려 있고, 이 도메인의 등록 정보에는 실제 태국 의료 소프트웨어 업체인 'BANGKOK MEDICAL SOFTWARE Co., Ltd.(บริษัท บางกอก เมดิคอล ซอฟต์แวร์ จำกัด)'가 등록인으로 명시돼 있다. 이름만 보면 헌혈 확인(donorcheck), 검사실 온라인 서비스(labonline), API 알림(api-notify)처럼 병원·검진기관이 실제로 쓸 법한 운영 서비스명이다. 문제는 이 다섯 개 호스트명이 전부 동일한 IP, 171.103.78.30 하나로 귀결된다는 점이다.
#Snowglobe#AnimalFarm#bmscloud.in.th#태국#의료산업#첩보캠페인#Let'sEncrypt#C2인프라행위자Snowglobe · Animal FarmIOCf7 · i4 · d11 · u1MITRE15산업정부·공공 · 헬스케어 · 통신
FILE회원 전용2026년 7월 21일 13:40 (UTC+9)정상 서명된 EarnApp 설치파일 속 PBot 스틸러 발견
번들형 대역폭 공유 프로그램 EarnApp의 정식 설치 파일과 업데이트 컴포넌트가 실제로는 세 개의 서로 다른 빌드 경로에서 나온 파일임이 확인됐다. 세 샘플 모두 Bright Data Ltd 명의로 서명돼 있고 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 체인을 그대로 물고 있어, 사용자가 눈으로 보기엔 정품 EarnApp 클라이언트와 구분할 방법이 거의 없다. 그런데 이 세 파일 중 정확히 하나 — net_updater.exe라는 이름으로 EarnApp 설치 경로(Program Files (x86)\EarnApp\net_updater32.exe) 아래에 놓인 컴포넌트 — 만이 샌드박스 C2AE에서 STEALER 계열, 구체적으로 PBot이라는 이름으로 악성 판정을 받았다. 나머지 두 개는 같은 브랜드, 같은 서명자를 달고도 샌드박스에서 harmless/undetected로 읽힌다.
#EarnApp#PBot#코드사이닝#공급망공격#스틸러#APT28#PUP#도메인인프라행위자APT28 · StrontiumIOCf92 · i9 · d44 · u6MITRE4산업상업 서비스
C&C회원 전용2026년 7월 21일 05:47 (UTC+9)도메인 18개 신설·19개 소멸에도 서명 파이프라인은 그대로
CTX Team이 추적 중인 프록시웨어·스틸러 혼합 캠페인의 이번 관측 구간에서 눈에 띄는 것은 파일이 아니라 네트워크 계층이다. 직전 보도 시점 이후 도메인 18개와 IP 8개가 새로 편입됐고, 반대로 도메인 19개와 IP 21개가 관측 목록에서 빠졌다. 순수하게 숫자만 보면 인프라의 절반 가까이가 통째로 교체된 셈인데, 실제로 들여다보면 이번 캠페인은 완전히 새로운 국면으로 넘어간 것이 아니라 이전 활동의 연속선 위에서 호스팅 계층만 빠르게 회전시키는 패턴을 보여준다. 반면 이 인프라 위에서 유통되는 서명된 실행 파일 군집 — Bright Data Ltd 서명의 net_updater.exe 계열과 WEILAI NETWORK TECHNOLOGY 서명의 wire/jumper 계열 — 은 이번 구간에서 아무런 변화 없이 그대로 재확인됐다. 즉 이번 스냅샷이 말해주는 것은 "운영자가 도구를 바꿨다"가 아니라 "운영자가 도구는 그대로 두고 착지 지점만 계속 바꾸고 있다"는 사실이다.
#프록시웨어#스틸러#BrightData#WEILAINETWORKTECHNOLOGY#코드사이닝악용#PBot#Cactus#DGA행위자Cactus · Cactus Ransomware GroupIOCf114 · i22 · d52 · u13MITRE19
APT회원 전용2026년 7월 21일 05:34 (UTC+9)5년 시차 넘은 자기서명 인증서, 같은 C2 흔적
동일한 IP(184.105.192.2)에, 등록 시점이 5년이나 벌어진 세 개의 도메인이 나란히 걸려 있다. diamonddollsfitness.com과 lf7blogpro.com은 2020년 11월 24일에, mastering-the-art-of.com은 그보다 5년 앞선 2015년 9월 2일에 각각 등록됐지만, 세 도메인 모두 동일한 자기서명 TLS 인증서(시리얼 cfddb89f9d1426ad, 발급·구독자 CN 모두 "localhost.localdomain", 유효기간 2015-10-15~2016-10-14)를 그대로 물려받았다. 인증서 유효기간은 2016년에 이미 끝났는데, 그 죽은 인증서가 5년 뒤 등록된 도메인에까지 재사용됐다는 사실 자체가 이 캠페인의 성격을 말해준다.
#FIN7#자기서명인증서#C2인프라#피싱첨부파일#비콘경로#Cloudflare#이중확장자실행파일#싱크홀행위자FIN7 · Gold NiagaraIOCf2 · i0 · d4 · u8MITRE21
FILE회원 전용2026년 7월 20일 21:46 (UTC+9)conhost 위장한 vjw0rm, LNK로 시작해 5년 뒤 재등장
바로가기(.lnk) 파일 한 장이 배치 스크립트를 부르고, 그 배치 스크립트가 AutoIT로 컴파일된 실행 파일을 떨어뜨리는 3단 드롭 체인이 태국 제조업 표적 환경에서 재구성됐다. CTX Team이 확인한 9건의 파일 지표는 각기 다른 시점에 제출됐지만, 하나로 이어 붙이면 vjw0rm 계열 웜의 전형적인 감염 경로를 그대로 복원해 낸다. 특히 최종 페이로드는 자신을 정상 Windows 프로세스인 conhost.exe로 위장시키는데, 실제 드롭된 파일명은 conhostHost.exe이고 리소스 경로는 .rsrc/RCDATA/CONHOSTHOST.MP4로 기록돼 있다. 미디어 파일처럼 보이는 리소스 이름 뒤에 실행 파일을 숨기고, 프로세스명은 정상 시스템 유틸리티와 거의 구분되지 않게 만든 것이다. 이 클러스터의 배후로는 TA2541(별칭 Operation Layover)이 지목돼 있다.
#TA2541#vjw0rm#AutoIT#conhost.exe위장#다이나믹DNS#태국제조업#LNK드로퍼#웜행위자TA2541 · Operation LayoverIOCf9 · i0 · d0 · u2지역TH산업제조
C&C회원 전용2026년 7월 20일 21:36 (UTC+9)유령 회사 3곳, 인증서 하나로 돌린 中 애드웨어 서명
중국어 애드웨어 툴셋 20여 종을 묶어놓은 이번 C2 서버 레코드에서 가장 눈에 띄는 것은 정교한 침투 기법이 아니라 인증서 운영 방식이다. 카탈로그에 담긴 파일들은 3개월에서 1년 넘는 기간에 걸쳐 서로 다른 3개의 중국 법인명으로 서명됐지만, 그 서명은 모두 동일한 하나의 신뢰 체인 — "DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1" — 으로 귀결된다. 청두싱한윈커과기유한공사(成都星汉云科科技有限公司)가 시리얼 01 CD 71 67 23 EE 3C 14 C3 36 FE FA 6F 5A B8 CB로 2025-04-28 발급받은 인증서는 ConfigCenter.dll(721e1f22…)을 비롯한 10개 파일에 걸쳐 사용됐고, 베이징창시앙제과기유한공사(北京创想界科技有限公司)는 2024-09-19~2027-09-19 유효기간의 시리얼 06 FE 57 2B A6 2E 8E C3 18 03 0F DC 9B AC A2 81로 별도의…
#Patchwork#IceDID#ludashi#polarwind#pcaccelerate#코드사이닝#애드웨어#ChinaUnicom행위자Patchwork · ChinastratsIOCf34 · i6 · d5 · u27MITRE17
FILE공개2026년 7월 20일 05:35 (UTC+9)만료된 UltraSurf 서명, 2년 지나도 유통되는 트로이목마
검열 우회 도구로 알려진 UltraSurf(Ultrareach)를 자처하는 실행 파일 한 건이 VirusTotal에서 19/74의 탐지율을 기록하며 CTX Team의 추적선에 들어왔다. 눈에 띄는 것은 이 파일이 여전히 정상적인 코드 서명 체인을 달고 있다는 점이다 — 다만 그 서명이 2년 전에 죽은 서명이라는 점이 문제다. 해당 파일(SHA256 168e625c…)은 Ultrareach Internet Corp. 명의로 발급된 리프 인증서를 달고 있고, 상위 체인은 GlobalSign GCC R45 CodeSigning CA 2020 → GlobalSign Code Signing Root R45 → GlobalSign Root CA - R3로 이어진다. 그런데 리프 인증서의 체인 상태는 "이 인증서 또는 체인의 인증서 중 하나가 유효 기간이 아니다"로 명시돼 있다.
#UltraSurf#Ultrareach#Glupteba2#Hive#MuddyWater#SilentChollima#Dalbit#HurricaneElectricAS6939행위자MuddyWater · TEMP.ZagrosIOCf1 · i4 · d0 · u0산업도매
C&C회원 전용2026년 7월 19일 21:40 (UTC+9)청두發 인증서 두 개, 애드웨어 뒤에 숨은 RAT 한 마리
26개 파일로 구성된 한 유통 클러스터가 흥미로운 이유는 악성코드 자체의 정교함이 아니라, 신뢰 지표를 다루는 방식에 있다. 이 클러스터는 두 개의 서로 다른 청두(成都) 소재 법인 명의로 발급된 코드 서명 인증서를 번갈아 사용하며 DllFix, WinClean, ZXStoreX, PicSnapX라는 브랜드의 "시스템 최적화" 유틸리티로 위장해 유포된다. 두 인증서는 서로 무관해 보이지만 모두 동일한 DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1 루트로 수렴하며, 이는 한 운영팀이 서명 아이덴티티를 로테이션하며 단일 인증서 폐기로 전체 툴셋이 무력화되는 상황을 피하려 한 정황으로 읽힌다.
#애드웨어#코드사이닝인증서#PubNubRAT#루다시#폴라윈드#CDN사칭#ChinaUnicom#청두행위자Patchwork · ChinastratsIOCf26 · i16 · d15 · u16
FILE회원 전용2026년 7월 19일 13:46 (UTC+9)'배송 안내' 미끼 뒤에 숨은 TA505식 저비용 침입 체인
RAR 압축파일 하나와 자바스크립트 파일 하나 — 겉보기엔 평범한 첨부파일 조합이지만, 이 둘은 VirusTotal 위협 라벨에서 동일하게 trojan.drop/crit로 분류되고 popular_names에 drop, crit, etecer를 공유하며, 무엇보다 둘 다 "shipping advice"라는 동일한 미끼 이름을 달고 있다. CTX Team이 이번에 추적한 캠페인의 출발점은 이 두 파일이 만들어내는 하나의 전달·실행 유닛이다. RAR 아카이브(sha256 a8918d28…)는 alt_name 목록에 shipping advice.rar를 명시하고 있고, 파일 태그에도 attachment가 붙어 있다 — 이메일 첨부파일로 뿌려지는 전형적인 스피어피싱 문서 미끼(T1566.001)의 형태다.
#TA505#RockLoader#스피어피싱#배송미끼#Namecheap#공유호스팅#JScript드로퍼#IP정찰행위자TA505 · Hive0065IOCf3 · i1 · d1 · u1지역BD · CA · CH · DE산업에너지 · 숙박·레저 · 지원 서비스
C&C회원 전용2026년 7월 19일 13:38 (UTC+9)정품 인증서 두른 스틸러, 인프라만 계속 갈아탄다
브라이트데이터(Bright Data Ltd)의 정식 코드 서명 인증서를 두른 실행 파일이 다시 한 번 스틸러로 분류됐다. net_updater.exe라는 이름으로 배포되는 이 바이너리는 DigiCert Trusted G4 Code Signing 체인이 물려 있는 정품 서명 파일임에도, C2AE 샌드박스에서 STEALER 계열 PBot으로 반복 판정된다. 이번에 CTX Team이 추적한 지표군에는 새로 확인된 파일 해시 47건, IP 27건, 도메인 28건이 더해지고 파일 9건·IP 10건·도메인 5건은 더 이상 관측되지 않았지만, 정작 캠페인을 지탱하는 뼈대 — Bright Data Ltd, WEILAI NETWORK TECHNOLOGY, INNOVATIVE CONNECTING PTE. LIMITED라는 세 개의 서명 체인 — 는 이전 관측 시점과 동일하게 유지되고 있다. 인프라는 상당 부분 교체됐지만, 그 인프라를 감싸는 서명·빌드 파이프라인은 조금도 바뀌지 않았다는 뜻이다.
#브라이트데이터#PBot#코드사이닝인증서남용#프록시웨어#VPN위장배포#스틸러#WEILAINETWORKTECHNOLOGY#인프라재활용행위자Space Pirates · WebwormIOCf93 · i35 · d53 · u13MITRE17
FILE회원 전용2026년 7월 19일 05:47 (UTC+9)서명은 있지만 신뢰는 없다 — KMS 크랙 도구의 방어 회피 지문
x86과 x64로 각각 컴파일된 두 개의 실행 파일이 완전히 동일한 코드 서명 인증서 일련번호(8A C1 A3 10 13 49 C2 8A 4D 33 94 7C FC D0 76 62)를 공유하고 있다는 사실이 이번 분석의 출발점이다. 서명자는 'WZTeam'으로 표기돼 있지만, 인증서 체인은 신뢰 공급자가 인정하지 않는 루트 인증서에서 끝난다 — VirusTotal이 두 파일 모두에 대해 "A certificate chain processed, but terminated in a root certificate which is not trusted by the trust provider"라는 동일한 검증 문구를 반환한 이유다. 두 파일은 각기 다른 아키텍처용으로 빌드됐음에도 하나의 서명 아티팩트를 그대로 재사용했고, 동시에 Windows Defender 비활성화 레지스트리 조합을 탐지하는 동일한 YARA 룰을 발화시켰다.
#APT27#KMSAuto#AutoKMS#위장코드서명#방어회피#크랙웨어유통#YARA탐지#getintopc행위자APT27 · TEMP.HippoIOCf4 · i0 · d1 · u1MITRE18산업에너지