FILE회원 전용2026년 7월 19일 13:46 (UTC+9)'배송 안내' 미끼 뒤에 숨은 TA505식 저비용 침입 체인
RAR 압축파일 하나와 자바스크립트 파일 하나 — 겉보기엔 평범한 첨부파일 조합이지만, 이 둘은 VirusTotal 위협 라벨에서 동일하게 trojan.drop/crit로 분류되고 popular_names에 drop, crit, etecer를 공유하며, 무엇보다 둘 다 "shipping advice"라는 동일한 미끼 이름을 달고 있다. CTX Team이 이번에 추적한 캠페인의 출발점은 이 두 파일이 만들어내는 하나의 전달·실행 유닛이다. RAR 아카이브(sha256 a8918d28…)는 alt_name 목록에 shipping advice.rar를 명시하고 있고, 파일 태그에도 attachment가 붙어 있다 — 이메일 첨부파일로 뿌려지는 전형적인 스피어피싱 문서 미끼(T1566.001)의 형태다.
#TA505#RockLoader#스피어피싱#배송미끼#Namecheap#공유호스팅#JScript드로퍼#IP정찰행위자TA505 · Hive0065IOCf3 · i1 · d1 · u1지역BD · CA · CH · DE산업에너지 · 숙박·레저 · 지원 서비스
C&C회원 전용2026년 7월 19일 13:38 (UTC+9)정품 인증서 두른 스틸러, 인프라만 계속 갈아탄다
브라이트데이터(Bright Data Ltd)의 정식 코드 서명 인증서를 두른 실행 파일이 다시 한 번 스틸러로 분류됐다. net_updater.exe라는 이름으로 배포되는 이 바이너리는 DigiCert Trusted G4 Code Signing 체인이 물려 있는 정품 서명 파일임에도, C2AE 샌드박스에서 STEALER 계열 PBot으로 반복 판정된다. 이번에 CTX Team이 추적한 지표군에는 새로 확인된 파일 해시 47건, IP 27건, 도메인 28건이 더해지고 파일 9건·IP 10건·도메인 5건은 더 이상 관측되지 않았지만, 정작 캠페인을 지탱하는 뼈대 — Bright Data Ltd, WEILAI NETWORK TECHNOLOGY, INNOVATIVE CONNECTING PTE. LIMITED라는 세 개의 서명 체인 — 는 이전 관측 시점과 동일하게 유지되고 있다. 인프라는 상당 부분 교체됐지만, 그 인프라를 감싸는 서명·빌드 파이프라인은 조금도 바뀌지 않았다는 뜻이다.
#브라이트데이터#PBot#코드사이닝인증서남용#프록시웨어#VPN위장배포#스틸러#WEILAINETWORKTECHNOLOGY#인프라재활용행위자Space Pirates · WebwormIOCf93 · i35 · d53 · u13MITRE17
FILE회원 전용2026년 7월 19일 05:47 (UTC+9)서명은 있지만 신뢰는 없다 — KMS 크랙 도구의 방어 회피 지문
x86과 x64로 각각 컴파일된 두 개의 실행 파일이 완전히 동일한 코드 서명 인증서 일련번호(8A C1 A3 10 13 49 C2 8A 4D 33 94 7C FC D0 76 62)를 공유하고 있다는 사실이 이번 분석의 출발점이다. 서명자는 'WZTeam'으로 표기돼 있지만, 인증서 체인은 신뢰 공급자가 인정하지 않는 루트 인증서에서 끝난다 — VirusTotal이 두 파일 모두에 대해 "A certificate chain processed, but terminated in a root certificate which is not trusted by the trust provider"라는 동일한 검증 문구를 반환한 이유다. 두 파일은 각기 다른 아키텍처용으로 빌드됐음에도 하나의 서명 아티팩트를 그대로 재사용했고, 동시에 Windows Defender 비활성화 레지스트리 조합을 탐지하는 동일한 YARA 룰을 발화시켰다.
#APT27#KMSAuto#AutoKMS#위장코드서명#방어회피#크랙웨어유통#YARA탐지#getintopc행위자APT27 · TEMP.HippoIOCf4 · i0 · d1 · u1MITRE18산업에너지
C&C회원 전용2026년 7월 18일 21:36 (UTC+9)호주 제조업 겨냥 C2 클러스터, 인증서 불일치로 본 재활용 인프라
호주 제조업 부문을 겨냥한 것으로 태깅된 한 c2-servers 클러스터에서, 실제 방점이 찍히는 곳은 악성코드 자체가 아니라 그 뒤에서 움직이는 웹 인프라의 결이다. 도메인 ebuyswap.co.uk는 GoDaddy가 2024-01-25 발급한 TLS 인증서를 서빙하고 있는데, 이 인증서의 subject CN은 *.secure-secure.co.uk — 즉 이 도메인 자체와는 아무 관련 없는 전혀 다른 도메인을 위한 인증서다. 같은 코호트의 또 다른 도메인 eastmountinc.com은 NS1626.ZTOMY.COM / NS2626.ZTOMY.COM이라는 동적 DNS 스타일의 네임서버에 위임돼 있으며, nxdomain·potential-c2 태그가 별도로 붙어 있다. 이 두 지문이 겹치는 지점에서, 정작 페이로드로 확인된 다운로더는 2015년에 처음 관측된 Upatre — 벌써 10년 넘게 돌고 있는 구식 다운로더다.
#호주제조업#C2서버#Upatre#다운로더#TLS인증서불일치#동적DNS#재활용인프라#GoDaddyIOCf4 · i1 · d2 · u7MITRE15지역AU산업제조
FILE회원 전용2026년 7월 18일 13:56 (UTC+9)인증서 발급자란에 'C2'라 쓴 도메인, 첩보 작전의 흔적
한 도메인의 TLS 인증서 발급자·주체 필드에 조직명 대신 "O=Hermes, OU=C2"라는 문자열이 그대로 박혀 있는 사례를 확인했다. 위장이라기보다는 노출이라 부르는 게 정확하다. signindat.com이라는 이 도메인은 CTX Team이 추적 중인 첩보 목적 공격 클러스터의 유일한 활성 인프라 축이며, 인증서 시리얼 50fb9fc33758894e18d8b6a0cb42d5044a75078a로 식별된다. 발급자와 주체가 동일한 자가서명 구조인데다, SAN(Subject Alternative Name) 항목에는 signindat.com과 그 A 레코드인 193.26.115.45가 함께 걸려 있어 인증서 하나가 도메인과 IP 양쪽을 동시에 감싸는 구성이다. 이 클러스터는 upstream 피드에서 doghousepower라는 이름의 툴 계열과 함께 묶여 있고, 같은 레코드에 첨부된 행위자 태그로는 Unfading Sea Haze가 지목돼 있다.
#UnfadingSeaHaze#doghousepower#Meterpreter#signindat.com#자가서명인증서#첩보작전#스위스#요르단행위자Unfading Sea HazeIOCf9 · i0 · d1 · u2MITRE25지역CH · JO산업식음료 · 정부·공공 · 지원 서비스
C&C회원 전용2026년 7월 18일 13:46 (UTC+9)싱가포르 ACE-SG 인프라, 동일 인증서로 묶인 프록시웨어 유통망
CTX Team이 추적 중인 프록시웨어/PUA 유통 클러스터에서 이번 주기 가장 눈에 띄는 변화는 파일이 아니라 네트워크 쪽에서 나왔다. 새로 관측된 IP 주소 43.169.13.123, 43.174.132.95, 43.174.133.38 세 곳이 모두 싱가포르에 등록된 AS139341(ACE) 안에 위치하면서, 세 IP가 동일한 TLS 인증서 시리얼 a9573ce73eb9e83e40cd25a3a46eef4를 공유하고 있다. 이 인증서는 WoTrus RSA DV SSL CA 2가 *.cdn.myqcloud.com 와일드카드 호스트에 발급한 것으로, 2026년 5월 13일부터 11월 27일까지 유효하다. 하나의 인증서가 서로 다른 세 IP에 그대로 얹혀 있다는 것은 이 세 노드가 개별 서버가 아니라 같은 CDN 프런트를 공유하는 구조라는 뜻이며, 그 자체로 이번 관측 주기에서 가장 응집력 있는 인프라 신호다. 이 신호를 어떻게 해석할지는 신중해야 한다.
#프록시웨어#PUA#BrightData#WEILAINETWORKTECHNOLOGY#INNOVATIVECONNECTING#CDN인프라#코드사이닝남용#샌드박스우회행위자APT28 · StrontiumIOCf55 · i18 · d30 · u8MITRE16
APT회원 전용2026년 7월 18일 13:35 (UTC+9)코드는 그대로, 서명만 갈아치운 프록시웨어 재빌드 사이클
지난 2025년 7월부터 2026년 3월까지, 동일한 임포트 테이블(imphash a4383347bad6319c)을 가진 프록시웨어 바이너리 네 개가 매번 다른 Bright Data Ltd 코드서명 인증서를 새로 발급받아 재배포된 흔적이 확인됐다. 파일명은 한결같이 net_updater.exe — Bright Data의 정식 SDK 구성요소를 사칭한 이 실행 파일들은 VirusTotal 탐지율이 22/75(2025년 7월 빌드)에서 15/75, 11/75를 거쳐 8/76(2026년 3월 빌드)까지 순차적으로 떨어졌다. 코드는 거의 그대로인데 서명만 갈아 끼우며 탐지를 피해가는 이런 사이클은, 단발성 악성코드 배포가 아니라 운영 중인 빌드 파이프라인이 존재한다는 뚜렷한 신호다. 같은 클러스터 안에서는 이 프록시웨어 SDK 안에 스틸러 페이로드가 동봉된 정황까지 확인되면서, 정품 소프트웨어의 신뢰를 빌려 쓰는 그레이웨어 유통 방식이 어디까지 진화했는지를 보여주는 사례로 눈여겨볼 만하다
#BrightData#WEILAINETWORKTECHNOLOGY#ViberMedia#PBot#프록시웨어#코드사이닝남용#VPN트로이목마#그레이웨어행위자Cactus · Cactus Ransomware GroupIOCf89 · i14 · d36 · u8MITRE17
FILE회원 전용2026년 7월 17일 14:59 (UTC+9)나흘 새 아홉 이름 갈아탄 DLL, 한 빌더가 찍어낸 Fireball 계열
RegKey.dll, Skytech.dll, ClearLog.dll, Packet.dll, MIO.dll, Berserker.dll, Install.dll, Lancer.dll, At.dll, WinTooll.exe — 이름은 모두 다르지만, 이번에 확인된 지표 묶음 안에서 이 파일들은 사실상 하나의 빌더가 찍어낸 동일 계열 산출물이다. 서명은 하나같이 없고(signed: false), PE 컴파일 타임스탬프는 2017-01-23부터 2017-01-26까지 나흘 사이에 몰려 있다. RegKey.dll로 식별되는 1e62a41983d3...만 2016-12-27 타임스탬프로 살짝 앞서 있을 뿐, 나머지 대다수는 1월 25일 하루에 집중된다. 이 정도로 좁은 빌드 윈도우에 서로 다른 파일명과 imphash를 가진 DLL들이 몰려 있다는 것은, 하나의 빌더 파이프라인이 페이로드 모듈을 순차적으로 찍어냈다는 그림을 뒷받침한다.
#Fireball#Elex#Sasquor#애드웨어#PUA번들러#MSI설치패키지#브라질#파키스탄행위자Barium · Wicked SpiderIOCf27 · i0 · d3 · u0MITRE43지역BR · PK
FILE회원 전용2026년 7월 17일 13:37 (UTC+9)슬랙 API 흉내 낸 C2, 인프라는 줄고 코어는 그대로
이번 관측 구간에서 새로 포착된 두 개의 URL — 154.12.236.248/api/admin.conversations.getConversationPrefs와 84.46.240.42/api/apps.permissions.users.request — 은 새로운 전달 경로가 아니라, 기존에 추적하던 C2 인프라가 동일한 방식으로 계속 작동하고 있음을 확인해 주는 재확인 신호였다. 두 URL의 경로 구조는 슬랙(Slack)의 실제 Web API 메서드 이름 체계인 admin.conversations., apps.permissions.를 그대로 흉내 내고 있으며, 이 패턴은 세 번째 C2 서버인 94.72.104.77/api/admin.conversations.ekm.listOriginalConnectedChannelInfo에서도 동일하게 관측된다.
#Pikabot#SafePay#Contabo#C2인프라#슬랙API위장#로더#방어회피#인프라통합행위자SafePayIOCf1 · i3 · d0 · u6MITRE13지역US산업소매·유통
APT회원 전용2026년 7월 17일 05:32 (UTC+9)정품 NordVPN 서명 두른 드롭퍼, 백신 75곳서 전부 무탐지
VirusTotal에 제출된 지 이틀도 지나지 않은 한 Win32 실행 파일이 75개 백신 엔진 가운데 단 한 곳에서도 악성으로 탐지되지 않았다. 이 파일은 nordvpn s.a. 명의로 발급된 GlobalSign GCC R45 EV CodeSigning 체인으로 정상 서명돼 있고, 샌드박스 판정 역시 98% 신뢰도의 "harmless"로 귀결됐다. 그러나 같은 파일에 대해 VirusTotal의 룰 기반 분석은 Sigma 룰 6건(중간 4건, 하위 2건)을 동시에 발화시켰다 — 서명 신뢰가 AV·샌드박스 계층의 판단을 완전히 억제했지만, 행위 패턴 자체는 지워지지 않았다는 뜻이다. 이 파일은 러시아 소재 호스팅사 Proton66 OOO(AS198953) 산하 두 개 IP가 콘텐츠전송망(CDN) 사업자 G-Core Innovations의 인증서 아이덴티티를 그대로 복제해 쓰는 인프라 클러스터와 겹쳐 관측됐다.
#NordVPN위장#Proton66#G-CoreInnovations사칭#GlobalSignEV서명남용#CommentCrew#APT1#CDN인증서사칭#엔지니어링표적행위자Comment Crew · Byzantine CandorIOCf1 · i4 · d1 · u6MITRE5산업엔지니어링
FILE공개2026년 7월 16일 21:47 (UTC+9)WinPEAS 가면 쓴 악성코드, 샌드박스 판정 두 갈래로 갈리다
침해 대응 도구함에서 가장 흔하게 보이는 이름 중 하나가 WinPEAS다. 로컬 권한 상승 취약점을 훑어주는 오픈소스 정찰 유틸리티로, 레드팀은 물론 실제 침투 행위자들도 널리 재사용한다. 그런데 CTX Team이 이번에 확인한 샘플은 이 익숙한 이름표를 달고 있으면서도, 정작 두 개의 샌드박스가 서로 다른 정체성을 부여했다는 점에서 눈길을 끈다. CAPE Sandbox는 이 파일을 정보 탈취형 악성코드 계열인 "Rhadamanthys"로 명명했고, Zenbox는 같은 파일을 "PEASS HackTool"로 분류하며 TROJAN·EVADER 태그를 붙였다. 하나의 바이너리에 대한 판정이 이렇게 갈리는 경우는 흔치 않다 — 그리고 그 균열의 이유를 파고들면, 이 파일이 단순한 정찰 도구가 아니라 자격증명 탈취 로직을 겹쳐 얹은 하이브리드 페이로드일 가능성이 드러난다.
#WinPEAS#Rhadamanthys#APT29#자격증명탈취#스틸러#샌드박스회피#방어회피#기술산업행위자APT29 · MinidionisIOCf1 · i1 · d0 · u0MITRE42지역CH산업기술·IT
FILE회원 전용2026년 7월 16일 13:50 (UTC+9)DigiCert 서명체인 아래 다섯 개 법인, 뤄다스 애드웨어 공급망의 실체
지난주 CTX Team이 수집한 37개 파일·4개 IP·4개 도메인으로 구성된 지표 묶음을 들여다보면, 눈에 띄는 것은 개별 악성코드의 정교함이 아니라 신뢰 체계 자체를 반복해서 우회하는 방식이다. 정적으로 상세 분석이 가능했던 19개 파일 가운데 17개가 동일한 코드 서명 체인 — "DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1" — 아래에서 서명됐다. 그런데 이 17개 파일의 서명자 이름은 하나가 아니다. 成都奇鲁科技有限公司(8개), 北京创想界科技有限公司(4개), 成都赤侠信息科技有限公司(4개), 그리고 成都盈畅时代文化传播有限公司와 天津微极智科技有限公司가 각각 1개씩 — 최소 다섯 개의 서로 다른 중국 법인 명의가 같은 CA 체인에서 인증서를 발급받아 사실상 동일한 악성코드 계열을 서명해 유통시키고 있다. 이 코호트를 하나로 묶는 것은 서명자 이름이 아니라 그 뒤에 있는 CA 관계다.
#뤄다스#DigiCert코드서명#인증서남용#애드웨어유통망#APT23오귀속#PubNubRAT#중국법인위장#C2인증서도용행위자APT23 · KeyBoyIOCf37 · i4 · d4 · u2MITRE8
FILE회원 전용2026년 7월 15일 21:56 (UTC+9)서명 인증서 4곳, 코드는 하나 — VPN 위장 드롭퍼 재사용 빌더
CTX Team이 추적 중인 한 파일군에서, 서로 다른 상업 법인 4곳의 정상 코드 서명 인증서가 동일한 계열의 VPN·프록시 위장 드롭퍼를 반복적으로 감싸고 있는 정황이 확인됐다. WEILAI NETWORK TECHNOLOGY CO., LIMITED, Bright Data Ltd, INNOVATIVE CONNECTING PTE. LIMITED, WPS SOFTWARE PTE. LTD. — 이름과 업종은 제각각이지만, 이들의 서명 체인 아래 깔린 실체는 하나의 빌더 계보에서 파생된 것으로 보이는 트로이목마·PUA 드로퍼다. wire.exe, upWire.exe, VPNMaster.exe, net_updater.exe 같은 이름으로 배포되는 이 파일들은 유효한 서명을 달고도 12~29개 엔진에서 탐지되며, 그 밑단에는 스틸러 기능까지 확인된 사례가 존재한다.
#WEILAINETWORKTECHNOLOGY#BrightData#INNOVATIVECONNECTING#WPSSOFTWARE#PBot스틸러#코드사이닝남용#VPN위장드롭퍼#AS24429행위자Cactus · Cactus Ransomware GroupIOCf49 · i9 · d33 · u8MITRE34
C&C회원 전용2026년 7월 15일 21:46 (UTC+9)20년 묵은 크랙 유통망, 새 지표 없이도 그대로 굴러간다
윈도우·오피스 정품인증을 우회해주는 KMSpico·AutoKMS 계열 액티베이터 4종이 전부 동일한 자가발급 서명 체인 아래 묶여 있고, 이 파일들에서 패킷 캡처 드라이버 탐지 규칙(WinDivert_Driver)과 Formbook 계열의 안티훅 우회 규칙(FormhookB)이 동시에 발화하는 정황이 확인됐다. 액티베이터 본연의 기능과는 무관한 코드 조각이 동일한 패키징 파이프라인을 통해 함께 실려온다는 뜻이며, 크랙 소프트웨어 유통망이 어떻게 부가 페이로드를 끼워 넣는지를 보여주는 구체적인 사례다. 이번 주기에 새로 확인된 파일·IP·도메인·URL은 전혀 없었고, 오히려 기존 추적 목록에서 파일 19건과 URL 4건이 정리돼 빠졌다 — 뉴스가 될 만한 것은 "무엇이 새로 나타났는가"가 아니라 "무엇이 이토록 오래, 이토록 그대로 유지되고 있는가"다.
#SaltySpider#KMSpico#AutoKMS#클립보드탈취#암호화폐채굴기#불가리아호스팅#자가서명인증서#크랙소프트웨어행위자Salty Spider · KuKuIOCf14 · i3 · d4 · u29MITRE11산업헬스케어
APT회원 전용2026년 7월 15일 21:37 (UTC+9)10년 된 크랙 배포망, 채굴기·클리퍼 새로 얹다
지난 보도에서 이미 확인된 KMSpico/AutoKMS 활성화 툴킷 캠페인의 최신 스냅샷에서, CTX Team은 19개의 새 파일 해시를 새로 확인했다. 그런데 이번 확장에서 눈에 띄는 것은 인프라가 아니라 페이로드다. 새로 완전히 정황이 확인된 지표 가운데 하나는 독립형 XMRig 모네로 채굴기(파일명 위장: RuntimeBroker.exe)였고, 여기에 더해 동일한 imphash(9214b58a431c8528bbee2d6dd10f619e)를 공유하는 UPX 패킹 클리퍼/클립뱅커 3종이 함께 확인됐다. 반면 도메인과 IP는 단 하나도 새로 추가되지 않았다 — 3개의 IP, 4개의 도메인이 모두 이전 관측 그대로다. 즉 이번 스냅샷이 보여주는 것은 "새 캠페인"이 아니라, 10년 넘게 굴러온 하나의 크랙 유통 채널이 이제는 암호화폐 채굴과 클립보드 하이재킹이라는 새로운 수익화 계층을 확실하게 얹고 있다는 사실이다.
#SaltySpider#KMSpico#AutoKMS#XMRig#클리퍼#sality#크립토재킹#불가리아호스팅행위자Salty Spider · KuKuIOCf33 · i3 · d4 · u33MITRE12산업헬스케어
APT회원 전용2026년 7월 15일 13:37 (UTC+9)태국 의료업체 서브도메인 뒤 숨은 C2 순환 인프라
의료 소프트웨어 업체의 정식 도메인 밑에 등록된 서브도메인 3곳이 모두 같은 IP로 수렴하고, 89일짜리 인증서를 순차적으로 갈아 끼우며 트래픽을 흘려보내고 있다. meddup.bmscloud.in.th, api.notify.bmscloud.in.th, donorcheck.bmscloud.in.th — 이 세 호스트명은 THNIC를 통해 등록됐고 모두 171.103.78.30이라는 단일 A-레코드로 해석된다. 여기에 더해 상용 호스팅 업체 A2 Hosting의 웹메일·autodiscover 명명 규칙을 그대로 베낀 인증서가 싱가포르의 한 소규모 호스팅사 IP(85.187.128.55, AS204800 WHG Hosting Services Ltd)에서 발견됐고, 등록 6년째를 맞은 중국계 도메인 xsbl.net이 최근 GoDaddy 인증서를 새로 발급받아 재부팅된 흔적도 확인됐다.
#태국#의료소프트웨어벤더사칭#C2인프라#TLS인증서위장#APT28#APT-C-35#APT15#헬스케어표적행위자APT28 · StrontiumIOCf16 · i3 · d4 · u0MITRE29산업정부·공공 · 헬스케어 · 통신
FILE회원 전용2026년 7월 15일 05:36 (UTC+9)크랙판 위장 로더체인, 게임 워즈 통해 3,664곳 확산
'Red Dead Redemption 2' FitGirl 리팩 크랙판을 가장한 setup.exe 두 종이 동일하게 DBatLoader 샌드박스 판정을 받으며 유통되고 있다. 두 파일은 imphash가 전혀 겹치지 않고 최초 관측 시점도 2024년 5월과 2026년 4월로 21개월이나 떨어져 있지만, 결과적으로 같은 로더 계열을 실행시킨다는 공통점을 공유한다. 그중 하나(SHA256 20805f98…)는 제출 건수 14,889건, 고유 제출 소스 3,664곳이라는 수치를 남겼다 — 표적형 침투가 아니라 워즈(warez) 유통망을 통한 대량 확산형 미끼임을 보여주는 수치다. CTX Team이 이번에 들여다본 인프라와 파일 계열은, 정교한 표적 공격이라기보다 저비용·재사용 지향의 유포 파이프라인에 가깝다는 인상을 준다. 이 캠페인의 핵심은 단일 악성코드 패밀리가 아니라 체인 구조 자체에 있다.
#DBatLoader#크랙설치파일#FitGirl리팩#VoidArachne#SilverFox#Remcos#XMRigMiner#hosts조작행위자Void Arachne · Silver FoxIOCf10 · i4 · d2 · u0지역BR · PT
APT회원 전용2026년 7월 14일 22:23 (UTC+9)25년 차 두 도메인, 같은 네임서버로 엮인 Emotet 인프라
quasi-monkey.com이라는 도메인은 2000년 9월 11일에 등록됐다. andysresume.info는 2025년 2월 3일에 생성됐다. 등록 시점만 놓고 보면 두 도메인 사이에는 25년에 가까운 시차가 존재하고, 상식적으로는 서로 관련 없는 두 개의 독립된 자산으로 취급해도 무리가 없어 보인다. 그런데 두 도메인의 네임서버 델리게이션을 들여다보면 이야기가 달라진다. quasi-monkey.com과 andysresume.info는 curitiba.ns.porkbun.com, fortaleza.ns.porkbun.com, maceio.ns.porkbun.com, salvador.ns.porkbun.com이라는 동일한 네 개의 Porkbun 네임서버 조합으로 완전히 일치하게 위임돼 있다. 이 네 서버 세트가 정확히 같은 순서로, 정확히 같은 도메인 두 개에만 등장한다는 점은 우연으로 넘기기 어려운 신호다.
#Emotet#TA542#DGA#Let'sEncrypt인증서#IBAN피싱문서#Porkbun네임서버#독일기술산업표적#C2인프라행위자Emotet Group · TA542IOCf3 · i2 · d3 · u4지역DE산업기술·IT
C&C회원 전용2026년 7월 14일 21:35 (UTC+9)유니온페이 위장 인증서, 中통신사 8곳서 동일 복제 확인
중국 대륙의 통신사 IP 12곳이 정확히 동일한 TLS 인증서 일련번호를 내걸고 있다는 사실이 확인됐다. 시리얼 b16a258a252d804ceb0eb5ba860f3e5, 발급기관 DigiCert Basic OV G2 TLS CN RSA4096 SHA256 2022 CA1, subject는 *.unionpayintl.com — 즉 중국 유니온페이 인터내셔널을 사칭한 인증서다. 이 인증서는 China Mobile(AS56045, AS56046, AS9808), China Unicom(AS4837), China Telecom(AS142404, AS134762, AS141998, AS138169), 그리고 CT-HangZhou-IDC(AS58461)까지 최소 8개의 서로 무관한 통신사 자율시스템에 걸쳐 동일하게 노출됐다.
#유니온페이사칭인증서#Ludashi#PUP어드웨어#코드서명순환#ChinaTelecom#FIN6오귀속#APT28오귀속#C2인프라행위자FIN6 · Skeleton SpiderIOCf33 · i16 · d5 · u4MITRE20산업통신
APT회원 전용2026년 7월 14일 14:11 (UTC+9)저가 VPS 세 곳에 짝지어진 17개 IP, 방치된 인증서의 흔적
추적된 17개 IP 인디케이터 가운데 절반에 가까운 6개가, 서로 다른 세 개의 저가 VPS 리셀러에 정확히 두 개씩 짝을 이뤄 걸려 있다는 사실이 눈에 띈다. 폴란드계 MEVSPACE sp. z o.o.(AS201814)에는 195.3.220.103과 109.205.211.94가, 영국의 UK Dedicated Servers Limited(AS42831)에는 191.101.59.248과 45.43.86.21이, 그리고 벌크 VPS의 대표주자인 Contabo Inc.(AS40021)에는 5.252.52.75와 195.26.245.80이 나란히 올라 있다. 세 곳 모두 하나의 ASN 안에 두 개씩 노드가 걸려 있는 동일한 모양이 반복되는데, 이는 공격자가 특정 네트워크를 침해해 발판을 마련했다기보다는 같은 저가 리셀러에서 병렬로 용량을 임대해 여러 프런트엔드를 굴리고 있다는 인상을 준다.
#APT40#Gozi#KMS크랙#VPS리셀러#자체서명인증서#크랙웨어#MEVSPACE#Contabo행위자APT40 · MudcarpIOCf1 · i17 · d0 · u0MITRE4산업기술·IT
APT회원 전용2026년 7월 14일 13:34 (UTC+9)무관한 애드웨어 두 종, 동일 EV 서명 체인 공유
VirusTotal 기준 각각 35/75, 29/74의 탐지율을 기록한 두 개의 바이너리 — 하나는 PDF 유틸리티로 위장한 실행 파일, 다른 하나는 브라우저 확장 설치 프로그램 — 가 정체는 전혀 다른 애드웨어 패밀리임에도 완전히 동일한 EV 코드 서명 인증서 체인을 물고 유통된 정황이 확인됐다. CTX Team이 이번 후보군을 검증하는 과정에서 가장 먼저 눈에 걸린 지점은 행위자 라벨이 아니라 이 서명 체인의 재사용 패턴이었다. 업스트림 피드는 이 지표 묶음을 APT28(Fancy Bear) 계열, 동기는 espionage로 태깅했지만, 실제로 VirusTotal에서 확인 가능한 아티팩트 자체는 그런 서사를 뒷받침하지 않는다. 대신 손에 잡히는 것은 서로 무관한 두 애드웨어 브랜드가 같은 EV 코드 서명 발급 경로를 공유하고, 두 개의 리다이렉트 게이트 도메인이 17개월 간격을 두고도 동일한 여덜 개 IP 블록으로 계속 회귀하는 상업적 몬티타이제이션 인프라의 재활용 흔적이다.
#APT28#surtr#MediaArena#ByteMedia#애드웨어#EV코드서명인증서#리다이렉트게이트도메인#PUP유통망행위자APT28 · StrontiumIOCf13 · i0 · d6 · u6MITRE24산업비영리
C&C회원 전용2026년 7월 14일 05:39 (UTC+9)9초 차이 인증서 두 장, 같은 IP로 묶인 C2 인프라
지난 6월 13일 18시 46분 20초, deluxe.gl 도메인에 Let's Encrypt 발급기관 YE1이 서명한 TLS 인증서가 발급됐다. 그리고 정확히 9초 뒤인 18시 46분 29초, geo-foundation.vg에도 같은 발급기관 계열(YE2)의 인증서가 내려왔다. 두 도메인은 톱레벨도메인부터 다르고(.gl, .vg) 등록 시점도 5일 차이(각각 2026-03-06, 2026-03-11)가 나지만, 둘 다 동일한 IP 79.124.59.146으로 해석되고 동일한 Cloudflare 네임서버 군에 위탁돼 있다. 사람이 브라우저 콘솔을 열고 인증서를 하나씩 발급받았다면 이런 시간차는 나오지 않는다. 이 정도의 정밀한 동시성은 하나의 스크립트나 자동화된 발급 파이프라인이 두 호스트네임을 한 번에 처리했다는 쪽을 훨씬 강하게 시사한다. 이 C2 인프라 클러스터는 CTX Team이 심각도 100, 신뢰도 80으로 분류해 등록한 위협 세트에서 관측됐다.
#SpringDragon#LotusBlossom#Billbug#Thrip#C2인프라#EV코드서명#정부표적#스피어피싱행위자Spring Dragon · Lotus BlossomIOCf2 · i1 · d3 · u1MITRE19산업정부·공공
FILE회원 전용2026년 7월 13일 21:51 (UTC+9)유효한 EV 서명, 탐지 엔진은 절반만 믿었다
한 개의 EV 코드사이닝 인증서가 두 달에 걸쳐 네 개의 서로 다른 실행파일에 반복 적용됐다. 서명 주체는 베이징치후과학기술(北京奇虎科技, Beijing Qihu Technology Co., Ltd.) — 중국의 대표적 보안·게임 소프트웨어 업체 360(Qihu 360)의 법인명이다. GlobalSign GCC R45 EV CodeSigning CA 2020을 거쳐 GlobalSign Code Signing Root R45로 이어지는 완전히 유효한 신뢰 체인(시리얼 77 D9 12 68 10 B4 7A D8 41 65 66 51)을 달고 있음에도, VirusTotal에서는 해당 바이너리들이 75개 엔진 중 단 1~3개에서만 adware/malware로 탐지된다.
#치후360#EV코드사이닝인증서남용#adware/PUA#Snowglobe오귀속오류#불법복제크랙유포#CDN인증서공유#탐지엔진불일치행위자Snowglobe · Animal FarmIOCf10 · i7 · d0 · u0MITRE18
C&C회원 전용2026년 7월 13일 21:38 (UTC+9)두 개 법인명 뒤에 하나의 DigiCert 서명망, PUA 유포 확인
같은 DigiCert Trusted G4 Code Signing 인증 체계 아래, 서로 다른 두 개의 중국 법인 이름으로 서명된 16개 파일이 동일한 어드웨어 계열을 유포하고 있는 정황이 확인됐다. 하나는 '北京创想界科技有限公司'(베이징촹샹제과기), 다른 하나는 '成都盈畅时代文化传播有限公司'(청두잉창스다이문화전파)라는 이름을 쓰지만, 둘 다 VirusTotal 커뮤니티 라벨상 ludashi·polarwind·chinad로 분류되는 동일 계열 PUA(불필요 프로그램)를 배포한다. CTX Team이 수집한 지표 묶음에서 이 서명 체인이 걸린 파일들의 탐지율은 최저 5/76에서 최고 34/77까지 벌어져 있다 — 같은 코드 계보가 시기별로 어떤 때는 거의 무탐지로, 어떤 때는 절반 가까운 엔진에 잡히는 식으로 오르내린다는 뜻이다. 이 낙차 자체가 하나의 서명 인프라가 여러 변종을 순차적으로 실어 나르는 파이프라인의 흔적으로 읽힌다.
#Ludashi#PolarWind#PUA#코드사이닝인증서#CDN위장#중국#PubNubRAT#애드웨어행위자TA551 · ShathakIOCf22 · i68 · d5 · u2MITRE47
FILE회원 전용2026년 7월 13일 05:44 (UTC+9)APT33 태그 파일 20개, 실은 20년 된 공개 웹셸 카탈로그
이번에 확보한 위협 레코드는 표면적으로 APT33 계열로 태깅된 29개 파일 지표 세트로 시작한다. 그런데 VirusTotal 컨텍스트가 붙은 20개 파일을 하나씩 열어보면 사정이 다르다. 7개 파일이 크라우드소스 YARA 룰 php_backdoor_php를 동시에 발화시키고, 6개 파일이 WEBSHELL_ASP_Generic으로 묶이며, 3~4개 파일이 WEBSHELL_JSP_Generic/_Tiny/EXT_ 계열로 겹쳐 잡힌다. 이 세 개의 룰 코호트만으로 20개 파일 중 절반이 넘는 표본이 설명된다. 문제는 이 룰들이 잡아내는 대상이 정교하게 빌드된 임플란트가 아니라, cmdasp.asp·cmd.jsp·php-backdoor.php처럼 펜테스트 업계에서 15~20년째 돌아다니는 공개 웹셸 킷이라는 점이다.
#APT33#웹셸#YARA탐지#OWASPZAP#nc.exe#AWSS3#오탐사례#사이버첩보행위자APT33 · MagnalliumIOCf29 · i0 · d1 · u2MITRE7
FILE회원 전용2026년 7월 12일 21:58 (UTC+9)KMS 크랙 툴 하나에 4겹 회피기법 응집
윈도우·오피스 정품 인증을 우회해주는 KMS 액티베이터 파일 안에, 서로 다른 세대의 방어 회피 기법이 층층이 쌓여 있는 사례가 확인됐다. 파일명 AAct_x64.exe(SHA256 8e5ea4856e7098ebbfb9370a6d5b9460449a653c1a8bd5db046faf30d16b7825)는 WZTeam 명의의 코드 서명 인증서를 달고 있지만 그 체인은 "신뢰되지 않는 루트 인증서에서 종료된다"는 검증 결과를 받았고, 동시에 UPX 패킹, 안티디버깅 스톨링, Windows Defender 레지스트리 비활성화 지표까지 한 몸에 지니고 있다. 이 파일 하나만 떼어놓고 보면 흔한 크랙 소프트웨어 위장 악성코드처럼 보이지만, 같은 세트 안에는 무려 4년 반의 시차를 두고 동일한 컴파일 결과물이 다른 이름으로 재유통된 흔적까지 확인된다.
#GamaredonGroup#KMS액티베이터#크랙소프트웨어유통#UPX패킹#서명위장#안티분석스톨링#RatiborusKMSTools#광고망위장인프라행위자Gamaredon Group · CTIGIOCf11 · i1 · d0 · u0MITRE19산업방위산업
C&C회원 전용2026년 7월 12일 21:44 (UTC+9)인증서 하나로 대륙 넘어 IP·도메인 엮은 C2 인프라
남아프리카공화국 AFRINIC 대역에 걸린 IP 168.76.155.178과 GoDaddy에 등록된 도메인 guomcc.com은 지리적으로도, 등록 경로로도 아무 접점이 없어 보인다. 그런데 이 둘은 정확히 동일한 TLS 인증서 시리얼 5ee850a60d5f88bb1442ee2acebf3310dd를 공유한다. 해당 인증서는 Let's Encrypt YR2 계열에서 발급됐고, subject는 watbw.com이지만 SAN 목록에는 .fmblzz.top, .jrzsdwn.top, .mrqxifa.top, .qjymt.top까지 함께 걸려 있다. 하나의 인증서가 IP 하나, 도메인 하나, 그리고 4개의 .top 도메인까지 동시에 커버하는 멀티테넌트 와일드카드 구조다. 이 캠페인의 진짜 서사는 특정 악성코드 패밀리나 특정 침해 사고가 아니라, 바로 이런 인프라 결합 방식에 있다.
#C2서버#인증서재사용#Let'sEncrypt#AdvancedIPScanner#피싱도메인#호스팅인프라#브랜드사칭#라벨불일치행위자Lockbit GangIOCf2 · i29 · d32 · u1MITRE8
APT회원 전용2026년 7월 12일 21:35 (UTC+9)APT15 연계 추정, 태국 의료업체 DNS 존 위장 서브도메인 포착
이번에 확인된 인프라 세트에서 가장 응집력이 높은 신호는 파일이 아니라 도메인 계층에서 나왔다. meddup.bmscloud.in.th, api.notify.bmscloud.in.th, donorcheck.bmscloud.in.th, moph-phr.bmscloud.in.th 네 개의 서브도메인은 모두 THNIC에 등록된 bmscloud.in.th 존 아래 걸려 있으며, 이 부모 도메인의 WHOIS 등록자는 실존하는 태국 의료 소프트웨어 업체인 Bangkok Medical Software Co., Ltd.로 확인된다. 네 개 서브도메인 중 세 개 — meddup, api.notify, donorcheck — 는 동일한 A-레코드 171.103.78.30으로 해석되며, 이는 서로 다른 시점에 발급된 서로 다른 인증서를 쓰는 호스트네임들이 실제로는 하나의 서버 노드 위에 얹혀 있다는 뜻이다.
#APT15#Ke3chang#Mirage#태국의료소프트웨어#DNS마스커레이딩#와일드카드인증서#C2인프라#첩보캠페인행위자APT15 · ROYALAPTIOCf9 · i3 · d10 · u1MITRE9산업정부·공공 · 헬스케어 · 통신
C&C회원 전용2026년 7월 12일 13:44 (UTC+9)만료 인증서 하나로 묶인 PacketStream 세 얼굴
VirusTotal에 누적된 표본 가운데 c450d3b5…, 16d31212…, a8954e59… 세 개의 실행파일은 위협 라벨상으로는 서로 다른 존재다. 각각 pua.packetstream/usblet26, adware.packetstream/tnega, adware.packetstream/abrisk — 이름만 보면 별개의 변종처럼 읽힌다. 그러나 세 파일의 서명 정보를 나란히 놓으면 이야기가 달라진다. 세 파일 모두 "PacketStream Inc" 명의로, 동일한 리프 인증서 일련번호 08 A1 E1 05 55 6E 22 8D 46 FE D7 72 3C 52 19 1E와 동일한 서명 시각(07:57 AM 05/02/2024)을 공유한다.
#PacketStream#GhostSocks#코드사이닝인증서#KoreaTelecom#애드웨어#프록시웨어#도메인재활용#APT28행위자APT28 · StrontiumIOCf3 · i13 · d5 · u0MITRE28
APT회원 전용2026년 7월 12일 13:35 (UTC+9)FIFA 채용 사칭 도메인 7개, 인증서 지문 하나로 묶여
FIFA 채용을 사칭한 도메인 일곱 개 가운데 여섯 개가 정확히 동일한 A 레코드(91.195.240.94)로 해석되고, 동일한 네 개의 네임서버(ns1kpv·ns2kry·ns3jmt·ns4dmx.name.com)를 공유하며, 심지어 발급기관까지 DigiCert의 "Encryption Everywhere DV TLS CA - G2"로 일치한다는 사실이 확인됐다. fifa-careerhub.com, fifa-hr.com, jobs-fifa.com, fifa-careerpath.com, fifa-hiring.com, fifa-careerportal.com — 이름만 조금씩 바꾼 이 여섯 도메인은 2026년 4월 16일부터 5월 23일까지 약 5주 사이에 등록됐고, 등록기관도 하나같이 Name.com, Inc.였다. 등록기관·호스팅 IP·네임서버·인증서 발급기관이라는 네 가지 축이 동시에 겹치는 경우는 흔치 않다.
#TA505#FIFA채용사칭#VBS다운로더#OmegatechLTD#DigiCert인증서#피싱도메인#다국어미끼#셸코드로더행위자TA505 · Hive0065IOCf48 · i5 · d8 · u2MITRE17
FILE회원 전용2026년 7월 12일 05:55 (UTC+9)6년 전 빌드된 XMRig, 이름만 바꿔 2025년까지 재유통
한 개의 임포트 해시가 2019년 6월과 2025년 6월을 잇고 있다. CTX Team이 이번에 들여다본 파일 코호트는 서로 다른 파일명, 다른 제출 시점, 다른 탐지율을 갖고 있지만 imphash 91ae93ed3ff0d6f8a4f22d2edd30a58e 하나로 묶인다. 5d9fe2735d4399d98e6e6a792b1feb26d6f2d9a5d77944ecacb4b4837e5e5fca가 2019-06-25에 처음 관측된 이래, 3fde84a46aea…(2020-04-21), af94ddf7c35b…(2019-07-26), ebcdf536447c…(2019-10-28), 9194b57673209c…(2019-08-24)를 거쳐 edbec5d1319474…가 2025-06-17에 재등장하기까지, 여섯 개 파일 모두가 같은 rich_pe_header_hash(50dce46bb94bc57fb0152942a792d7e2), 같은 PE 타임스탬프(2018-09-04), 같은…
#XMRig#모네로채굴#PyInstaller#UPX패킹#RampantKitten#telespy#리소스하이재킹#라벨오귀속행위자Rampant KittenIOCf8 · i1 · d0 · u0MITRE8산업컨설팅
C&C회원 전용2026년 7월 12일 05:45 (UTC+9)법인 4곳이 인증서 하나 돌려쓴 중국 PUA 서명망
C2 서버로 분류된 이번 인디케이터 묶음을 열어보면, 표면적으로는 흔한 "정상 서명 파일 다수, 높은 탐지율" 케이스처럼 보인다. 그런데 20개 파일 dossier를 서명자 필드로 정렬하는 순간 그림이 달라진다. 성도기로과기유한공사(成都奇鲁科技有限公司), 북경창상계과기유한공사(北京创想界科技有限公司), 성도성한운과과기유한공사(成都星汉云科科技有限公司)라는 세 개의 중국 법인명이 모두 동일한 "DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1" 체인 아래 걸려 있고, 여기에 2024년 5월 만료된 구세대 "DigiCert SHA2 Assured ID Code Signing CA" 체인의 Chengdu Qilu Technology Co. Ltd. 서명까지 더해져 총 네 개의 법인 정체성이 하나의 배포 계열을 나눠서 서명하고 있었다.
#Ludashi#Chinad#PolarWind#PubNubRAT#코드사이닝남용#PUA유통#DigiCert인증서#Patchwork오귀속행위자Patchwork · ChinastratsIOCf33 · i2 · d5 · u28
APT회원 전용2026년 7월 11일 22:06 (UTC+9)만료된 서명이 살아남는 법, 코드서명 신뢰의 두 얼굴
2012년에 발급된 코드 서명 인증서로 서명된 원격제어 프로그램이, 2026년 현재까지도 절반 이상의 백신 엔진을 무사히 통과하고 있다. CTX Team이 이번에 확인한 파일 5767921d…632a는 표면적으로 오래된 샘플이지만, 그 서명 체인의 구조가 왜 아직도 유효하게 작동하는지를 들여다보면 코드 서명 신뢰 모델의 근본적인 약점이 드러난다. 해당 바이너리의 리프 인증서는 "Ammyy" 명의로 발급됐고, VeriSign Class 3 Code Signing 2010 CA를 거쳐 VeriSign 루트로 이어지는 체인을 가진다. VirusTotal의 서명 상태 검증 결과 리프 인증서와 중간 CA 모두 "this certificate or one of the certificates in the certificate chain is not time valid" — 즉 기술적으로 만료 상태로 플래그된다.
#SaltySpider#FlawedAmmyy#AmmyyAdmin#PBot#BrightDataSDK#코드서명남용#CDN프론팅#DGA도메인행위자Salty Spider · KuKuIOCf26 · i3 · d8 · u0MITRE13산업건설 · 포장·용기 · 교육·연구
FILE회원 전용2026년 7월 11일 21:46 (UTC+9)만료 정상서명 단 Ultrasurf, UPX 재포장돼 악성 판정
검열 우회 도구로 널리 알려진 Ultrasurf(Ultrareach)의 실행 파일 하나가 UPX로 재포장된 채 유통되고 있는 정황이 확인됐다. 해당 샘플(SHA256 168e625c…171d0)은 Ultrareach Internet Corp. 명의의 정상 코드 서명 체인 — GlobalSign GCC R45 CodeSigning CA 2020 → GlobalSign Code Signing Root R45 → GlobalSign Root CA - R3 — 을 그대로 지니고 있음에도, VirusTotal 기준 74개 엔진 중 19개가 이를 트로이목마 또는 PUA로 판정했다. 흥미로운 지점은 이 서명이 위조가 아니라는 사실이다.
#Ultrasurf#UPX패킹#코드사이닝인증서만료#MuddyWater#SilentChollima#Dalbit#샌드박스오분류#공급망남용행위자MuddyWater · TEMP.ZagrosIOCf4 · i1 · d1 · u1MITRE20산업정부·공공
C&C회원 전용2026년 7월 11일 21:37 (UTC+9)서명은 살아있는데 인증서는 죽어있다: VPN 위장 바이너리 6종
VirusTotal 탐지 엔진 12개에서 29개 사이를 오가는 파일들이, 하나같이 정상 발급된 EV·OV 코드 서명 인증서를 달고 있으면서도 검증 시점에는 "인증서 체인 중 하나가 시간상 유효하지 않다(not time valid)"는 상태로 걸려 있다. WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의로 GlobalSign GCC R45 EV CodeSigning CA 2020 체인을 통해 서명된 wire.exe·wire.dll·upWire.exe 세 파일, 그리고 INNOVATIVE CONNECTING PTE. LIMITED 명의로 DigiCert Trusted G4 체인을 통해 서명된 VPNMaster.exe·Startup.exe·master_vpn-service.exe 세 파일이 각각 동일한 일련번호·지문(thumbprint)을 공유하는 두 개의 독립된 코호트를 형성하고 있다.
#코드서명인증서남용#VPN위장악성코드#PUA트로전#WEILAINETWORKTECHNOLOGY#INNOVATIVECONNECTING#BrightDataSDK#Viber인스톨러재패키징#SpacePirates행위자Space Pirates · WebwormIOCf37 · i21 · d87 · u27MITRE18
APT회원 전용2026년 7월 11일 05:33 (UTC+9)인스톨러 하나가 4개 정체, APT 라벨은 애드웨어 번들러였다
VirusTotal에서 35/75 엔진이 악성으로 판정한 Win32 실행 파일 하나가, 실제로는 서로 다른 네 개의 소프트웨어 이름으로 유포되고 있었다. sha256 4bc69acd…8bb3c60a로 식별되는 이 파일은 resource-hacker-5.2.8-installer_s-xLCW1.exe, xmeye-vms-2.0.1.18-installer_oSJXm-1.exe, keytweak-2.3.1-installer_0-uzqM1.exe, glogg-1.1.4-installer_Xw-tXh1.exe라는 네 개의 alt_name을 동시에 가진다. 리소스 편집 툴(Resource Hacker), CCTV/DVR 관리 소프트웨어(XMEye VMS), 키보드 리매핑 유틸리티(KeyTweak), 로그 뷰어(glogg) — 서로 전혀 다른 카테고리의 정품 소프트웨어를 사칭하는 동일한 바이너리라는 점이 이 파일의 첫 번째 이상 신호다.
#애드웨어번들러#코드서명우회#샌드박스회피#인스톨코어#크립토파우셋스캠#APT28#APT15#라벨인플레이션행위자APT28 · StrontiumIOCf12 · i3 · d4 · u2MITRE10산업에너지
APT회원 전용2026년 7월 10일 19:48 (UTC+9)월드컵 중계 미끼 도메인 5곳, 인증서 지문서 배후 드러나
2026 FIFA 월드컵을 앞두고 "이란 대 뉴질랜드 경기를 지금 시청하라"는 문구로 방문자를 끌어들이는 가짜 스트리밍 페이지 다섯 곳이 CTX Team의 추적망에 걸렸다. nowstreams.top/player.php/iran-vs-new-zealand-fifa-world-cup-football, foxtrend.click/event/wc-2026-iran-vs-new-zealand-m, watchme.mom/9813/0/fifa/4, sportxlive.sbs/2562/0/soccer%20ss/19 — URL 경로만 봐도 네 개 도메인이 사실상 동일한 축구 중계 미끼 템플릿을 재사용하고 있다는 점이 드러난다. 등록 기관은 제각각이지만 도메인이 보여주는 콘텐츠 결은 놀랍도록 일치한다.
#LazarusGroup#torpig#월드컵#스트리밍미끼#스피어피싱#인증서발급#공유호스팅#도메인등록행위자Lazarus Group · Hastati GroupIOCf0 · i2 · d5 · u4MITRE4산업교육·연구 · 유틸리티
C&C회원 전용2026년 7월 10일 19:36 (UTC+9)인증서 하나로 18개월 버틴 中 애드웨어, 유니온페이 위장 TLS까지
중국계 시스템 최적화 유틸리티로 위장한 애드웨어 제품군이, 단 하나의 코드사이닝 인증서로 18개월 넘게 서명 신뢰를 유지해 온 정황이 확인됐다. VirusTotal 기준으로 첫 관측 시점이 2024년 11월 13일인 tools.exe(7afa5997fbe0…)부터 2026년 5월 3일 관측된 pc_optimizer_ui.exe(d19ac5e0bbac…)까지, 서로 다른 13개의 PE32 실행 파일이 成都奇鲁科技有限公司 명의의 DigiCert Trusted G4 Code Signing 인증서(일련번호 0D 07 8E 70 EA EE 48 FF EB 95 76 BD D4 00 BE 98)로 계속 재서명되며 유통됐다. 이 사인 파이프라인과 별개로, 中 이동통신·유니콤·텔레콤 계열 IP 16곳이 유니온페이 인터내셔널을 사칭한 동일한 TLS 인증서 일련번호(b16a258a252d804ceb0eb5ba860f3e5)를 걸고 있는 정황도 함께 드러났다.
#애드웨어#코드사이닝인증서남용#유니온페이사칭#TLS인증서클로닝#成都奇鲁科技#중국통신인프라#PUA#tjbxldkj.cn행위자FIN6 · Skeleton SpiderIOCf42 · i21 · d5 · u10MITRE22산업통신
APT회원 전용2026년 7월 10일 19:27 (UTC+9)만료 인증서로 계속 서명되는 VPN 위장 바이너리들
정상 발급된 코드 서명 인증서 두 개가 유효기간이 끝난 뒤에도 계속해서 새 바이너리에 서명을 찍어내고 있다. WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의로 발급된 GlobalSign EV 코드서명 인증서(일련번호 03 A9 18 8A A5 10 C0 F8 34 34 26 BF)는 2023년 4월 26일부터 2026년 4월 26일까지가 유효기간이지만, VirusTotal의 서명 검증 결과는 이 인증서 체인에 대해 "This certificate or one of the certificates in the certificate chain is not time valid"라는 상태를 명시적으로 반환한다. 그런데도 이 인증서로 서명된 wire.exe·wire.dll·upWire.exe 세 파일은 2025년 9월부터 2026년 1월까지 순차적으로 제출되며 계속 유통되고 있다. 같은 패턴이 INNOVATIVE CONNECTING PTE.
#코드서명남용#만료인증서#PBot스틸러#VPN위장멀웨어#BrightData#인증서회전#브랜드사칭도메인#Evilnum행위자Evilnum · DeathStalkerIOCf21 · i22 · d45 · u3MITRE18
C&C회원 전용2026년 7월 10일 09:03 (UTC+9)정상 서명 인증서 3종, 절반 가까운 AV는 악성인데 샌드박스는 클린
중국계 소프트웨어 벤더 세 곳의 이름으로 발급된 DigiCert 코드 서명 인증서가, 정작 그 인증서로 서명된 설치 파일들을 AV 엔진 최대 47/77개가 악성/애드웨어로 판정하는 상황이 확인됐다. Shanghai Oriental Webcasting Co. Ltd.(万能五笔输入法 계열), Shenzhen Kaixin Kangaroo Technology Co., Ltd.(开心看图王 계열), Shanghai 2345 Mobile Technology Co., Ltd.(2345Pic 생태계) — 세 개의 서로 다른 서명자 정체성이 각각 8개, 6개, 5개 파일 군집을 만들어내고 있으며, 이 파일들은 모두 "Signed: Signed" 상태로 정상 발급된 Code Signing 체인을 달고 있다. 그런데 같은 파일을 두 개의 샌드박스(Zenbox, C2AE)에 넣으면 대부분 "harmless"·"CLEAN"·"UNKNOWN_VERDICT"로 튕겨져 나온다.
#코드서명인증서악용#CDN브랜드위장#애드웨어#C2서버#중국소프트웨어벤더#샌드박스탐지회피#Huawei위장인증서#SaltySpider행위자Salty Spider · KuKuIOCf25 · i11 · d1 · u1MITRE32
C&C회원 전용2026년 7월 10일 08:48 (UTC+9)인증서 하나, IP 하나 — buffernavpose.com이 드러낸 최소주의 C2
update.buffernavpose.com과 errors.buffernavpose.com, 서로 다른 역할을 표방하는 두 서브도메인이 실제로는 완전히 동일한 자가서명 TLS 인증서를 걸치고 있다. 시리얼 넘버 6f4f244f4be4eb69928088d4a1bb2980aff1f5cf, 발급자·주체 CN이 문자 그대로 *.malware.com으로 찍혀 있고 조직명은 OpenSSL 데모 인증서의 기본값인 "Internet Widgits Pty Ltd" 그대로다. 두 호스트는 34.209.195.255라는 단일 IP로 귀결되며, 등록 기관은 Dynadot Inc, 2018년 5월 12일 생성된 동일 apex 도메인의 서브도메인일 뿐이다. 업데이트 채널과 오류 보고 채널이라는 별개의 기능처럼 보이던 두 엔드포인트가, 실제로는 인증서·IP·등록 정보라는 세 개의 축에서 완전히 겹치는 단일 백엔드였던 셈이다. 이 사례가 흥미로운 이유는 규모가 아니라 구조다.
#APT28#shlayer#PUP#애드웨어#자가서명인증서#C2폴링#Dynadot#에너지산업행위자APT28 · StrontiumIOCf2 · i0 · d2 · u36MITRE15산업에너지
APT회원 전용2026년 7월 10일 08:36 (UTC+9)유니온페이 위장 인증서 하나로 묶인 中 애드웨어 서버 15곳
중국계 애드웨어 유통망을 추적하다 보면 종종 이상한 장면을 만난다. 서로 다른 통신사, 서로 다른 지역에 흩어진 서버들이 마치 한 몸처럼 똑같은 TLS 인증서를 내걸고 있는 경우다. 이번에 CTX Team이 수집한 지표 세트에서도 그런 장면이 나왔다. China Unicom(AS4837), China Mobile(AS9808), China Telecom 계열의 여러 지역 넷블록(AS58539, AS138169, AS141998)을 포함해 9개의 서로 다른 ASN에 흩어진 IP 20개 가운데 최소 15개가, 인증서 일련번호 b16a258a252d804ceb0eb5ba860f3e5 하나를 공유하며 *.unionpayintl.com을 자처하는 TLS 인증서를 내걸고 있었다. 발급자는 DigiCert Basic OV G2 TLS CN RSA4096 SHA256 2022 CA1이고, 유효기간은 2025-09-30부터 2026-10-31까지다.
#유니온페이#애드웨어#코드사이닝인증서#CDN위장#차이나유니콤#PubNubRAT#FIN6#APT37행위자FIN6 · Skeleton SpiderIOCf84 · i25 · d2 · u1MITRE29
C&C회원 전용2026년 7월 10일 04:33 (UTC+9)OilRig 라벨 뒤 실체는 자기전파 봇넷 Prometei
이번에 확인된 4개 파일·1개 IP로 구성된 인디케이터 묶음은 업스트림 피드에서 이란 국가 연계 행위자 OilRig(APT34)의 espionage 캠페인으로 분류돼 심각도 100, 신뢰도 85라는 높은 점수를 받았다. 그러나 실제로 특징이 확인된 세 개 파일의 포렌식 흔적을 따라가 보면 전혀 다른 그림이 나온다. 커뮤니티 YARA 룰과 CAPE Sandbox의 패밀리 태깅이 세 파일 모두를 자기 전파형 SSH/RDP 봇넷 Prometei로 지목하고 있고, 이 라벨과 실제 관측 증거 사이의 간극은 CTX Team이 이 캠페인을 재구성하는 과정에서 가장 먼저 부딱힌 문제였다. 피드 레벨의 행위자·패밀리 태그(ramnit)는 이 데이터 조각 어디에서도 포렌식 근거를 찾지 못했고, 대신 서로 다른 상업 백신 라벨을 가진 파일들이 동일한 디버그 경로 아티팩트로 묶이는 구조가 드러났다. 이 글은 그 불일치의 실체와, 그 불일치가 왜 위협 인텔리전스 소비자에게 중요한 경고 신호인지를 짚는다.
#OilRig#APT34#Prometei#봇넷#SSH전파#통신산업#C2인프라#크립토마이닝행위자OilRig · APT34IOCf4 · i1 · d0 · u0MITRE9산업통신
APT회원 전용2026년 7월 10일 02:42 (UTC+9)imphash 하나로 드러난 완성형 AD 공격 툴킷
이번에 CTX Team이 들여다본 표본군은 처음 봤을 때는 그저 잡다한 해킹툴 모음처럼 보인다. 하지만 파일 하나하나의 표면 라벨을 걷어내고 빌드 단위의 지문을 맞춰보면 전혀 다른 그림이 드러난다. SharpHound.exe(61f897ed6964…), Certify.exe(a688439ddf90…), Rubeus.exe(471a515a58f5…), DefenderCheck.exe(0f682f4adf02…), 그리고 threat_label조차 붙지 않은 'RandomName.exe'라는 이름의 드로퍼(76fe53df3a9b…)까지 — 이름과 기능이 전부 다른 이 다섯 개 이상의 도구가 imphash f34d5f2d4577ed6d9ceec516c1f5a744 라는 동일한 값을 공유한다.
#SharpHound#mimikatz#Rubeus#Certify#DefenderCheck#ActiveDirectory#Sandworm#APT27행위자Sandworm · QuedaghIOCf106 · i0 · d2 · u18MITRE22
FILE회원 전용2026년 7월 9일 19:04 (UTC+9)AS214351 서버는 그대로, 페이로드만 통째로 교체됐다
지난 며칠 사이 새로 수집된 9개의 실행파일이 모두 처음 관측된 인디케이터라는 사실보다 더 눈에 띄는 대목은, 이 파일들이 향하는 명령제어(C2) 인프라가 단 하나도 새것이 아니라는 점이다. CTX Team이 이번에 확인한 3개의 IP — 62.60.226.159, 196.251.107.104, 196.251.107.130 — 는 모두 독일에 소재한 AS214351(Femo IT Solutions Limited) 네트워크 블록 안에 그대로 남아 있다. 즉 인프라의 좌표는 고정된 채, 그 위에 얹힌 페이로드 구성만 완전히 갈아치워진 셈이다. Amadey 다운로더가 문을 열고, 그 뒤로 Stealc v2 인포스틸러와 ClipBanker 계열 클립보드 하이재커가 순차적으로 올라타는 다단계 크라임웨어 체인이 이번 관측 창의 핵심이다. 그리고 그 C2 패널 중 하나는 암호화폐 거래소 kucoin.sh를 그대로 베낀 TLS 인증서를 두르고 있었다.
#Amadey#Stealcv2#ClipBanker#AS214351#FemoITSolutions#kucoin.sh사칭#크라임웨어체인#베트남통신산업IOCf9 · i3 · d0 · u10MITRE48지역VN산업통신
C&C회원 전용2026년 7월 9일 18:51 (UTC+9)KuCoin 흉내낸 인증서, 3개 IP 소형 호스팅서 C2 가동
독일에 등록된 소규모 호스팅 사업자 AS214351(Femo IT Solutions Limited) 위에서, 서로 다른 두 개의 정체를 뒤집어쓴 C2 인프라가 동시에 관측됐다. 62.60.226.159는 암호화폐 거래소 KuCoin을 흉내 낸 'kucoin.sh'(SAN: security.kucoin.sh, www.kucoin.sh) 도메인용 Let's Encrypt 인증서를, 196.251.107.104는 'billyfarrellscam.com'이라는 스캠베이팅 성격의 도메인용 인증서를 각각 서빙하고 있었다. 두 인증서 모두 발급 유효기간이 정확히 89일로 동일하고, 62.60.226.159 쪽은 2026년 6월 24일부터 9월 22일까지, 196.251.107.104 쪽은 나흘 뒤인 6월 28일부터 9월 26일까지 유효한 것으로 확인된다.
#KuCoin사칭#FemoITSolutions#AS214351#클립보드하이재킹#Exodus지갑탈취#텔레그램세션탈취#스틸러로그유통#C2인프라IOCf32 · i3 · d0 · u9MITRE56지역DE · VN산업통신
APT회원 전용2026년 7월 9일 18:41 (UTC+9)svchost 위장 드롭퍼, Tor 릴레이로 C2 통신
시스템 프로세스 이름을 그대로 베낀 실행 파일 한 개가 CTX Team의 이번 관측에서 가장 뚜렷한 신호를 남겼다. 문제의 바이너리(SHA256 0492c19f21fae3e2718a78444f2811d6b3524bdecc16a8dcbfe8b0e16df7a38e)는 VirusTotal 기준 47/77개 엔진에서 트로이목마로 탐지됐고, 위협 라벨은 trojan.dekimine, 대중 분류는 트로이목마·마이너·다운로더로 걸려 있다. 이 파일이 눈에 띄는 이유는 단순한 탐지율 수치가 아니라, 실행부터 은폐, 정찰, 그리고 명령제어(C2)까지 하나로 이어지는 행위 사슬이 비교적 온전하게 재구성된다는 점이다. 파일은 자신을 %APPDATA%\pwo6\svchost.exe라는 경로에 심어두고, 동시에 임시 폴더에 xrshgetw.exe, klyhinav.exe라는 이름의 사본을 남긴다.
#트로이목마#UPX패킹#Tor통신#WMI정찰#APT-C-35#DonotTeam#루마니아인프라#코인마이너행위자APTC35 · Donot TeamIOCf58 · i3 · d0 · u1지역PL
FILE회원 전용2026년 7월 9일 10:53 (UTC+9)도메인 7개 인증서 발급자 하나, 정형화된 크랙 배포망
지난 2주간 확인된 이번 캠페인의 인프라를 들여다보면 눈에 띄는 것은 개별 도메인이 아니라 그 도메인들을 찍어낸 방식이다. 조사 대상 도메인 7개 가운데 5개 — cartmask.xyz, fluxautomation.cc, microlsireqjn.com, rabbitsbird.info, silversongs.info — 가 모두 Google Trust Services의 동일한 중간 CA 'WE1'로부터 인증서를 발급받았고, 그 발급 시점은 2026년 6월 6일부터 7월 7일까지 약 한 달 사이에 몰려 있다. 서로 무관해 보이는 도메인들이 같은 CA 중간체를 통해 거의 같은 주기로 인증서를 갱신하는 패턴은, 각 도메인이 독립적으로 등록·운영됐다기보다 하나의 provisioning 파이프라인에서 순차적으로 찍혀 나왔다는 것을 강하게 시사한다.
#WE1인증서#Namecheap#Cloudflare#KMSpico크랙#Lumma스틸러#ClipBanker#NSIS패키징#코드사이닝위장IOCf5 · i1 · d7 · u14MITRE52지역CH · KE · US산업숙박·레저 · 기술·IT
APT회원 전용2026년 7월 9일 10:43 (UTC+9)인보이스 위장 JScript, 잠들었다 깨어나 외부IP부터 확인
7월 초 관측된 이 다운로더 웨이브에서 가장 먼저 눈에 들어오는 것은 파일명이 아니라 행동이다. 확인된 UTF-16 인코딩 JScript 파일(threat_label trojan.hdjsfn/htjs, VirusTotal 탐지 30/74)은 'Comprobante de pago.js', 'cotización___pdf.js', 'Orden de compra_27463.js' 같은 스페인어 상거래 문서명으로 반복 제출됐다 — 결제확인서, 견적서, 구매주문서라는 세 가지 다른 포장지를 두른 동일한 페이로드라는 뜻이다. 그리고 이 파일에는 long-sleeps, idle이라는 태그가 명시적으로 붙어 있다. 즉 실행 직후 바로 악성 행위를 드러내지 않고 의도적으로 대기 상태에 머무는 로직이 내장돼 있다는 것이 데이터로 확인된다. 이 지연 실행은 단순한 우연이 아니라 시간 기반 샌드박스 회피(T1497.003)로 읽을 수 있는 설계다.
#TA505#rockloader#인보이스다운로더#샌드박스회피#스피어피싱#VPS인프라재활용#SSL인증서#상거래문서위장행위자TA505 · Hive0065IOCf2 · i1 · d0 · u2지역BD · DE · ES · FR산업상업 서비스 · 건설 · 포장·용기
C&C회원 전용2026년 7월 8일 18:49 (UTC+9)라벨은 11개, 몸통은 하나 — 스틸러 뒤엔 같은 로더
VirusTotal이 서로 다른 패밀리로 갈라놓은 세 개의 파일이, 사실은 같은 코드 조각을 공유하고 있었다. 10.5MB 크기의 EmailCheckerPro 2.0.exe(f7903f76ad3c…, 56/76 탐지)와 253KB의 WindowsHost.exe(2e309c9c67e7…, 55/75 탐지), 그리고 333KB의 무명 실행파일(e1743a2f00c3…, 42/76 탐지)은 각각 threat_label이 trojan.stealc/marte, trojan.clipbanker/tedy, trojan.mikey/bank로 완전히 다르게 매겨져 있다. 그런데 세 파일 모두에서 YARA 룰 INDICATOR_SUSPICIOUS_ReflectiveLoader와 ReflectiveLoader가 동시에 발화한다. 안티바이러스 엔진들은 이들을 별개의 위협으로 분류했지만, 실제로는 동일한 리플렉티브 로딩 스텁이 서로 다른 "브랜드"의 페이로드를 감싸고 있는 셈이다.
#Stealc#클립뱅커#Amadey#리플렉티브로더#CMSTPUAC우회#BYOVD드라이버#AS214351#홍콩IOCf11 · i4 · d0 · u10MITRE20지역HK