C&C회원 전용2026년 7월 8일 02:44 (UTC+9)스틸러·클립뱅커·로더, 하나의 C2 패널서 뭉쳤다
CTX Team이 이번에 새로 확인한 8개의 악성 실행파일은 표면적으로는 서로 다른 5개 계열로 분류된다. StealC v2 계열의 정보 탈취형 스틸러, 클립보드 주소를 바꿔치는 클립뱅커 4종, 범용 로더로 분류된 PowerLoader, 그리고 Rhadamanthys 라벨이 붙은 파일까지 — VirusTotal 위협 라벨만 보면 서로 무관한 개별 침해로 보일 법하다. 그러나 이 8개 파일을 하나로 묶는 것은 놀랍게도 공통 서명자나 공통 배포 경로가 아니라, 동일한 명령제어(C2) 패널 경로다. 4개의 IP 모두가 정확히 동일한 /diamo/data.php URI를 서비스하고 있으며, 이 경로는 서로 다른 두 개의 자율시스템(AS202412 Omegatech LTD, AS44208 Farahoosh Dena PLC)과 독일·네덜란드·이란 세 국가에 걸쳐 재현된다. 주목할 점은 이 인프라 자체는 이번 관측에서 전혀 새로 추가되지 않았다는 사실이다.
#StealC#클립뱅커#PowerLoader#Rhadamanthys#Diamotrix#C2패널#리플렉티브로더#브라우저자격증명탈취IOCf8 · i4 · d0 · u8MITRE48지역ES
FILE회원 전용2026년 7월 7일 18:55 (UTC+9)2012년 일괄등록 도메인, 십수년 뒤 PUP 배포망으로 재확인
브라질의 대표적 소프트웨어 다운로드 포털 'Baixaki'를 흉내 낸 도메인 baixakialtcdn.com과 그 하위 도메인 os.baixakialtcdn.com, os2.baixakialtcdn.com — 이 세 개의 도메인은 서로 다른 시점에 만들어진 것이 아니다. WHOIS 레코드를 보면 셋 모두 등록일이 정확히 2012-10-23T14:45:44Z로 일치하고, 등록 대행사 역시 동일하게 'PDR Ltd. d/b/a PublicDomainRegistry.com'이다. 등록인 정보는 Privacy Protect, LLC 뒤에 가려져 있지만, 하나의 트랜잭션에서 apex 도메인과 두 개의 운영 서브도메인이 한꺼번에 발급됐다는 사실 자체가 이 인프라가 처음부터 하나의 배포 체계로 설계됐음을 보여준다. 여기에 os.와 os2.
#DealPly#PUP#Baixaki#PDRLtd#AzionCDN#코드사이닝위장#도메인일괄등록#브라질IOCf8 · i2 · d3 · u5MITRE34지역BR
FILE회원 전용2026년 7월 7일 11:09 (UTC+9)5년 전 Emotet 매크로 문서, 절반만 탐지망에 걸렸다
2020년 10월 16일 오전 6시 31분에 생성된 것으로 기록된 한 워드 문서가, 최근 위협 피드에서 다시 수면 위로 올라왔다. 파일명은 "C_TC1172318288BM.doc"이며 VirusTotal 기준 탐지율은 46/77 — 절반 이상의 엔진이 이를 악성으로 분류했지만, 12개 엔진은 아예 "파일 형식 미지원"으로 응답을 회피했고 17개는 완전히 놓쳤다. CTX Team이 이번에 확인한 것은 신규 캠페인의 등장이 아니라, 오래된 Emotet 계열 매크로 다운로더 한 건이 여전히 상당수 백신 엔진의 탐지 사각지대에 걸려 있다는 사실 그 자체다. 위협 라벨은 "downloader.w97m/emotet", 별칭 목록에는 "emodldr"이 포함돼 있어 — 이 파일이 무엇을 하도록 설계됐는지에 대한 의문의 여지는 크지 않다.
#Emotet#TA542#매크로다운로더#피싱문서#샌드박스탐지#도메인분석#오스트리아#위협인텔리전스행위자Emotet Group · TA542IOCf4 · i0 · d2 · u4지역AT
APT회원 전용2026년 7월 7일 10:44 (UTC+9)XMRig, RuntimeBroker로 위장…헥스 Temp 폴더에 흔적
파일명 하나가 눈에 걸린다. VirusTotal에서 56/75 엔진이 악성으로 판정한 2895KB짜리 실행 파일의 대체 이름 목록에는 xmrig.exe와 함께 RuntimeBroker.exe가 나란히 올라 있다. 윈도우 정품 프로세스 이름을 그대로 가져다 쓴 이 위장(T1036.005로 해석 가능)은, 해당 바이너리의 product 필드에 여전히 XMRig, copyright에 Copyright (C) 2016-2019 xmrig.com이 박혀 있는 것과 대비된다 — 즉 채굴 엔진의 정체를 감추려는 시도와, 감추지 못한 메타데이터가 한 파일 안에서 동시에 관측된다. 이번에 CTX Team이 들여다본 여섯 개 파일·두 개 IP·한 개 도메인으로 구성된 지표 세트는, 표면적으로는 하나의 잘 짜인 캠페인처럼 보이지 않는다. 오히려 흥미로운 지점은 정반대다.
#XMRig#RuntimeBroker#크립토재킹#SaltySpider#Sality#Akamai위장인증서#소매업#리소스하이재킹행위자Salty Spider · KuKuIOCf6 · i2 · d1 · u1MITRE32지역US산업소매·유통
FILE회원 전용2026년 7월 6일 19:21 (UTC+9)15년 잠든 도메인, 인증서 하나로 되살아나다
2008년 2월 19일 Bluehost를 통해 등록된 도메인 carltonbaggies.com은 이 기록에서 가장 오래된 자산 중 하나다. 등록 후 대부분의 기간 동안 이 도메인이 정상적으로 서비스되고 있었는지 아니면 그냥 방치돼 있었는지를 보여주는 흔적은 없지만, 확실한 건 2026년 6월 22일 기준으로 이 도메인이 더 이상 죽어 있지 않다는 사실이다. carltonbaggies.com은 현재 154.26.154.172라는 IP로 해석되며, 이 IP는 Contabo Asia Private Limited(AS 141995, 호주 소재)가 소유한 네트워크 대역(154.26.152.0/21)에 속해 있다. 여기서 눈에 띄는 건 단순한 A 레코드 매칭이 아니다.
#Silence#ContractCrew#WhisperSpider#BankDocuments2805#carltonbaggies.com#TLS인증서재사용#도메인재활성화#은행문서피싱행위자Silence · Contract CrewIOCf7 · i2 · d6 · u2MITRE43
APT회원 전용2026년 7월 6일 18:48 (UTC+9)독일 호스팅 클러스터에 노드 두 개 더, 인증서만 세탁
지난 며칠 사이 새로 관측된 8개의 악성 실행파일과 함께, 독일에 위치한 동일 호스팅 클러스터에 IP 두 개가 추가로 편입됐다 — 196.251.107.104와 196.251.107.130이다. 두 IP 모두 AS214351, 소유자 표기 Femo IT Solutions Limited 산하 네트워크 196.251.107.0/24에 속하며, 기존에 CTX Team이 이전 보도에서 다뤘던 StealC v2·Chrome 우회 캠페인의 C2 인프라와 완전히 같은 지번을 쓴다. 새 인프라가 등장한 게 아니라, 기존에 쓰던 자리에 노드가 하나씩 더 꽂히고 있는 모양새다. 이번 스냅샷에서 눈에 띄는 것은 페이로드 쪽의 다양화보다, 이 호스팅 뭉치가 얼마나 정교하게 "정상 TLS처럼 보이는" 위장을 반복하고 있는가다.
#StealCv2#RedLine#Amadey#Carberp#AS214351#Let'sEncrypt인증서위장#호스팅인프라#암호화폐표적행위자APT28 · StrontiumIOCf8 · i7 · d0 · u15MITRE28지역JO
FILE회원 전용2026년 7월 6일 02:52 (UTC+9)엘든링 런처 위장 악성코드, 정적탐지 52건에도 샌드박스는 침묵
인기 게임 'Elden Ring'의 런처 파일을 가장한 바이너리 하나가 CTX Team의 위협 피드에 포착됐다. 파일명은 'Elden Ring.exe'와 'Launcher Elden Ring.exe' — 게이머라면 별다른 의심 없이 실행할 만한 이름이다. 그런데 이 파일(SHA256: 32f34fb30fd47ab761e94306bc30432cd41d67309ab1e6b2599be2d70d3bd285)을 둘러싼 탐지 신호에는 눈에 띄는 균열이 있다. VirusTotal 기준 정적 엔진 75개 중 52개가 이를 악성으로 판정했지만, 실행 시점의 행동을 관찰하는 샌드박스 2곳(Zenbox, C2AE)은 하나같이 "깨끗하다"는 판정을 내렸다. 서명 여부, 파일명 위장, 이 정적-동적 탐지 간극, 그리고 유일하게 관측된 네트워크 신호인 낮은 심각도의 IDS 룰 하나까지 — 이 기사에서 다룰 재료는 사실 이 파일 하나와 그 파일을 지지하는 도메인 하나뿐이다.
#엘든링위장#트로이목마#스노우글로브#애니멀팜#바바르백도어#태국통신#정적동적탐지간극#koodgame.com행위자Snowglobe · Animal FarmIOCf3 · i0 · d1 · u0MITRE22지역TH산업통신
C&C회원 전용2026년 7월 6일 02:41 (UTC+9)24개 IP, 몇 개의 인증서로 묶인 中 CDN발 C2 인프라
시리얼 넘버 d3d9e9261c1c88d957e704d69617a469. 이 하나의 TLS 인증서가 서로 다른 두 통신사 네트워크에 걸쳐 여섯 개의 IP에서 동시에 서비스되고 있다. 180.101.190.147, 180.101.190.78, 180.101.190.114는 장쑤 우시 국제 IDC 네트워크(AS138950) 소속이고, 180.163.196.140, 180.163.203.99, 180.163.55.126은 China Telecom(AS4811) 소속이다. 발급 기관은 중국계 CA 벤더 sslTrus(RSA) OV CA이며, subject는 .2345.com, SAN에는 .2345.cn, *.hao774.com이 나란히 걸려 있다. 유효기간은 2025-10-14부터 2026-11-08까지, 여섯 노드 모두 마지막 인증서 관측일이 2026-06-30으로 동일하다. 이 배열은 우연이라고 보기 어렵다.
#Phorpiex#ChinaTelecom#ChinaUnicom#알리바바클라우드#PUA설치파일#코드사이닝#쿠버네티스#CDN인프라IOCf3 · i24 · d0 · u0MITRE20지역TW
FILE회원 전용2026년 7월 5일 16:36 (UTC+9)21대 77, 5대 77 — 같은 EV 인증서가 감싼 두 얼굴
Win32 설치 파일 두 개가 정확히 동일한 서명 체인 아래 나란히 놓여 있다. 하나는 VirusTotal 76개 엔진 가운데 21개가 악성으로 판정했고(21/77), 다른 하나는 단 5개 엔진만 반응했다(5/77). 두 파일의 imphash는 efd45583…와 d9022e87…로 완전히 다르고, 파일 크기도 1,916KB와 3,492KB로 1.8배 차이가 난다. 그런데도 서명자 필드를 열어보면 두 파일 모두 "SOFTONIC INTERNATIONAL SA; Sectigo Public Code Signing CA EV R36"라는 동일한 체인 아래, 시리얼 번호 4F 1D A8 90 B7 3E B6 D3…, 서명 시각 2025년 6월 24일 오후 4시 20분으로 정확히 일치한다. 하나의 EV 코드사이닝 인증서가 서로 다른 두 개의 실행 파일을 동시에 감싸고 있는 셈이다.
#코드사이닝인증서#Sectigo#Softonic#애드웨어#이름위장#CloudFront#PUP번들러#DustSquad행위자DustSquad · APTC34IOCf2 · i0 · d1 · u2MITRE16지역EC
C&C회원 전용2026년 7월 5일 11:49 (UTC+9)십 년 묵은 깨진 바이너리, 여전히 엔진 13개 우회
VirusTotal 기준 45/58개 엔진이 악성으로 판정하면서도 13개 엔진이 여전히 놓치는 Win32 실행 파일 한 점이 있다. 해시 14e9e0bee5f6…9bfaa9b, 최초 제출일은 2015-10-21로, 이미 십 년 넘게 위협 인텔리전스 생태계를 떠돌고 있는 샘플이다. 파일 자체는 신규성이 전혀 없다. 그런데도 이 샘플이 다시 주목받는 이유는 단순하다 — import 테이블이 완전히 비어 있고(import_count 0), .ext라는 이름의 섹션이 엔트로피 7.95를 기록하면서 실제로는 존재할 수 없는 크기(4,278,227,200바이트)로 기록돼 있다는 점이다. 정상적인 PE 링커가 만들어낼 수 없는 이 구조는 태그 corrupt, overlay로 분류돼 있으며, 여기에 via-tor 태그까지 붙어 있어 이 파일이 Tor 익명화 채널을 거쳐 유통·수집된 정황을 시사한다.
#ranapama#인젝터#corruptPE#via-tor#C2인프라#Let'sEncrypt인증서#방탄호스팅#정적탐지회피IOCf1 · i37 · d0 · u5MITRE31지역US산업소매·유통
C&C회원 전용2026년 7월 4일 19:54 (UTC+9)러시아 서브넷서 njRAT 페이로드 이중화, 위조 포티넷 인증서까지
러시아 RIPE 대역에 새로 등장한 두 개의 IP가 njRAT/Bladabindi 계열 캠페인의 인프라 지형을 바꿔놓았다. 176.111.174.140과 176.111.174.177은 모두 NUBES LLC가 소유한 AS212136 소속으로, 같은 /24 네트워크(176.111.174.0/24) 안에 위치하며 두 호스트 모두 동일한 URL 경로 /bin/bot64.bin으로 페이로드를 서빙한다. 이는 우연히 인접한 두 서버가 아니라, 하나의 운영 주체가 동일한 배포 경로를 복제해 이중화한 결과로 읽힌다. 지금까지 이 캠페인의 명령제어(C2) 인프라는 blogspot.com, onrender.com, pages.dev, dynv6.net 같은 무료 클라우드·PaaS 플랫폼에 전적으로 의존해 왔다는 것이 이전까지의 관측이었는데, 이번에 새로 확인된 두 IP는 그 그림에 처음으로 '전용 호스팅'이라는 층을 하나 더 얹었다.
#njRAT#Bladabindi#RedLine#NUBESLLC#위조인증서#FortiGate#dynv6#C2인프라IOCf10 · i3 · d5 · u7MITRE45지역AE산업제조
C&C회원 전용2026년 7월 4일 03:47 (UTC+9)동일 ASN에 몰린 C2 IP 4개, 2015년 다운로더와 한 레코드에
CTX Team이 이번 주 관측한 다운로더 계열 클러스터에서 가장 눈에 띄는 신호는 악성코드 그 자체가 아니라 인프라 쪽에서 나왔다. 173.248.16.79, 173.248.20.145, 173.248.29.213, 173.248.31.6 네 개의 IP가 모두 동일한 /18 네트워크 대역인 173.248.0.0/18 안에 위치하며, 동일한 미국 소재 ASN — AS26472, 소유자 Mosaic Telecom — 아래 묶여 있다는 사실이다. 네 노드가 하나의 소규모 할당 블록에 몰려 있다는 점 자체는 놀랍지 않을 수 있지만, 이 레코드에서는 이 네 IP가 유일하게 서로 기술적으로 응집된 지표군이라는 점에서 무게가 실린다. 반면 같은 레코드에 딸린 파일 지표는 단 하나뿐이고, 그 파일은 이 IP 군집과 아무런 직접적 연결점(임포트해시, 서명자, 위협 라벨)을 공유하지 않는다. 이 레코드는 카테고리상 'c2-servers'로 분류돼 있고 태그는 'downloader' 하나뿐이다.
#MosaicTelecom#AS26472#다운로더#C2서버#이탈리아#식음료업계#패킹실행파일#위협인텔리전스IOCf3 · i4 · d0 · u5MITRE13지역IT산업식음료
C&C회원 전용2026년 7월 3일 11:48 (UTC+9)다른 트로이 두 개, 같은 크립터 지문으로 묶이다
이번 주기에 새로 관측된 인디케이터는 정확히 두 개의 파일뿐이지만, 그 둘이 서로를 가리키는 방식이 흥미롭다. 하나는 CMSTP COM 인터페이스를 악용해 UAC 프롬프트 없이 권한을 끌어올리는 스틸러형 트로이(8cf4ae00…6cd, 이하 'UAC 우회 스틸러')이고, 다른 하나는 자신의 PE 버전 정보를 SearchIndexer와 lsass.exe로 위장한 드롭퍼(8851510c…ad6, 이하 'lsass 위장 드롭퍼')다. VirusTotal 위협 라벨은 각각 trojan.stealer/bypassuac와 trojan.phil/mint로 서로 다르고 imphash도 다르다. 그런데 두 파일 모두 크라우드소스 YARA 룰 SUSP_XORed_Mozilla_Oct19을 동시에 발화시키고, PE 컴파일 타임스탬프가 2026-05-20로 완전히 일치하며, PE 헤더의 머신 타입 값도 34404로 같다.
#CMSTPUAC우회#lsass위장드롭퍼#XOR크립터#TA428#AS214351#rawIPC2#스틸러#샌드박스회피행위자TA428 · ThunderCatsIOCf2 · i3 · d0 · u6MITRE30지역CH · JO산업식음료 · 정부·공공 · 지원 서비스
APT회원 전용2026년 7월 1일 21:58 (UTC+9)RFQ 위장 RAR 파일로 35개국 노린 Formbook 자격증명 수집 작전
2026년 6월 초, 조달·구매 담당자를 겨냥한 이메일 한 통이 35개국 기업 네트워크를 향해 발송됐다. 첨부 파일명은 RFQ_780236427.rar — 거래처에서 날아온 평범한 견적 요청서처럼 보이는 7KB짜리 압축 파일이었다. 그러나 아카이브 내부에는 Swift_advise_40k$.js라는 이름의 71KB JavaScript 드로퍼가 숨어 있었고, 이 스크립트는 WMI 호출과 장시간 슬립(long-sleep) 대기를 조합해 샌드박스 분석을 지연시킨 뒤, Let's Encrypt 와일드카드 인증서로 포장된 HTTPS 채널을 통해 Formbook 인포스틸러를 내려받도록 설계돼 있었다. CTX Team이 추적 중인 이 캠페인은 TA505(Hive0065, Spandex Tempest, Graceful Spider, Chimborazo, Monty Spider 등 다수의 추적명으로 알려진 행위자)에 귀속되며, 위협 식별자 CTX42bmiv2fmf로 등록됐다.
#TA505#Formbook#rockloader#JavaScript드로퍼#WMI실행#샌드박스회피#조달·도매업표적#인포스틸러행위자TA505 · Hive0065IOCf3 · i0 · d1 · u2지역AE · AU · BG · CA산업농업 · 정부·공공 · 숙박·레저
FILE공개2026년 7월 1일 17:17 (UTC+9)구형 NanoCore RAT, 안티디버그 3종 무장하고 DuckDNS로 은신
새로 카탈로그에 오른 Win32 실행 파일 한 점이 눈에 띄는 이유는 페이로드 자체가 아니라 그 위에 얹힌 방어 회피 스택 때문이다. 해시 6427336ade955128d895921dbb9bbcc379ad910690ff63f6deff3794a2086c8c(이하 6427336a)는 서명 없는 PE32 GUI 실행 파일로, VirusTotal 기준 59/77 엔진이 악성으로 탐지했고 VMRay·C2AE·Zenbox 세 개 샌드박스가 모두 malicious 판정을 내렸다. 위협 라벨은 trojan.midie/nanobot, 벤더 공통 명칭에는 midie·nanobot·msil이 뒤섞여 있지만 샌드박스 세 곳이 공통으로 지목한 실제 실행 계열은 NanoCore RAT다. 흥미로운 대목은 이 파일이 완전히 새로운 변종이 아니라, 오래전부터 유통되던 상용 RAT를 감쪽같이 감싼 anti-analysis 계층이라는 점이다.
#NanoCoreRAT#CodosoAPT19#DuckDNS#다이너믹DNSC2#안티디버그#샌드박스회피#상용RAT#PE실행파일행위자Codoso · Sunshop GroupIOCf2 · i0 · d1 · u0MITRE17
C&C회원 전용2026년 7월 1일 14:51 (UTC+9)도메인 없는 C2, 세 악성코드가 같은 IP 좌표 공유
탐지 라벨이 서로 다른 세 개의 실행 파일이 공교롭게도 정확히 같은 IDS 룰에 걸렸다. POLICY-OTHER HTTP request by IPv4 address attempt — 도메인을 거치지 않고 dotted-quad IP로 직접 HTTP 요청을 보낼 때만 발화하는 이 룰이 트로이목마 carberp/explorerhijack으로 라벨링된 3cea9df…12e097, stealc/bazloader로 잡힌 e78c9ae…8a41f93, amadey/lumma로 분류된 de05caad…87ec0 세 파일에서 동시에 관측됐다. 세 샘플의 threat_label은 전혀 다르지만 통신 방식은 하나로 겹친다 — 도메인 계층을 아예 건너뛰고 196.251.107.104와 196.251.107.130이라는 두 개의 IP로 곧장 붙는 구조다.
#Amadey#Stealc#ClipBanker#WoodyRAT라벨불일치#direct-IPC2#커머디티크라임웨어#독일호스팅#PyInstallerIOCf9 · i2 · d0 · u2MITRE21지역KW
C&C회원 전용2026년 7월 1일 06:15 (UTC+9)msvcp110.exe 위장 .NET 코인마이너, MSIL/Bobik 드로퍼 자리 교체
Microsoft Visual C++ 재배포 가능 패키지 런타임으로 위장한 .NET 코인마이너가 새 페이로드로 등장했다. SHA256 52dcf74bc12a1d627847054f516c6689156401b8adff8bf386081d0ca9001a89로 식별되는 이 파일은 PE32+ .NET 어셈블리로, 크기 774KB에 VirusTotal 탐지율 53/74를 기록하며 위협 라벨 trojan.msil/coins가 부여됐다. 파일명 msvcp110.exe는 정상적인 Visual C++ 런타임 라이브러리 msvcp110.dll을 연상시키도록 설계됐으며, 실제 배포 경로는 C:\Users\[user]\AppData\Roaming\msvcp110_win\msvcp110.exe로 사용자 프로필 하위 디렉터리에 위치한다.
#코인마이너#MSIL/Bobik#XMRig#nanopool.org#이라크#한국#터키#ContaboIOCf2 · i1 · d0 · u3MITRE36지역IQ · KR · TR
APT회원 전용2026년 6월 30일 19:33 (UTC+9)정적 임포트 0인 'svchow.dll', 요르단 식음료 겨냥 Kimsuky 정찰 페이로드
서명되지 않은 112KB 크기의 PE32 DLL이 요르단 식음료 산업을 겨냥한 정찰 캠페인의 핵심 페이로드로 확인됐다. 이 DLL은 Windows 정상 프로세스 svchost.dll의 이름을 'svchow.dll'로 변형한 타이포스쿼트(typosquat) 파일명을 사용하며, C:\Users\user\AppData\Local\ 및 C:\Users\Admin\AppData\Local\ 경로에 배치돼 위장(T1036 Masquerading)과 비표준 경로 DLL 지속성(T1547 Boot or Logon Autostart Execution)을 동시에 달성한다. PE 컴파일 타임스탬프는 2018년 7월 17일이며, 최초 제출일은 4일 뒤인 2018년 7월 21일로, 빌드 직후 신속히 유포된 정황이 확인된다.
#Kimsuky#정찰#요르단식음료산업#타이포스쿼트#svchow.dll#동적API해석#샌드박스회피#ago2.co.kr행위자Kimsuky · Velvet ChollimaIOCf15 · i0 · d1 · u2MITRE26지역JO산업식음료
APT회원 전용2026년 6월 30일 18:56 (UTC+9)파일 78건 쏟아져도 C2 도메인은 하나 — 요르단 겨눈 StrongPity
Promethium(StrongPity, APT-C-41로도 알려짐) 계열의 위협 인프라를 추적하는 과정에서, 요르단의 식음료 산업을 표적으로 삼은 것으로 확인된 한 캠페인의 파일 지표가 눈에 띄게 요동치고 있다. 현재까지 이 캠페인에 연결된 파일 지표는 78건에 달하지만, 이 가운데 VirusTotal 메타데이터가 충분히 채워져 실제 분석이 가능한 샘플은 단 4건뿐이다. 나머지 대다수는 해시값만 확인되고 탐지율·서명 정보·행위 태그가 비어 있는 상태로 목록에 올라 있다. 즉 이번 캠페인의 "새로움"은 새로운 인프라나 새로운 표적이 아니라, 빌드 파이프라인이 계속해서 새 바이너리를 뽑아내고 있다는 사실 그 자체에 있다. 반면 이 캠페인에 연결된 명령제어(C2) 후보 인프라는 단 1개 도메인 — apn-state-upd2.com — 으로 고정돼 있다. 새로 등장한 도메인이나 IP, URL은 이번 확인 구간에서 전혀 없었다.
#StrongPity#Promethium#APT-C-41#요르단#식음료산업#C2도메인#코드사이닝위장#빌드파이프라인행위자Promethium · StrongPityIOCf78 · i0 · d1 · u3MITRE30지역JO산업식음료
FILE회원 전용2026년 6월 30일 10:01 (UTC+9)임프해시로 묶인 njRAT 스텁 2점, 실체는 상용 빌더 산출물
파일명이 Stub.exe와 NNNNNNNNNNN.exe. 크기는 96KB와 280KB로 세 배 가까운 차이가 나지만, 두 바이너리는 정확히 같은 임프해시(f34d5f2d4577ed6d9ceec516c1f5a744)를 공유하고, PE 컴파일 타임스탬프까지 2014-10-10로 동일하다. CTX Team이 이번에 들여다본 njRAT 계열 클러스터는 규모가 크지 않다 — 파일 5건, 도메인 1건이 전부다 — 하지만 이 두 스텁 바이너리가 남긴 빌드 지문은 하나의 빌더 파이프라인이 짧은 시간 안에 두 개의 결과물을 뽑아냈다는 사실을 비교적 선명하게 보여준다. 서명은 둘 다 없고, 내부 이름도 자리표시자에 가까운 문자열이다. 규모는 작지만, 이번 사례가 흥미로운 지점은 오히려 "왜 이렇게 얇은 지표 세트에 'Operation Black Atlas'라는 캠페인 라벨과 'espionage'라는 동기 태그가 붙어 있는가"라는 질문이다.
#njRAT#OperationBlackAtlas#다이나믹DNS#No-IP#임프해시#소매업#상용RAT#지표신뢰도행위자Operation Black AtlasIOCf5 · i0 · d1 · u0MITRE33지역US산업소매·유통
FILE회원 전용2026년 6월 29일 21:46 (UTC+9)7개월 잠든 도메인, 페이로드 엿새 전 인증서 발급
도메인 xingtialai.com은 2025년 11월 3일 Namecheap을 통해 등록된 이후 별다른 움직임 없이 방치돼 있었다. 그러다 2026년 6월 23일, 이 도메인 앞으로 Let's Encrypt(issuer CN YR1)가 발급한 인증서가 새로 등장한다. 유효 기간은 단 89일(2026-06-23~2026-09-21) — 장기 운영을 염두에 둔 정식 서비스 인증서라기보다는, 짧은 캠페인 창구를 열기 위한 단명 인증서에 가까운 패턴이다. 그리고 바로 이 시점으로부터 엿새 뒤인 6월 29일, 송장을 위장한 새로운 MSIL 실행 파일과 이를 담은 RAR 압축 파일이 동시에 처음 관측됐다. 이 타이밍의 겹침은 우연으로 보기 어렵다.
#스틸러#키로거#인보이스사기#MSIL로더#OVH인프라#안티샌드박스#자격증명탈취#스피어피싱IOCf21 · i1 · d1 · u0MITRE38지역AU · CN · DE · HU산업지원 서비스 · 통신
APT공개2026년 6월 29일 17:09 (UTC+9)TigerRAT, 5년간 탐지 환경 맞춰 경화…다섯 겹 분석 무력화 장치 확인
2025년 11월, VirusTotal에 마지막으로 관측된 한 PE32+ 바이너리는 겉보기에 평범한 윈도우 실행 파일이었다. 파일 이름은 vmware-vmx-gui.exe — 기업 환경에서 흔히 볼 수 있는 VMware GUI 프로세스를 흉내 낸 이름이다. 그러나 CTX Team이 이 샘플을 분석한 결과, 단순한 이름 위장 너머에 다섯 겹의 분석 무력화 장치가 정밀하게 설계돼 있었다. 커스텀 고엔트로피 패커 섹션, 타이밍 기반 샌드박스 우회, 사용자 활동 감지, 의도적으로 위조된 PE 타임스탬프, 그리고 HTTP 프로토콜 규칙을 의도적으로 위반하는 C2 체크인 방식이 하나의 샘플 안에 중첩돼 있었다. 이 샘플은 Silent Chollima(Andariel)가 최소 2020년부터 운용해 온 TigerRAT 백도어의 변종으로, 5년이 지난 지금도 탐지 환경에 맞춰 꾸준히 경화(hardening)되고 있다는 사실이 이번 분석의 핵심이다.
#SilentChollima#Andariel#TigerRAT#커스텀패커#샌드박스우회#C2인프라#PE타임스탬프위조#기업가상화환경행위자Silent Chollima · AndarielIOCf1 · i1 · d0 · u1MITRE7
C&C회원 전용2026년 6월 29일 09:09 (UTC+9)KMSAuto 크랙으로 위장한 다층 방어 무력화 툴킷, 단일 운영자 빌드 확인
윈도우 정품 인증 크랙 도구로 위장한 설치 파일이 실행되는 순간, 피해 시스템은 두 방향에서 동시에 방어 기능을 잃는다. 하나는 PowerShell 스크립트를 PE 바이너리로 컴파일한 killav 모듈이 보안 프로세스를 강제 종료하고, 다른 하나는 설치 파일 자체에 내장된 레지스트리 키 조합이 Windows Defender 기능을 비활성화한다. 이 두 단계가 완료된 뒤에야 비로소 실제 페이로드가 투하된다. CTX Team이 분석한 이번 캠페인은 Amadey 봇넷 로더, ClipBanker, 그리고 AZORult 자격증명 탈취 모듈 다운로드 시도까지 포함하는 다단계 금전 탈취 툴킷을 단일 운영자가 하나의 빌드 환경에서 조립했음을 보여준다. 다섯 개 페이로드 컴포넌트 전체가 정확히 두 개의 인증서 체인으로 묶이고, PS2EXE 툴체인과 PEiD 패커가 일관되게 적용돼 있다는 사실이 이 캠페인의 핵심 지문이다. 이번 캠페인에서 가장 먼저 눈에 띄는 것은 코드 서명 인증서의 분배 방식이다
#Amadey#ClipBanker#AZORult#KMSAuto#PS2EXE#소프트웨어크랙위장#러시아C2인프라#다단계금전탈취IOCf7 · i1 · d0 · u3MITRE43지역UG
FILE공개2026년 6월 29일 05:56 (UTC+9)3년 잠든 도메인 깨어나 이라크 자동차 산업 겨냥한 파괴형 다운로더 캠페인 포착
2026년 6월 16일, datausercenterphx.com에 Let's Encrypt 인증서가 발급됐다. 도메인이 처음 등록된 것은 2023년 7월 29일이었다 — 즉, 이 도메인은 약 1,063일 동안 아무런 HTTPS 활동 없이 잠들어 있다가 그날 비로소 깨어났다. 깨어난 직후 temp.datausercenterphx.com/getflashpro/GetflashProNewPhoenix_protected.exe라는 경로가 활성화됐고, 이라크 자동차 산업을 표적으로 한 다운로더 캠페인의 배포 거점이 됐다. 이 캠페인의 핵심은 단순한 악성코드 유포가 아니다. 페이로드는 세 가지 T1497 하위 기법(시스템 환경 점검, 사용자 활동 감지, 시간 기반 지연)과 디버거 탐지(T1622)를 동시에 구현해 자동화 분석 환경에서의 실행을 억제하도록 설계됐으며, 실행 단계에서는 Windows GUI 서브시스템 메모리를 악용하는 Extra Window Memory…
#이라크자동차산업#도메인에이징#다운로더캠페인#데이터파괴#샌드박스회피#ContaboVPS#ExtraWindowMemory인젝션#T1485IOCf11 · i2 · d1 · u2MITRE26지역IQ산업자동차
C&C회원 전용2026년 6월 29일 05:23 (UTC+9)이란 ISP·세이셸 유령 법인, 단일 C2 패널로 묶인 Lumma Stealer 이중 인프라 포착
암호화폐 사용자를 겨냥한 Lumma Stealer 캠페인이 포착됐다. 이 캠페인의 핵심은 페이로드 자체보다 그것을 지탱하는 C2 인프라 설계에 있다. 이란 ISP인 Farahoosh Dena PLC(AS44208)에 순번 할당된 두 개의 인접 IP와, 세이셸에 법인을 두고 독일·네덜란드에 노드를 분산 배치한 신생 bulletproof 제공업체 Omegatech LTD(AS202412) — 이 두 개의 ASN 클러스터는 표면상 무관해 보이지만, 네 개의 C2 노드 전체가 동일한 서버 사이드 경로 /diamo/data.php로 통신한다는 사실에 의해 하나의 운영 주체로 묶인다. DNS 의존성을 완전히 제거한 raw IPv4 직접 통신 구조는 도메인 기반 차단과 싱크홀링을 무력화하며, Proofpoint Emerging Threats Open의 IDS 룰 ET MALWARE Diamotrix POST Request M3가 이 C2 채널을 정확히 지목했다.
#LummaStealer#DiamotrixC2#bulletproof호스팅#암호화폐탈취#이란ISP#세이셸유령법인#인포스틸러#이중ASN인프라IOCf1 · i4 · d0 · u8MITRE33지역US
FILE회원 전용2026년 6월 29일 01:36 (UTC+9)LummaStealer 동일 빌드, 두 달 간격 재배포 확인
Snapchat 모드(mod) APK를 미끼로 내세운 배포 사이트 thesnapchatmodapk.com에서 뿌려진 LummaStealer 계열 페이로드 두 개가, 서로 다른 시점에 서로 다른 이름으로 제출됐음에도 사실상 동일한 빌드라는 정황이 확인됐다. sha256 32e167e167c82f04b203c220b56edb95bbc3869254c7b792521a490c97e9507a(threat_label: trojan.lummastealer/aco4cpki, 최초 관측 2026-05-18)와 sha256 748a02784c8a04459884778a66b2dbb5156b01b324c7b73f06c8058596d1a030(threat_label: trojan.lummastealer/millenium, 최초 관측 2026-07-11)은 imphash e036611c05048ce1b230596686eabd36과 vhash…
#LummaStealer#Snapchat모드APK#VBScript런처#TelegramC2#정보탈취#암호화폐지갑#크라임웨어#MSIL다운로더IOCf20 · i0 · d1 · u10MITRE57지역MG · US
C&C회원 전용2026년 6월 29일 01:09 (UTC+9)세 겹 탐지 우회 트로이목마, 인도 겨냥 3주간 반복 재빌드
2026년 6월 초, 인도를 표적으로 삼은 윈도우 트로이목마 캠페인이 처음 포착됐다. 이 캠페인이 주목받는 이유는 단순한 악성코드 배포가 아니라, 서로 다른 세 가지 페이로드 계층이 각각 독립된 탐지 우회 전략을 갖추고 유기적으로 맞물려 작동한다는 점이다. 드로퍼 EXE 쌍, UPX 압축 DLL 쌍, 그리고 사실상 모든 보안 엔진을 통과하는 PEiD 패킹 로더 쌍 — 총 여섯 개의 파일이 세 주 남짓한 기간 동안 순차적으로 제출됐고, 그 전체에 걸쳐 '© 2041 Negations Ltd.'와 'Copyright 2030 Berryville SA.'라는 미래 연도 허구 저작권 문자열이 일관되게 박혀 있다. 단일 빌드 환경에서 반복 재컴파일된 흔적이다.
#인도#윈도우트로이목마#다단계드로퍼#UPX패킹#동적DNS#명령제어인프라#샌드박스우회#Let'sEncrypt악용IOCf6 · i2 · d14 · u0MITRE22지역IN
APT회원 전용2026년 6월 28일 17:04 (UTC+9)Emotet, Cloudflare·홍콩 C2·13년 도메인 재활용으로 3중 탐지 우회
2025년 4월 초 아이슬란드 등록자 정보로 조용히 생성된 도메인 하나(turismochaco.com)가 Cloudflare anycast 뒤에 자리를 잡고, Google Trust Services WE1이 발급한 와일드카드 인증서(시리얼 e2bca7cb1b8f556613d80cfdccbf9d11, 유효 기간 2026-05-11~2026-08-09)를 달았다. 같은 캠페인에는 89일짜리 Let's Encrypt 인증서를 자동 갱신하는 두 번째 도메인(meijizs.com)과, 2012년에 등록된 13년 된 도메인(susanamorales.com)이 함께 엮여 있다. 이 세 가지 노드는 각각 다른 방식으로 인프라 기반 차단을 무력화하도록 설계돼 있다 — IP 평판 차단, 인증서 시리얼 추적, 도메인 연령 기반 필터링을 동시에 우회하는 구조다.
#Emotet#TA542#캐나다표적#VBA난독화#PowerShell다운로더#Cloudflare원점은닉#C2인프라#워드프레스악용행위자Emotet Group · TA542IOCf3 · i1 · d3 · u5지역CA
APT회원 전용2026년 6월 28일 16:53 (UTC+9)20년 묵은 독일 도메인, 2025년 일제히 깨어나 필리핀 겨냥
2005년부터 2012년 사이 독일의 한 등록 기관을 통해 조용히 등록된 네 개의 도메인이 있다. wakan-tanka.org(2005년 8월 24일 등록, 현재 수명 7,613일), white-on-rice.com(2007년 2월 2일, 7,086일), vanbrast.com(2008년 5월 26일, 6,607일), varivoda.com(2012년 2월 2일, 5,257일). 이 도메인들은 오랫동안 눈에 띄지 않았다. 그런데 2025년 하반기, 이 도메인들 가운데 세 곳이 거의 동시에 Sectigo DV TLS 인증서를 새로 발급받기 시작했다 — vanbrast.com이 2025년 7월 18일, zahnarzt-flensburg.com이 11월 24일, wakan-tanka.org가 12월 24일. 캠페인의 첫 관측일은 2026년 3월 8일이다. 인증서 재발급과 캠페인 가동 사이의 간격은 최대 8개월, 최소 2개월 남짓이다.
#Emotet#TA542#도메인에이징#필리핀#자격증명수집#C2인프라#스피어피싱#스파이활동행위자Emotet Group · TA542IOCf4 · i0 · d6 · u11지역PH
C&C회원 전용2026년 6월 28일 10:02 (UTC+9)2345Pinyin 배달망에 알리바바 명의 GlobalSign 인증서 등장 — 폴백 채널 의혹
중국 최대 통신사 네트워크 다섯 곳에 분산된 IP 인프라가 2345Pinyin 입력기(IME) 소프트웨어의 광고·원격 설정 배달 파이프라인을 지탱하고 있다는 사실이 이전 관측에서 확인된 바 있다. 이번 추가 관측에서는 그 인프라에 두 개의 신규 IP가 편입됐고, 그 중 하나가 기존 2345/바이두/메이퇀(Meituan) 브랜드 생태계와 전혀 맞지 않는 TLS 인증서를 제시하고 있다는 사실이 드러났다. 푸젠성 중국텔레콤 네트워크(AS133774)에 위치한 120.39.197.154가 GlobalSign ECC OV SSL CA 2018을 발급 기관으로 하는 *.certfallback.com 와일드카드 인증서를 제시하고 있으며, 인증서 주체 조직은 阿里巴巴（中国）网络技术有限公司, 즉 알리바바 중국 법인으로 등록돼 있다.
#2345Pinyin#C2인프라#TLS인증서이상#중국통신사ASN#광고배달파이프라인#알리바바#CDN남용#장기지속위협IOCf44 · i5 · d0 · u0MITRE24지역CN
C&C회원 전용2026년 6월 28일 06:04 (UTC+9)인증서 한 장으로 드러난 베트남 라이센스 서버, C2로 재활용
지난 6월 27일 관측된 위협 인텔리전스 레코드에서 눈에 띄는 것은 화려한 악성코드 패밀리명이 아니라, 등록된 지 3년 된 평범한 도메인 하나가 최근 며칠 사이 통째로 "재활성화"된 흔적이다. 베트남에 등록된 도메인 canhtrang.com과 그 하위 서브도메인들(free.canhtrang.com, lic.canhtrang.com, ping.canhtrang.com), 그리고 IP 160.25.81.136이 하나의 인증서로 직접 묶여 있다는 사실이 이번 레코드의 핵심 증거다. 160.25.81.136에 걸린 TLS 인증서의 subject_cn과 issuer_cn이 모두 "ping.canhtrang.com"으로 기재돼 있어, 이 IP는 단순한 공유 호스팅 노드가 아니라 canhtrang.com 운영자가 직접 관리하는 서버라는 점이 인증서 레벨에서 확인된다.
#canhtrang.com#PkPro.exe#.NET로더#C2인프라#베트남#라이센스크랙#TLS인증서재활용#탐지회피IOCf3 · i2 · d1 · u9MITRE23
C&C회원 전용2026년 6월 28일 05:50 (UTC+9)7개국 분산 C2, 단 하나의 URI로 묶인 Cridex 인프라 해부
인도네시아, 브라질, 태국, 멕시코 — 서로 아무런 행정적 연관이 없는 네 나라의 국가 ISP에 등록된 IP 주소들이 하나의 공통점으로 묶인다. 인코딩된 URI 경로 /VJuPpCAAA/Vxi22CAAA/AHYe가 그것이다. CTX Team이 추적해 온 이 캠페인에서 해당 경로는 최소 일곱 개의 C2 노드 전체에 하드코딩된 채 동일하게 관측됐다. 페이로드 자체는 2012년 10월 31일 처음 제출된 Cridex/Zbot 뱅킹 트로이목마로, 위협 패밀리로서의 정체성은 이미 10년 이상 알려진 것이다. 그러나 분석적으로 의미 있는 신호는 패밀리 분류가 아니다 — 서로 다른 대륙의 무관한 ISP 인프라를 단 하나의 인코딩된 경로로 결속시킨 C2 아키텍처 설계 방식이 핵심이다. 관측 기록은 2025년 2월 4일부터 2026년 6월 27일까지 이어지며, 2012년 최초 제출 샘플이 10년 이상 지난 시점에도 재관측되고 있다는 사실은 이 인프라 패턴의 지속성에 대한 별도의 질문을 제기한다.
#Cridex#Zbot#뱅킹트로이목마#분산C2인프라#인보이스피싱#다중노드C2#인도네시아·브라질·태국·멕시코#샌드박스회피IOCf3 · i4 · d0 · u12MITRE25
FILE회원 전용2026년 6월 28일 02:17 (UTC+9)BitTorrent 설치 파일로 위장한 자격증명 탈취 캠페인, 33개국 표적
GoDaddy가 발급한 *.utorrent.com 와일드카드 인증서(시리얼 502640668cf9cf1d)가 아이슬란드 코로케이션 서버 두 대에서 동시에 관측됐다. 이 인증서를 제시하는 IP는 BitTorrent 공식 인프라가 아니다 — Advania Island ehf(AS50613)가 운영하는 레이캬비크 코로케이션 시설에 임차된 연속 주소 블록(82.221.103.244~.246)이다. 같은 시각, VirusTotal에서 DGA로 탐지된 AWS CloudFront 서브도메인 두 개(dl689mzx9spw3.cloudfront.net, d2l70dzu9mtvtp.cloudfront.net)가 단일 Amazon RSA 인증서(시리얼 5b6c833bb4db2e9c360773ceec4adba, 2026년 2월 24일 발급)를 공유하며 CDN 트래픽 속에 운영자 통신을 숨기고 있었다.
#자격증명탈취#WebView2#트로이목마설치파일#아이슬란드코로케이션#AWSCloudFrontC2#BitTorrent사칭#정부·통신표적#탐지우회IOCf53 · i5 · d2 · u0MITRE70지역AD · AR · AT · BA산업정부·공공 · 미디어 · 기술·IT
C&C회원 전용2026년 6월 28일 02:03 (UTC+9)Lumma 스틸러, 하나의 인증서로 묶인 .su 도메인 4개 회전 운영
지난 관측 기간 동안 러시아 소재 호스팅 사업자 Proton66 OOO(AS198953) 산하 IP 37.77.150.150 한 곳에, bendavo.su·conxmsw.su·narroxp.su·squeaue.su 네 개의 .su 도메인이 동시에 리졸브되고 있는 정황이 확인됐다. 단순히 같은 IP를 공유하는 수준이 아니다. 이 네 도메인과 IP 자체는 Let's Encrypt가 발급한 완전히 동일한 TLS 인증서(시리얼 5ee1c638d84322bfe85a6b9e451a954406e, 발급자 R12)를 그대로 재사용하고 있으며, 해당 인증서의 SAN(Subject Alternative Name) 필드에는 놀랍게도 "admiring-poincare.37-77-150-150.plesk.page"라는, 호스팅 IP 자체를 문자열로 박아넣은 Plesk 기본 호스트명이 적혀 있다.
#LummaStealer#C2인프라#Plesk#Let'sEncrypt인증서#su도메인#매크로문서#Proton66#상용스틸러IOCf18 · i2 · d5 · u9지역CL · RO
APT회원 전용2026년 6월 28일 01:25 (UTC+9)빌더 하나가 낳은 네 개의 스틸러 이름표
18개 파일과 6개 도메인으로 구성된 이번 유포망을 들여다보면, 표면적으로는 서로 무관해 보이는 멀웨어 패밀리들이 사실은 하나의 뿌리에서 뻗어나왔다는 정황이 뚜렷하게 드러난다. CTX Team이 파일셋을 imphash 기준으로 재정렬한 결과, f34d5f2d4577ed6d9ceec516c1f5a744라는 동일한 임포트 해시를 공유하는 네 개의 파일이 확인됐다 — f9133db6…(pctool.exe), 15fd89fa…(Skeesicks.exe), d5959e43…(Lively Screen Recorder.exe), 4c7b23e5…(파일명 미기재)다. 이 네 파일은 백신 업계에서 각각 AgentTesla, Bobik, Reline(=RedlineStealer 계열), 그리고 threat_label조차 붙지 않은 무명 로더로 따로따로 분류돼 있다.
#라자루스그룹#AgentTesla#RedlineStealer#Bobik#Socelars#PPI유통#VMProtect#imphash클러스터링행위자Lazarus Group · Hastati GroupIOCf18 · i3 · d6 · u17지역FR
APT공개2026년 6월 27일 21:07 (UTC+9)APTC-35, 스파이 캠페인에 암호화폐 채굴기와 Tor C2 결합
UPX로 압축된 7,149KB짜리 Win32 실행 파일 하나가 폴란드를 겨냥한 스파이 캠페인의 전면에 서 있다. 이 바이너리는 %APPDATA%\pwo6\svchost.exe라는 경로에 자신을 심어 정상적인 Windows 서비스 호스트 프로세스로 위장하고(T1036), UPX1 섹션 엔트로피 7.98이라는 수치가 보여주듯 강한 패킹으로 정적 분석을 차단한다(T1027). 그런데 이 페이로드의 정체를 들여다보면 단순한 스파이웨어가 아니다 — Florian Roth의 pua_cryptocoin_miner 룰셋에 속하는 YARA 룰 CoinMiner_Strings가 발화하고, 샌드박스 실행 중에는 Proofpoint Emerging Threats의 IDS 룰 ET TOR Known Tor Relay/Router (Not Exit) Node Traffic group 240과 ET POLICY TLS possible TOR SSL traffic이 동시에 트리거된다.
#APTC-35#DonotTeam#trojan.dekimine#암호화폐채굴악성코드#TorC2#폴란드#UPX패킹#방어회피행위자APTC35 · Donot TeamIOCf58 · i1 · d0 · u0MITRE29지역PL
APT회원 전용2026년 6월 27일 16:55 (UTC+9)2001년 등록 타임스탬프, 24년째 살아있는 동적DNS 7형제
위협 인텔리전스 실무에서 "오래된 인프라"라는 표현은 대개 수사적 과장이지만, 이번 케이스는 문자 그대로다. No-IP.com의 동적 DNS 서비스 아래 등록된 일곱 개의 호스트네임 — 1yazanboss.no-ip.biz부터 6yazanboss.no-ip.biz, 그리고 접두어 없는 yazanboss.no-ip.biz — 은 모두 WHOIS 상 생성일이 2001-11-22, 그것도 초 단위까지 정확히 동일한 2001-11-22T23:09:02Z로 찍혀 있다. 등록기관은 예외 없이 Vitalwerks Internet Solutions, LLC / No-IP.com이고, 관리자·결제 연락처 역시 Reno, NV의 동일한 이메일 주소로 통일돼 있다. 도메인 7개가 서로 다른 시점에 유기적으로 늘어난 흔적이 아니라, 한 운영자가 단일 No-IP 계정에서 한 번의 배치 작업으로 찍어낸 결과물이라는 뜻이다.
#Sality#동적DNS#No-IP#badcrypt#SaltySpider#파일인프젝터#USB자기전파#위협인텔리전스행위자Salty Spider · KuKuIOCf6 · i0 · d7 · u0MITRE49지역US산업소매·유통
FILE공개2026년 6월 27일 14:07 (UTC+9)이중 확장자 루어로 이탈리아 식음료 기업 겨냥한 PandaBanker 스파이 캠페인
PEiD로 패킹된 191KB짜리 Win32 실행 파일 하나가 이탈리아 식음료 업계를 향한 스파이 활동 캠페인의 핵심 증거로 부상했다. 파일명은 Allegato_02,Allegato_01.Tif.exe — 이탈리아어로 '첨부파일'을 뜻하는 단어와 .Tif 가짜 확장자를 조합해 수신자가 TIFF 이미지 파일로 착각하도록 설계된 이중 확장자 루어다. 이 샘플(SHA256: b368428fd71a354d9e6a707b573c4b4a8131034efc0c4669b683ac7c486920b0)은 실행 후 CPUProx1.exe라는 이름으로 디스크에 안착하며, 분석 환경 탐지 → 런타임 API 해석 → 프로세스 인젝션으로 이어지는 3단계 방어 우회 구조를 순차적으로 작동시킨다. CTX Team이 이 샘플을 주목하는 이유는 기술적 정교함 때문만이 아니다.
#PandaBanker#ZBot#BambooSpider#이중확장자루어#이탈리아식음료업계#샌드박스우회#프로세스인젝션#산업스파이행위자Bamboo SpiderIOCf2 · i0 · d0 · u0MITRE37지역IT산업식음료
FILE회원 전용2026년 6월 27일 10:16 (UTC+9)KMS 위장 툴킷, 무효 MS 인증서 하나로 4종 악성코드 일괄 배포
불법 소프트웨어 활성화 도구를 찾는 사용자들이 의도치 않게 마주치는 것은 단순한 악성코드 한 종이 아니다. CTX Team이 분석한 이번 캠페인에서 공격자는 KMSAuto/KMSActivator 위장 파일을 입구로 삼아 기능이 서로 다른 네 개의 페이로드를 한 번에 배포한다 — 자격증명 탈취기(Azorult), 암호화폐 주소 하이재커(ClipBanker), AV 무력화 모듈(KillAV), 그리고 Andromeda 드로퍼. 이 네 파일이 공유하는 공통점은 하나다. 시리얼 번호 33 00 00 01 87 72 17 72 15 59 40 C7 09 00 00 00 00 01 87의 동일한 Microsoft Corporation 코드 서명 인증서 — 그러나 체인 검증에 실패한 무효 인증서다. 단일 인증서로 기능적으로 이질적인 네 개의 페이로드를 한 번에 포장했다는 사실은 이 캠페인의 운영 방식을 가장 선명하게 드러내는 지문이다. 공격자는 서명 아티팩트를 페이로드별로 따로 준비하지 않는다
#Azorult#ClipBanker#KillAV#Andromeda#KMS위장#코드서명위조#농업부문#브라질·콜롬비아·이탈리아IOCf9 · i2 · d0 · u2MITRE43지역BR · CO · IT산업농업
FILE회원 전용2026년 6월 27일 09:45 (UTC+9)10년 잠든 인젝터, 미국 소매 유통망 자격증명 탈취 캠페인에 재등장
F-PROT 패커로 압축된 Win32 PE32 실행 파일 하나가 2026년 2월부터 미국 소매 유통 부문을 겨냥한 자격증명 탈취 캠페인에서 활성 IOC로 관측되고 있다. 파일명 rain003.exe, 크기 1,051 KB — 그 자체로는 평범해 보이는 이 바이너리의 PE 컴파일 타임스탬프는 2015년 6월 25일이고, VirusTotal 최초 제출 기록은 2015년 6월 30일이다. CTX Team이 추적한 이 캠페인의 마지막 활동 시점은 2026년 6월 26일로, 페이로드의 첫 공개 노출과 현재 운영 사이에는 약 10년의 간극이 존재한다. 이 캠페인이 단순한 오래된 악성코드 재활용 사례로 읽히지 않는 이유는 페이로드의 기술적 구성 때문이다.
#ranapama#인젝터#자격증명탈취#미국소매유통#processhollowing#C2인프라#안티분석회피#악성바이너리IOCf1 · i51 · d0 · u8MITRE30지역US산업소매·유통
C&C회원 전용2026년 6월 27일 09:20 (UTC+9)'sslsecure' 위장한 36개 도메인, 5년 지속된 PUP 유통망
2015년 11월부터 2020년 5월까지, 서로 다른 8개 등록기관을 거치며 세 차례에 걸쳐 등록된 36개의 도메인이 하나의 공통된 이름 규칙을 따르고 있다. sslsecure2.com부터 sslsecure10.com까지, 각 apex 도메인마다 api.v2., track.v2., staticrr. 형태의 서브도메인 트리플릿이 반복된다. 이 이름 자체가 노림수다 — 네트워크 로그를 살피는 분석가나 자동화된 탐지 룰의 눈에 정상적인 SSL/보안 인프라처럼 보이도록 설계된 위장이다. CTX Team이 이번에 추적한 사건에서 실제로 눈에 띄는 것은 여기 딸린 악성코드 자체의 정교함이 아니라, 이 도메인 뭉치를 5년에 걸쳐 유지·확장해 온 운영 방식의 일관성이다. domaiq 계열 PUP/adware 설치 프로그램으로 서명된 Win32 실행 파일 한 점이 이 인프라의 배후에 있다는 사실은 오히려 부수적인 정보에 가깝다.
#domaiq#PUP광고웨어#sslsecureN도메인#미국소매섹터#도메인등록패턴#서명인증서위장#ztomy네임서버#C2인프라IOCf2 · i1 · d36 · u0MITRE29지역US산업소매·유통
FILE회원 전용2026년 6월 27일 05:44 (UTC+9)483KB EXE 하나만 탐지, 나머지 19개 스크립트는 무사통과
VirusTotal에서 확인된 하나의 크립토재킹 툴킷이 지난 며칠간 건설, 미디어, 소매, 기술, 통신 서비스, 도매 등 서로 무관한 6개 업종, 42개국에 걸쳐 동시에 관측됐다. 겉보기엔 43개의 개별 파일 지표가 흩어져 있는 모습이지만, 실제로 뜯어보면 이 가운데 20개는 독립된 악성코드 샘플이 아니라 하나의 드롭된 마이닝 툴킷이 반복적으로 재포장된 결과물이다. 20개 파일 전부가 resources/bin/lolminer/1.98a/ 라는 동일한 디렉터리 스캐폴드를 공유하고, 설치 경로 역시 %ProgramFiles%\CommonProgramFiles(x86)\microsoft shared\{bc4eaae6|71d5719f}\lolminer\1.98a\ 하위로 중복된다.
#lolMiner#크립토재킹#탐지회피#Dynu동적DNS#ContaboVPS#다중코인채굴#자원하이재킹#배치스크립트IOCf43 · i2 · d2 · u2MITRE48지역AU · BE · BR · CA산업건설 · 미디어 · 소매·유통
C&C공개2026년 6월 27일 05:28 (UTC+9)탐지율 60/79, 샌드박스는 무혐의… Amadey 탈취모듈의 판정 간극
정적 시그니처 기반 엔진 60개가 악성으로 판정한 파일을, 유일하게 수행된 동적 분석 샌드박스는 "undetected"·"UNKNOWN_VERDICT"로 흘려보냈다. CTX Team이 추적 중인 이번 인디케이터 세트의 핵심은 신원이 뚜렷한 위협 행위자나 정교한 인프라 은닉이 아니라, 바로 이 판정 격차다. 대상은 Amadey 계열 크리덴셜 탈취 모듈로 지목된 Win32 DLL cred.dll(SHA256 635f64b4…dcd0a9c2e)이며, VirusTotal 기준 79개 엔진 중 60개가 이를 트로이목마·Amadey/Decred 계열로 명확히 태깅했지만, 실제 실행 시 행위를 관찰해야 하는 샌드박스 판정은 단 1건뿐이었고 그 1건조차 악성으로 분류되지 않았다. 정적 탐지와 동적 검증 사이의 이 간극은, 수동적으로 대기하다가 로더나 호스트 프로세스에 의해 호출될 때만 진짜 행위를 드러내는 모듈형 악성코드의 특성을 그대로 보여주는 사례로 읽힌다. 이 기록 자체는 규모가 크지 않다
#Amadey#크리덴셜탈취#샌드박스탐지회피#C2서버#Plesk인증서#러시아#YARA룰#모듈형악성코드IOCf2 · i1 · d0 · u1MITRE10지역BG
C&C회원 전용2026년 6월 27일 05:07 (UTC+9)13년 전 등록된 도메인, 여전히 위장 설치파일 유통 중
브라질 소프트웨어 다운로드 포털을 사칭한 인프라 하나가 10년 넘게 동일한 골격을 유지한 채 운영되고 있는 사실이 확인됐다. CTX Team이 추적한 이번 기록의 핵심은 새로 등장한 악성코드가 아니라, 등록 시점부터 지금까지 거의 변형 없이 이어지는 네트워크 계층의 응집성이다. baixakialtcdn.com과 그 하위 도메인 두 개, 그리고 이 도메인군과 짝을 이루는 스페인·이탈리아의 두 IP는 각각 등록기관·A레코드·TLS 인증서 시리얼이라는 서로 다른 축에서 하나로 묶인다. 표면적으로는 위장 Firefox 설치파일 하나와 몇 건의 부수적 아티팩트로 구성된 단출한 사례처럼 보이지만, 인프라를 파고들수록 이 캠페인이 왜 지금까지 낮은 탐지율을 유지한 채 살아남았는지가 드러난다. 이 기록은 dealply 계열의 PUP(잠재적 유해 프로그램)로 분류돼 있고, 브라질(BR) 지역과 기술 산업을 대상 범위로 지정하고 있다.
#baixakialtcdn.com#dealply#PUP#AzionTechnologies#Firefox위장#브라질#C2서버#애드웨어IOCf7 · i2 · d3 · u1MITRE34지역BR산업기술·IT
FILE회원 전용2026년 6월 26일 22:27 (UTC+9)njRAT, 무료 클라우드 3곳 동시 C2로 활용…3년 연속 단일 빌드 파이프라인 확인
Cloudflare Pages, Netlify, Render — 수백만 개발자가 매일 사용하는 무료 호스팅 플랫폼 세 곳이 njRAT 명령제어(C2) 채널로 동시에 활용되고 있다. CTX Team이 추적해 온 이 캠페인은 2023년 2월 처음 관측된 이후 2026년 6월 현재까지 활성 상태를 유지하며, AES 암호화 ZIP 컨테이너로 페이로드를 전달하고 .NET Reactor 난독화와 CMSTP COM 기반 UAC bypass를 겹겹이 쌓아 올린 다층 회피 스택을 구현하고 있다. 이 캠페인에서 주목해야 할 핵심은 njRAT이라는 도구 자체가 아니다 — 합법적인 SaaS 인프라를 C2 경로로 삼아 네트워크 계층 차단을 구조적으로 불가능하게 만드는 운영 전략이 이 캠페인의 진짜 신호다. 이 캠페인을 하나의 운영 주체로 묶는 가장 강력한 증거는 imphash f34d5f2d4577ed6d9ceec516c1f5a744다.
#njRAT#bladabindi#클라우드인프라악용#AES암호화컨테이너#닷넷난독화#UAC우회#DDNS패스트플럭스#베트남IOCf7 · i1 · d5 · u4MITRE32지역US
APT회원 전용2026년 6월 26일 20:56 (UTC+9)12년 된 MiniDuke, 2026년 홍콩 겨냥 스파이 작전에 재등장
2013년 처음 문서화된 MiniDuke의 Stage 3 임플란트가 2026년 현재까지 활성 C2 인프라를 유지하며 홍콩을 겨냥한 스파이 활동에 계속 동원되고 있다. CTX Team이 추적한 이번 캠페인에서 가장 주목할 지점은 바이너리의 연령이 아니라, 그것이 탑재한 3단 계층 분석 회피 스택이다. CPU 클록 직접 접근(T1497.003), 디버거 환경 탐지(T1622), 그리고 장시간 슬립 구간의 조합은 두 개의 자동화 분석 플랫폼 중 하나를 완전히 기만하는 데 성공했다 — Zenbox는 97% 신뢰도로 이 파일을 무해하다고 판정했다. 12년이 지난 도구가 현대 샌드박스 환경을 여전히 속일 수 있다는 사실은, 시그니처 기반 탐지가 아무리 성숙해도 행동 분석 파이프라인의 맹점이 지속적으로 악용된다는 것을 구체적으로 보여준다.
#APT29#MiniDuke#샌드박스회피#홍콩#C2인프라#CPU클록탐지#스파이활동#애프터마켓도메인행위자APT29 · MinidionisIOCf1 · i0 · d1 · u34MITRE12지역HK
FILE공개2026년 6월 26일 18:17 (UTC+9)극광PDF 위장 ValleyRAT, 만료 인증서로 요르단 식음료 기업 침투
2024년 5월 12일 VirusTotal에 최초 제출된 PE32+ 실행 파일 하나가 CTX Team의 분석망에 포착됐다. 파일명 kvipgui.exe, 제품명 '极光PDF(극광PDF)'를 내세운 이 1,649KB짜리 바이너리는 상하이 등록 소프트웨어 기업 茉柏枘（上海）软件科技有限公司 명의의 DigiCert 루트 코드 서명 인증서를 달고 있었다. 그러나 인증서 유효 기간은 2024년 5월 30일에 이미 만료된 상태였고, 서명 일자는 2023년 3월 28일로 유효 기간 내에 찍혔지만 실제 배포 시점에서는 체인 검증이 통과되지 않는 구조였다. Void Arachne(Silver Fox, The Great Thief of the Valley라는 별칭으로도 추적된다)으로 분류된 이 캠페인은 요르단의 식음료 업계를 표적으로 삼고 있으며, Sekoia.io의 YARA 룰 malware_valleyrat_strings_config가 발화함으로써 ValleyRAT 로더 스테이지임이 확인됐다.
#ValleyRAT#VoidArachne#코드서명위장#요르단#식음료섹터#셸코드로더#샌드박스우회#명령제어인프라행위자Void Arachne · Silver FoxIOCf2 · i1 · d0 · u0MITRE26지역JO산업식음료
C&C공개2026년 6월 26일 17:36 (UTC+9)헝가리·미국 농촌 ISP 블록에 숨은 Upatre C2 릴레이 5개 노드 확인
이탈리아 식음료 업계를 겨냥한 Upatre 다운로더 캠페인의 명령제어(C2) 인프라가 상업적 VPS나 불릿프루프 호스팅이 아닌, 헝가리 소규모 브로드밴드 ISP(AS33947, WLA Interservice)와 미국 농촌 지역 통신사(AS5056, Aureon/Mediapolis) 블록에 분산 배치된 것으로 확인됐다. CTX Team이 분석한 위협 레코드(CTXw4aa7nnw6e)에는 두 개의 보강된 C2 노드 외에도 VT 메타데이터가 전혀 없는 세 개의 추가 원시 IP(96.46.103.232, 68.70.242.203, 66.215.30.118)가 URL 카탈로그에 포함돼 있어, 실제 C2 릴레이 풀은 최소 다섯 노드로 구성된 것으로 파악된다.
#Upatre#C2인프라#소규모ISP악용#이탈리아식음료업계#스피어피싱첨부파일#헝가리브로드밴드#미국농촌통신사#다운로더악성코드IOCf3 · i2 · d0 · u5지역IT산업식음료
C&C회원 전용2026년 6월 26일 17:23 (UTC+9)1997년 위장 PE 스텁, 2025년 프랑스 VPS와 함께 미국 컨설팅 섹터 겨냥
2015년 단 한 차례 제출된 뒤 10년 넘게 잠들어 있던 Win32 PE32 실행 파일이, 2025년 12월 8일(inetnum 블록 기준) 새로 프로비저닝된 프랑스 파리 소재 VPS 노드와 함께 미국 컨설팅 섹터를 겨냥한 C2 활동 레코드에 나타났다. CTX Team이 이 캠페인을 심각도 100, 신뢰도 85로 분류하고 추적하기 시작한 것은 바로 이 시간적 불일치 때문이다. 페이로드 자체는 새롭지 않다. 그러나 그것이 지금 이 순간 어디에 연결되고 있는가 — 그리고 왜 지금인가 — 라는 질문이 이 캠페인을 단순한 구형 악성코드 재탐지 사례와 구분 짓는다. 파일의 PE 타임스탬프는 1997년 10월 25일로 기록돼 있다. 이 날짜가 실제 빌드 시점일 가능성은 사실상 없다.
#Win32PE32스텁#C2인프라#타임스톰핑#패킹우회#미국컨설팅섹터#프랑스VPS#샌드박스우회#에이징페이로드IOCf3 · i2 · d0 · u5MITRE16지역US산업컨설팅
APT회원 전용2026년 6월 26일 17:09 (UTC+9)심즈4 크랙 위장 CyberGate, 샌드박스 탐지 로직까지 탑재
'심즈4(The Sims 4)' 크랙 설치 파일로 위장한 실행 파일 군집이 CyberGate·KeyloggerGeneric 계열 RAT를 유포하고 있다. 눈에 띄는 대목은 페이로드가 단순히 정보를 탈취하는 데 그치지 않고, 실행 전 디버깅·샌드박스 환경 여부를 판별하는 코드를 내장하고 있다는 점이다. CTX Team이 확인한 이번 표본군에서는 detect-debug-environment, long-sleeps 태그가 페이로드 파일에 동시에 붙어 있고, YARA 룰 sandboxdetect_misc와 INDICATOR_SUSPICIOUS_EXE_SandboxProductID가 각각 발화하며 이를 뒷받침한다. 불법 복제 소프트웨어를 미끼로 삼는 배포 전략 자체는 새롭지 않지만, 그 위에 얹힌 방어 회피 로직의 조합은 이 캠페인이 단발성 실험이 아니라 반복적으로 다듬어진 운영 체계 위에서 돌아가고 있음을 시사한다.
#CyberGate#KeyloggerGeneric#DustSquad#Snowglobe#게임크랙유포#샌드박스회피#다이나믹DNS#RAT행위자DustSquad · APTC34IOCf10 · i0 · d1 · u1MITRE35지역CH · ES · KR · PL산업통신