IE5 캐시 경로 위장한 Amadey, 11개국 교육·연구기관 자격증명 탈취

2026년 5월 7일, VirusTotal에 처음 제출된 2MB 크기의 Win32 실행 파일 하나가 CTX Team의 레이더에 포착됐다. 서명 체인이 끊긴 채 유포된 이 PE32 바이너리(SHA256: 2368e264cafd9c6699c2ef958e873926b7f7575e52318c705127a166e4ab53dc)는 76개 엔진 가운데 53개가 악성으로 분류했고, CAPE Sandbox와 Zenbox는 독립적으로 Amadey 패밀리를 명시했다. 페이로드는 IE5 브라우저 캐시 경로를 위장 통로로 삼아 피해 시스템에 안착한 뒤, 도메인 해석 없이 IPv4 주소로 직접 C2와 통신하며 자격증명 수집 모듈을 내려받는 구조를 취하고 있다. 배후로 지목된 인프라는 세이셸 등록 법인이 운영하는 ASN 202412(Omegatech LTD) 블록 내 단일 노드로, 이미 Spamhaus DROP 목록에 올라 있는 bulletproof-adjacent 호스팅 환경이다.