C&C회원 전용

유니온페이 TLS 인증서로 위장한 C2 서버 13개 — 루다시 애드웨어 인프라 전모

중국 5개 ISP에 분산된 13개 IP가 유니온페이 인터내셔널의 와일드카드 TLS 인증서 두 개로 묶이며 단일 C2 백엔드를 구성하고 있다. 파일 배포 도메인 cdn-file.szyrtech.com이 C2 풀과 동일한 IP를 공유하는 구조가 이번 분석에서 처음 확인됐으며, 폐기되지 않은 DigiCert 코드 서명 인증서가 샌드박스 탐지를 전면 무력화하고 있다.

2026년 6월 2일 08:17 (UTC+9)최근 관측2026년 6월 2일심각도100글CTX Team행위자FIN6Skeleton SpiderIOC73MITRE3

중국 내 5개 ISP에 분산된 13개 IP가 단 두 개의 .unionpayintl.com 와일드카드 TLS 인증서로 묶이며 하나의 명령제어 백엔드를 구성하고 있다. 이 인증서는 중국 최대 카드 결제 네트워크인 유니온페이 인터내셔널(UnionPay International Co., Ltd.)이 실제로 보유한 인증서다 — 캠페인 운영자가 이 인증서를 직접 획득해 자신의 인프라에 배포한 것이다. CTX Team이 추적해 온 루다시(鲁大师) 생태계 기반 애드웨어 캠페인은 이번 분석에서 처음으로 파일 배포 채널과 C2 백엔드가 단일 IP(119.188.149.190)를 통해 연결되는 인프라 구조가 확인됐다. 파일 배포 도메인 cdn-file.szyrtech.com이 해당 IP로 해석되고, 그 IP는 동시에 .unionpayintl.com 인증서 코호트의 멤버다.

회원 전용