FILE회원 전용
FILE슬랙 API 흉내 낸 C2, 인프라는 줄고 코어는 그대로
새로 포착된 두 URL은 새로운 경로가 아니라 기존 추적 중인 C2 인프라가 동일 방식으로 작동 중임을 재확인해 준 신호였다. 세 개의 Contabo/Cogent 계열 IP는 그대로 유지된 반면, 이전에 함께 관측되던 URL 6건과 IP 2건은 이번 구간에서 관측 대상에서 빠졌다.
2026년 7월 17일 13:37 (UTC+9)최근 관측2026년 8월 29일심각도77글CTX Team행위자SafePayIOC10MITRE13지역US
이번 관측 구간에서 새로 포착된 두 개의 URL — 154.12.236.248/api/admin.conversations.getConversationPrefs와 84.46.240.42/api/apps.permissions.users.request — 은 새로운 전달 경로가 아니라, 기존에 추적하던 C2 인프라가 동일한 방식으로 계속 작동하고 있음을 확인해 주는 재확인 신호였다. 두 URL의 경로 구조는 슬랙(Slack)의 실제 Web API 메서드 이름 체계인 admin.conversations., apps.permissions.를 그대로 흉내 내고 있으며, 이 패턴은 세 번째 C2 서버인 94.72.104.77/api/admin.conversations.ekm.listOriginalConnectedChannelInfo에서도 동일하게 관측된다.
회원 전용
회원 전용 기사
이 기사는 비공개로 분류되어 로그인한 회원만 본문과 IOC를 열람할 수 있습니다.
로그인하고 본문 보기Source: CTX Threat Intelligence