구매발주서 위장 이중 확장자 ZIP, AV 전원 탐지 못한 지속성 레이어 탑재

엔지니어링·소매·통신 서비스 분야를 겨냥한 피싱 캠페인이 포착됐다. 공격의 진입점은 단순해 보인다 — docPO-Q-2606010-ASN _ ZBSPR26-007.PDF(849KB).LHA라는 이름의 ZIP 아카이브 하나. 그러나 이 파일 뒤에는 .NET Reactor로 난독화된 페이로드, 76개 AV 엔진 전원이 탐지하지 못한 지속성 컴포넌트 두 개, 그리고 인증서 CN 불일치를 가진 DDNS 기반 명령제어(C2) 노드가 층층이 쌓여 있다. CTX Team이 분석한 이 캠페인은 상용 크라임웨어 도구를 조합하면서도 회피 설계에 비상용 수준의 공을 들인 운영팀의 흔적을 보여준다. 공격의 첫 단계(T1566.001)는 구매발주서로 위장한 스피어피싱 첨부파일이다. 아카이브 파일명 docPO-Q-2606010-ASN _ ZBSPR26-007.PDF(849KB).LHA는 두 가지 기만 요소를 동시에 구사한다.