정품 인증 도구로 위장한 APT28의 통신사 다층 첩보 수집 체계

정품 인증 도구를 내려받는 행위가 통신 서비스 인프라를 향한 침투의 출발점이 되고 있다. CTX Team이 분석한 이번 캠페인에서 확인된 17개 파일 페이로드 세트는 표면적으로 Microsoft Activation Scripts(MAS) 3.11 Portable 및 KMSAuto++ 인증 툴킷의 형태를 띠고 있지만, 그 내부에는 Windows Defender 비활성화, WMI 기반 호스트 프로파일링, base64 인코딩 PowerShell 페이로드 실행, .win TLD 기반 DNS 비콘이 각 기능 모듈로 분산 배치돼 있다. 단순히 악성코드를 크랙 도구에 끼워 넣은 수준이 아니라, 인증 기능 하나하나가 독립적인 공격 역량 모듈로 이중 설계된 구조다. 이 툴킷의 배포 경로로 지목된 도메인 legalreads.monster는 캠페인 파일 제출이 집중된 시점 불과 이틀 전인 2026년 5월 24일에 등록됐으며, 몰도바 소재 AlexHost SRL(AS48753)에 호스팅돼 있다.