발주서 위장 RAR 파일, 76개 백신 중 6개만 탐지…TA505 PureHVNC 유포

2026년 6월 초, 유럽과 북미, 아시아 전역의 도매·소매·물류·통신 업종 종사자들의 받은편지함에 'PONo 34VIVRES5052026.rar'라는 이름의 첨부파일이 도착하기 시작했다. 겉으로는 평범한 구매 발주서처럼 보이는 이 RAR 아카이브 안에는, 76개 보안 엔진 가운데 단 6개만이 탐지에 성공하는 고도로 난독화된 JavaScript 페이로드가 숨겨져 있었다. 두 개의 독립 샌드박스가 모두 악성으로 판정하고, Abuse.ch의 IDS 룰이 PureHVNC 명령제어(C2) 채널을 지목했음에도 불구하고 — 정적 탐지 엔진 대부분은 이 스크립트를 그냥 통과시켰다. CTX Team이 추적해 온 이 캠페인은 TA505로 귀속되며, 난독화와 타이밍 기반 회피를 결합한 이중 회피 스택이 현재 서명 업데이트 주기를 앞서고 있음을 보여주는 사례로 기록된다. 공격의 진입점은 스피어 피싱 이메일에 첨부된 RAR 아카이브다(T1566.001).