APT
242 건
APT회원 전용2026년 11월 7일 09:41 (UTC+9)DLL 함수 호출 옆에 남은 로깅 값 변경, 작성 주체는 불명
DLL을 시험한 샌드박스 보고서에 Windows 로깅 관련 레지스트리 값이 0으로 설정된 기록이 남았다. 같은 보고서의 프로세스 트리에는 분석용 로더 아래에서 해당 DLL의 여러 함수를 지정한 rundll32.exe 프로세스가 나타난다. DLL 실행과 로깅 설정 변경은 어떤 관계일까. 이 둘을 연결할 수 있다면 단순한 파일 분류를 넘어 시스템 관측 기능에 영향을 주는 행동을 설명할 수 있다. CTX Threat Intelligence가 검토한 자료에서 확실한 것은 DLL을 호출한 부모·자식 프로세스 관계와 로깅 관련 레지스트리 쓰기가 각각 기록됐다는 점이다. 다만 레지스트리를 쓴 프로세스는 식별돼 있지 않다. CTX Team은 이를 로깅 기능에 대한 간섭 여부를 조사할 구체적인 단서로 평가한다. DLL이 로깅을 껐다는 결론과는 구별된다. 이 사례의 핵심은 의심스러운 사건의 수보다, 어떤 사건끼리 실제로 연결되는지에 있다.
#윈도DLL#샌드박스분석#함수호출#프로세스트리#레지스트리쓰기#Windows로깅#통신미확인행위자SafePayIOCf1 · i3 · d0 · u8MITRE18지역PK
APT회원 전용2026년 11월 6일 17:41 (UTC+9)DLL 오류 보고와 별개로 세 COM 등록 값에 경로 기록
바탕화면의 funoictl.dll을 가리키도록 세 개의 COM 등록 값이 설정됐다. 같은 샌드박스 보고서에는 이 DLL을 호출한 rundll32.exe의 오류 보고 흔적도 남았다. 그렇다면 DLL은 시스템 설정을 바꾼 것인가, 아니면 오류로 실행에 실패한 것인가. CTX Threat Intelligence가 검토한 기록은 두 관찰이 양립할 수 있음을 보여 준다. 등록 값을 쓴 프로세스와 오류 보고가 연결된 프로세스가 서로 달랐기 때문이다. 핵심은 ‘실행 성공’이나 ‘실패’라는 단일 판정이 아니라, 어느 호출이 어떤 결과를 남겼는지다. CTX Team은 프로세스 트리와 레지스트리 이벤트를 대조해 DLL 경로가 실제로 등록 값에 기록된 사실을 확인했다. 반면 기존 구성요소를 밀어낸 COM 하이재킹이나 이후의 자동 실행까지 입증된 것은 아니다. 이 구분은 서명된 소프트웨어 구성요소에서 지속성 관련 경보와 실행 오류가 함께 나타났을 때, 무엇을 호스트 변경으로 남겨야 하는지 알려 준다.
#COM등록#레지스트리변경#InprocServer32#DLL호출#오류보고#샌드박스분석행위자Infy · Prince of PersiaIOCf22 · i7 · d1 · u0지역US산업소매·유통
APT회원 전용2026년 11월 6일 01:36 (UTC+9)같은 파일의 웹 요청은 반복됐지만 응답 결과는 달랐다
area.wthelpdesk.com의 여러 .htm 경로를 향한 요청에 서버가 서로 다른 답을 내놓았다. 한 샌드박스 보고서에는 ‘찾을 수 없음’을 뜻하는 HTTP 404가, 다른 보고서에는 리디렉션을 나타내는 302와 정상 응답 코드 200이 기록됐다. 분석 대상은 같은 실행 파일이었다. 이 차이는 악성 파일의 통신 기능이 작동했다는 뜻일까, 아니면 파일이 찾던 주소에서 더 이상 의도한 서비스를 만나지 못했다는 뜻일까. CTX Threat Intelligence가 검토한 자료에서 가장 분명한 발견은 같은 파일을 다룬 세 샌드박스 보고서에 동일한 호스트를 향한 웹 요청이 반복해서 나타난다는 점이다. 각 보고서에는 해당 호스트의 DNS 조회 결과와 그 주소의 TCP 80번 포트 트래픽도 함께 남았다. 단순히 파일에서 도메인 문자열을 발견한 경우보다 구체적인 연결이다.
#악성코드분석#샌드박스#HTTP요청#DNS조회#인터넷캐시#도메인분석행위자Red Apollo · PotassiumIOCf1 · i0 · d1 · u7MITRE8지역MY산업정부·공공
APT회원 전용2026년 11월 5일 09:29 (UTC+9)SysWOW64에 생성된 파일, 같은 해시로 서비스 문맥에서 실행
C:\Windows\SysWOW64\1085580a라는 확장자 없는 파일이 생성됐고, 같은 경로와 같은 해시를 가진 실행 이미지가 services.exe를 부모로 실행됐다. 이 관계는 낯선 파일명이 발견됐다는 사실보다 중요하다. 파일이 실제 실행 대상으로 쓰였음을 보여 주기 때문이다. 그렇다면 이 실행 파일은 무엇을 하려 했을까. 같은 표본의 샌드박스 보고서에는 두 .xyz 도메인 아래의 TXT 레코드를 웹 요청으로 조회한 흔적도 있다. 다만 파일 실행과 개별 네트워크 요청을 하나의 프로세스 활동으로 묶는 증거는 별도로 따져야 한다. CTX Threat Intelligence가 검토한 자료에서 가장 구체적인 발견은 Windows 시스템 디렉터리에 생성된 실행 파일의 서비스 문맥 실행과, 리졸버를 통한 여러 종류의 DNS 정보 조회다. 전자는 파일 생성·프로세스 생성 기록으로, 후자는 요청 주소·레코드 유형·응답 메타데이터로 뒷받침된다.
#윈도우#SysWOW64#서비스문맥실행#파일생성#DNS조회#TXT레코드#CNAME#샌드박스분석행위자Gold Evergreen · Business ClubIOCf5 · i1 · d7 · u2지역US
APT회원 전용2026년 11월 3일 09:38 (UTC+9)WinAuthority의 ‘실행 보고’ 요청, 응답·캐시 흔적으로 확인
WinAuthority.exe의 샌드박스 분석에서 외부 서버로 향한 GET 요청에 action=run, app=winauth, 버전 번호와 식별자처럼 보이는 값들이 함께 실렸다. 서로 다른 세 분석 보고서에 같은 요청 형식이 남아 있다. 이 프로그램은 실행 사실을 알리는 것일까, 아니면 외부에서 지시를 받아오는 것일까. 요청과 응답, 로컬 파일을 연결해 보면 이 질문에 답할 수 있는 범위가 좁혀진다. CTX Threat Intelligence 자료에서 가장 강하게 뒷받침되는 해석은 WinAuthority가 실행 활동을 보고하는 성격의 요청을 보냈다는 것이다. 두 보고서는 요청 호스트의 DNS 응답과 그 주소로 향한 TCP 트래픽까지 함께 기록했다. 한 보고서에는 HTTP 200 응답과 해당 프로세스에 귀속된 텍스트 파일도 있다. 단순히 실행 파일 안에서 도메인 문자열을 발견한 사례보다 연결 근거가 구체적이다.
#WinAuthority#샌드박스분석#HTTP요청#실행활동보고#인터넷캐시#로컬식별자행위자APT28 · StrontiumIOCf7 · i9 · d5 · u2MITRE22
APT회원 전용2026년 11월 2일 17:37 (UTC+9)‘wifi support’ 서비스가 가리킨 임시 파일의 목적지
임시 폴더의 실행 파일을 Windows 시스템 디렉터리로 옮기는 명령과, 그 목적지를 자동 시작 서비스에 등록하는 명령이 한 표본의 분석 기록에서 함께 발견됐다. 서비스 표시 이름은 wifi support였다. 무선 네트워크 지원 기능처럼 보이는 이 이름은 실제로 어떤 파일을 실행하도록 설정됐을까. 서로 다른 샌드박스 보고서를 비교하면, 표시 이름보다 중요한 것은 임시 파일·이동 목적지·서비스 실행 경로가 맞물리는 관계다. CTX Threat Intelligence가 확보한 기록에서 표본은 시스템 디렉터리 아래 실행 파일을 배치하고 이를 서비스로 구동하려는 패턴을 반복했다. 한 보고서에는 해당 실행 파일이 services.exe의 자식으로 실행된 사실도 남아 있다. 이는 단순히 서비스 관련 문자열을 포함한 파일이 아니라, 분석 환경에서 서비스 기반 실행 구조를 구성한 표본이라는 판단을 뒷받침한다. 네트워크 기록은 그보다 좁은 결론을 허용한다.
#Windows#샌드박스#서비스설치#자동시작#실행파일#TCP25#네트워크트래픽행위자Smoky SpiderIOCf2 · i1 · d0 · u1MITRE33지역US산업소매·유통
APT회원 전용2026년 10월 31일 01:56 (UTC+9)BHO 등록값과 COM 키로 확인된 DLL의 브라우저 통합 설정
Deals Plugin Extension.dll을 실행한 샌드박스에서 브라우저 확장 등록 영역에 값이 기록됐다. 대상은 Windows 레지스트리의 Browser Helper Objects였고, 기록된 이름은 CrossriderApp0021806이었다. 이 DLL은 단지 브라우저 관련 이름을 가진 파일인가, 아니면 실제로 브라우저에 연결되는 설정을 만드는 구성요소인가. CTX Threat Intelligence가 확보한 기록은 후자를 뒷받침한다. 같은 분석 보고서의 DLL 호출 구조와 COM 등록 키가 브라우저 확장 설정을 구체적인 실행 맥락에 놓아주기 때문이다. 다만 여기서 드러나는 것은 하나의 완성된 감염 경로가 아니라, 각 구성요소가 수행한 서로 다른 역할이다. DLL 분석에서는 브라우저 등록 활동이, 같은 제품명을 가진 설치 실행파일에서는 임시 파일 생성과 자식 프로세스 실행이 관찰됐다. 여러 브라우저 부가기능 이름과 연결된 자바스크립트 파일도 있다.
#브라우저확장#BHO등록#COM등록#DLL분석#NSIS설치파일#DNS조회행위자DarkHotel · Fallout TeamIOCf51 · i0 · d2 · u9지역CA
APT회원 전용2026년 10월 30일 09:31 (UTC+9)DLL 분석서 확인된 HTTP 응답과 반복 목적지
한 DLL의 샌드박스 분석에서 https://162.244.80.68:443/rXpAvLRK로 보낸 GET 요청과 HTTP 200 응답이 기록됐다. 다른 분석 보고서에도 같은 IP·포트로 향한 TCP 트래픽이 남았다. 이는 단순히 파일과 함께 제시된 의심 주소 목록보다 구체적인 연결이다. 그렇다면 이 DLL은 원격 서버와 무엇을 주고받았으며, 그 통신은 어떤 실행 방식과 연결되는가. CTX Threat Intelligence가 확보한 기록은 첫 질문의 일부와 두 번째 질문의 출발점을 보여 준다. 분석 환경에서는 DLL 로더 아래에 rundll32.exe와 regsvr32.exe가 나타났고, 여러 보고서에서 특정 목적지로 향한 요청이나 트래픽이 확인됐다. 반면 응답 본문과 개별 네트워크 이벤트를 발생시킨 프로세스 식별자는 제공되지 않았다.
#윈도DLL#샌드박스분석#HTTPS요청#TCP트래픽#DLL로더#프로세스트리#위협추적행위자Lazarus Group · Hastati GroupIOCf1 · i5 · d0 · u6MITRE25지역RO
APT회원 전용2026년 10월 28일 14:49 (UTC+9)VAUX-COM 설치 흔적 뒤에 남은 UAC 설정 쓰기와 HTTP 탐지
VAUX-COM 관련 파일을 풀어놓는 실행파일의 분석 기록에 Windows 사용자 계정 컨트롤(UAC) 정책을 바꾸는 레지스트리 쓰기와, 두 웹 도메인의 logo.gif URL에 대한 악성코드 탐지 이벤트가 함께 남아 있다. 설치 프로그램이 파일을 생성하는 것은 자연스럽다. 그렇다면 이 표본에서 어디까지가 압축 해제와 설치의 흔적이며, 무엇이 그 이상의 검토를 요구하는가. CTX Threat Intelligence가 검토한 자료는 이 질문을 파일 이름이 아닌 세 가지 구체적 관계로 좁힌다. 임시 디렉터리에 생성된 실행파일의 내용이 분석 대상과 일치하고, UAC 및 파일 표시 설정에 특정 값이 기록됐으며, 표본에 연결된 네트워크 이벤트에는 정확한 호스트와 URL이 남았다. 이들은 단순히 “의심스러운 설치파일”이라는 분류보다 강한 근거다. 다만 서로 다른 분석 보고서의 관찰을 하나의 연속된 공격 과정으로 합칠 수는 없다.
#VAUX-COM#Sality#자동차진단소프트웨어#Windows#UAC설정변경#레지스트리쓰기#HTTP탐지행위자TA505 · Hive0065IOCf30 · i2 · d4 · u16MITRE51지역ES · GB · RO · RS
APT회원 전용2026년 10월 28일 11:10 (UTC+9)문서 이름으로 남은 PE, 실행파일과 해시 일치
엑셀 문서를 분석한 샌드박스에서 System.doc라는 파일이 기록됐지만, 실제 형식은 워드 문서가 아니라 윈도 실행파일이었다. 같은 보고서에는 사용자 프로필 아래 .templates 폴더에서 동작하는 System Manager.exe 프로세스와 offlineearthquake.com으로 향하는 HTTP 요청도 남았다. 문서처럼 보이는 파일, 실행 중인 프로그램, 외부 도메인은 어디까지 하나의 동작으로 연결할 수 있을까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 파일 이름이 아니라 내용의 일치다. 엑셀 분석 중 드롭된 파일의 SHA-256은 별도로 분석된 System Manager 실행파일과 정확히 같았다. 그 실행파일의 독립 분석에서도 동일한 도메인의 /download 경로로 요청한 기록이 확인됐다. CTX Team은 이를 문서와 실행파일 사이의 배치 관계, 그리고 두 분석에서 공통으로 사용된 네트워크 목적지를 보여 주는 근거로 평가한다.
#엑셀문서#오피스매크로#PE실행파일#샌드박스분석#파일해시#HTTP요청#DNS분석행위자OilRig · APT34IOCf4 · i0 · d1 · u1MITRE10지역US산업소매·유통
APT회원 전용2026년 10월 27일 09:10 (UTC+9)공통 C2 설정 가진 세 파일, 같은 로그온 실행 경로 지정
윈도 자동 실행 항목에 기록된 이름은 Synaptics Pointing Device Driver였지만, 실행 대상으로 지정된 곳은 C:\ProgramData\Synaptics\Synaptics.exe였다. 이 설정은 서로 다른 세 파일의 샌드박스 이벤트에서 반복됐다. 그중 두 파일의 기록에는 Remote Data라는 서비스 이름 아래 .txt 파일을 인수로 받는 프로세스도 등장한다. 장치 드라이버를 연상시키는 이름과 텍스트 확장자는 실제 동작을 얼마나 설명해 주는가. CTX Threat Intelligence가 검토한 자료에서 세 파일을 연결하는 근거는 이름뿐이 아니다. 메모리 덤프에서 추출한 설정에 동일한 명령제어(C2) 호스트와 다운로드 주소들이 들어 있었고, 호스트 이벤트에서는 같은 자동 실행 경로가 확인됐다. CTX Team은 이를 통신 설정을 공유하는 파일군에서 로그온 실행 설정과 서비스 관련 동작이 함께 나타난 사례로 평가한다.
#윈도자동실행#Run레지스트리#C2설정#다운로드설정#서비스실행#프로세스생성#파일생성행위자APT28 · StrontiumIOCf24 · i2 · d0 · u0MITRE35지역US산업소매·유통
APT회원 전용2026년 10월 26일 10:19 (UTC+9)AEDT.zip에서 나온 실행파일, 별도 분석 EXE와 해시 일치
AEDT.exe의 샌드박스 분석에서 서로 다른 IP 주소를 향한 HTTPS POST 요청 세 건이 기록됐다. 목적지는 443이 아닌 5938·9785·2221번 포트였고, 요청 경로는 앱 삭제나 대화 설정 변경을 가리키는 API처럼 보였다. 그러나 제시된 세 응답은 모두 HTTP 502였다. 이 기록은 무엇을 뜻하며, 별도로 분석된 AEDT.zip과는 어떻게 연결될까. CTX Threat Intelligence가 확보한 자료에서 가장 강한 연결은 이름이 아니라 파일 내용과 실행 관계다. ZIP을 분석한 Zenbox 보고서에는 압축 해제로 생성된 실행파일의 해시, 그 파일을 시작한 프로세스, 별도 실행파일 분석과 겹치는 네트워크 목적지가 함께 남았다. CTX Team은 이를 같은 실행파일의 포장 형태와 실행 시 관찰을 연결하는 근거로 평가한다. 반면 API처럼 보이는 경로와 서버 응답만으로 명령 수행이나 데이터 수신 성공까지 입증되지는 않는다.
#AEDT.zip#AEDT.exe#윈도실행파일#샌드박스분석#압축파일#HTTPS요청#네트워크목적지행위자SafePayIOCf2 · i3 · d0 · u8MITRE12지역JO · PK산업정부·공공
APT회원 전용2026년 10월 25일 05:30 (UTC+9)Serviceamd10, 별도 XMRig 실행·동봉 드라이버 로드 확인
C:\Windows\Serviceamd10\ 아래에 실행파일과 WinRing0x64.sys, config.json이 함께 놓였고, 그 실행파일이 분석 대상의 자식 프로세스로 시작됐다. 이름만 보면 하나의 프로그램이 설치되는 모습이지만, 파일 내용과 실행 관계를 대조하면 역할이 갈린다. 처음 실행한 파일은 32비트 Visual Basic 실행파일이고, 새 경로에서 시작된 파일은 별도의 64비트 XMRig 실행파일이다. 함께 배치된 드라이버는 단순히 디스크에 남은 것일까, 실제로 로드되기도 했을까. CTX Threat Intelligence가 검토한 자료는 이 질문에 상당 부분 답한다. Serviceamd10 표본은 XMRig 실행파일을 배치하고 시작하는 런처로 동작했으며, 같은 표본의 분석 자료에는 함께 배치된 WinRing0와 내용이 일치하는 드라이버 로드 이벤트도 있다. 핵심은 ‘채굴기’라는 탐지명보다 구체적인 이 연결이다.
#Serviceamd10#XMRig#WinRing0#채굴프로그램#런처#드라이버로드#샌드박스분석행위자Salty Spider · KuKuIOCf8 · i1 · d1 · u7MITRE13지역US
APT회원 전용2026년 10월 23일 19:09 (UTC+9)원본에서 갈라진 두 실행파일, 해시로 추적한 배치 경로
한 실행파일을 분석한 CAPE 샌드박스에서 임시 폴더의 1.exe와 2.exe가 각각 자식 프로세스로 나타났다. 그런데 두 파일의 활동은 같은 이름으로 끝나지 않았다. 1.exe 아래에는 TiWorker.exe 프로세스가 기록됐고, 2.exe가 생성한 파일은 svhost.exe였다. 이들은 서로 다른 기능을 맡은 구성요소일까, 아니면 이름만 바뀐 같은 파일일까. CTX Threat Intelligence가 검토한 기록은 파일 해시와 프로세스 관계를 통해 이 질문의 상당 부분에 답한다. 원본 실행파일은 내용이 다른 두 실행파일을 임시 경로에 배치했다. 한쪽은 시스템 프로세스를 연상시키는 이름으로 실행됐고, 다른 쪽은 별도 분석에서 사용자 시작프로그램 폴더에 동일한 내용으로 배치돼 그 경로의 프로세스까지 관찰됐다. 핵심은 의심스러운 이름의 개수가 아니라, 두 종류의 파일 내용이 어떤 경로와 실행 관계로 이어지는지에 있다.
#윈도실행파일#샌드박스분석#파일해시#프로세스트리#시작프로그램폴더#Run레지스트리#지속성설정행위자Snowglobe · Animal FarmIOCf3 · i2 · d0 · u1MITRE43지역GB · ZA산업정부·공공
APT회원 전용2026년 10월 23일 06:22 (UTC+9)설정 속 C2 주소, 별도 분석에서 POST 요청 대상으로 확인
샌드박스에 남은 HTTP 요청은 host-host-file8.com의 루트 경로를 향했다. 요청 방식은 POST였고, 헤더의 본문 길이는 366바이트로 표시됐다. 이 주소는 다른 실행파일에서 추출한 설정에도 명령제어(C2) 대상으로 들어 있었다. 설정 속 주소가 실제 통신에 쓰였는지, 아니면 사용 여부를 알 수 없는 문자열에 머물렀는지를 가르는 단서다. CTX Threat Intelligence가 검토한 자료에서는 이 질문에 구체적인 답을 얻을 수 있다. 한 파일의 설정에 있는 정확한 URL이 다른 파일의 행동 분석에서 HTTP 요청 대상으로 관찰됐다. 그 행동 보고서에는 호스트의 DNS 해석 결과와 해당 IP의 80번 포트로 향한 TCP 트래픽도 함께 기록돼 있다. 따라서 이 주소는 설정에만 존재하는 후보가 아니라, 적어도 해당 분석에서 실제 요청 대상으로 쓰인 엔드포인트다. 다만 두 파일이 한 실행 과정의 앞뒤 단계였다는 뜻은 아니다.
#샌드박스분석#HTTPPOST#C2설정#DNS해석#TCP트래픽#파일쓰기#해시일치행위자Barium · Wicked SpiderIOCf19 · i0 · d4 · u2MITRE20지역PK
APT회원 전용2026년 10월 22일 09:29 (UTC+9)서비스 이름과 맞물린 방화벽 규칙 삭제 명령
Windows 방화벽 규칙 두 개를 삭제하도록 지시한 프로세스 생성 기록에 upWire와 wire라는 이름이 남았다. 별도로 보고된 파일 자료에는 같은 이름의 Windows 서비스 경로가 있다. 단순한 방화벽 변경 경보보다 구체적인 연결이다. 그렇다면 이 기록은 해당 프로그램이 자신의 통신 설정을 정리한 흔적일까, 아니면 방어 설정을 바꾸려 한 행동일까. CTX Threat Intelligence가 검토한 자료에서 가장 강하게 뒷받침되는 사실은 서비스 이름과 일치하는 방화벽 규칙을 대상으로 삭제 명령이 실행됐다는 것이다. 명령을 받은 프로세스는 Windows의 netsh.exe였고, 각 이벤트에서 확인되는 직접 부모는 cmd.exe였다. 다만 그 위에서 명령 실행을 시작한 프로그램이나 삭제 결과까지 나타나지는 않는다. 따라서 이 사례의 핵심은 ‘방화벽 무력화가 확인됐다’는 결론이 아니라, 어떤 소프트웨어의 어떤 설정을 겨냥한 작업인지 조사 범위가 좁아졌다는 데 있다.
#윈도우방화벽#방화벽규칙삭제#프로세스생성#윈도우서비스#netsh#코드서명행위자Cactus · Cactus Ransomware GroupIOCf11 · i14 · d6 · u1MITRE17산업교육·연구 · 정부·공공
APT회원 전용2026년 10월 21일 17:36 (UTC+9)AppPatch의 svchost.exe, 실행 기록과 로그온 설정에 같은 경로
C:\Windows\AppPatch\svchost.exe가 실행됐고, 그 부모는 다운로드 폴더에 있던 또 다른 svchost.exe였다. 프로세스 생성 기록에는 AppPatch에서 실행된 파일의 해시까지 남았다. 별도의 레지스트리 이벤트에서는 같은 AppPatch 경로가 Winlogon의 userinit 값에 추가됐다. 이 파일은 단지 Windows 프로세스처럼 보이는 이름을 쓴 것일까, 아니면 그 이름과 위치를 실행 유지에 활용하려 한 것일까. CTX Threat Intelligence가 검토한 자료는 후자의 해석을 뒷받침한다. 핵심은 파일명이 아니라, 해시로 확인되는 실행 위치와 로그온 관련 설정에 적힌 경로의 일치다. 여기에 표본 분석에서 관찰된 /login.php HTTP 요청과 목적지 주소를 확인해 주는 DNS 기록이 더해진다. 로컬에서는 시스템 프로세스로 보이려는 실행과 지속성 관련 변경이, 네트워크에서는 구체적인 웹 요청이 확인된다.
#svchost.exe위장#AppPatch#Winlogon#userinit#지속성설정#HTTP요청#DNS기록행위자Emotet Group · TA542IOCf2 · i3 · d56 · u16MITRE27지역US산업소매·유통
APT회원 전용2026년 10월 20일 09:35 (UTC+9)메일 호스트 이름, 과거 HTTPS 인증서에서도 확인
lru.li의 메일 수신 서버 목록에 있는 turing.lru.li가 IP 주소 49.12.115.177에서 관찰된 HTTPS 인증서에도 등장한다. DNS와 인증서에 같은 호스트명이 기록된 것이다. 이 일치는 해당 IP의 역할을 좁혀 주지만, 메일 서버를 찾은 것과 악성 메일의 발신지를 확인한 것은 다르다. 함께 검토된 웜 계열 의심 실행파일까지 이 관계에 연결할 수 있을까. CTX Threat Intelligence 자료에서 확인되는 연결은 호스트명 수준이다. lru.li의 MX 레코드는 turing.lru.li를 메일 수신 대상으로 지정하며, 해당 IP의 과거 인증서는 같은 이름을 담고 있다. CTX Team은 이를 메일 호스트의 인프라를 추적할 구체적인 단서로 평가한다. 다만 실행파일이 이 호스트를 사용했다는 설정이나 통신 기록은 제공되지 않았다. MX 레코드는 도메인 앞으로 오는 메일을 어느 호스트로 전달하도록 설정했는지 보여 준다.
#메일수신서버#MX레코드#HTTPS인증서#호스트명#IP주소#악성의심실행파일#인프라조사행위자Lazarus Group · Hastati GroupIOCf67 · i9 · d5 · u0지역US산업소매·유통
APT회원 전용2026년 10월 19일 18:16 (UTC+9)큰 설치 파일이 남긴 update.exe, 자식 프로세스로도 확인
setup.exe의 자식으로 update.exe가 실행되고, 그 아래에는 임시 폴더의 update.tmp가 나타났다. 이름만 보면 설치 프로그램이 업데이트를 처리하는 모습이다. 그러나 샌드박스가 기록한 update.exe의 내용은 별도로 분석된 다른 setup.exe 표본과 정확히 같았다. 여기서 질문은 두 파일이 비슷한 이름을 쓰는지에서, 한 설치 프로그램이 다른 설치 프로그램을 어떤 관계로 실행했는지로 바뀐다. CTX Threat Intelligence 자료를 검토한 CTX Team은 파일 생성 기록과 같은 보고서의 부모·자식 프로세스 관계를 통해 이 연결을 확인했다. 더 큰 실행 파일은 더 작은 실행 파일을 update.exe라는 이름으로 기록했고, 해당 경로는 자식 프로세스로도 등장했다. 작은 파일을 따로 실행한 분석에서는 큰 파일의 실행 중 나타난 것과 내용이 같은 임시 실행 파일까지 확인됐다.
#설치프로그램#파일생성#자식프로세스#해시일치#임시실행파일#샌드박스분석#채굴풀조회행위자Void Arachne · Silver FoxIOCf16 · i4 · d2 · u1지역BR
APT회원 전용2026년 10월 19일 03:02 (UTC+9)드롭 파일의 해시 일치로 확인한 두 악성 표본의 전달 관계
한 실행 파일을 분석한 샌드박스에서 C:\uflt72e\ba4q0elt.exe가 드롭됐고, 그 파일의 SHA-256은 별도로 분석된 다른 악성 표본과 일치했다. 두 표본의 분석에서는 같은 HTTP 주소로 보내는 POST 요청도 기록됐다. 단순히 의심스러운 서버 하나를 공유하는 파일들일까, 아니면 한쪽이 다른 쪽의 코드를 전달하는 관계일까. CTX Threat Intelligence가 검토한 자료는 후자에 더 구체적인 근거를 제공한다. 두 샌드박스가 첫 표본에서 동일한 내용의 두 번째 표본이 드롭됐다고 기록했다. 두 번째 표본에서는 메모리에서 추출한 C2 설정과 실제 HTTP 요청의 전체 URL이 맞아떨어졌고, 임시 디렉터리의 실행 파일을 로그온 시 시작하도록 지정하는 레지스트리 변경도 확인됐다. 이 사례의 핵심은 악성코드 이름의 유사성이 아니라, 파일 내용의 동일성으로 확인한 전달 관계에 통신과 실행 유지 설정이 더해진다는 점이다.
#악성코드분석#샌드박스분석#파일드롭#HTTP통신#C2설정#레지스트리Run키#예약작업행위자TA505 · Hive0065IOCf10 · i1 · d0 · u2MITRE38지역PK
APT회원 전용2026년 10월 18일 09:36 (UTC+9)이름 달라도 내용 같은 C# 소스, MSBuild 아래 크롬 실행
윈도 .NET 빌드 도구인 MSBuild.exe 아래에서 크롬이 실행됐다. 명령줄에는 화면 없이 동작하는 --headless, 원격 디버깅 포트 9223, 기존 크롬 사용자 데이터 경로와 Default 프로필을 지정하는 옵션이 함께 있었다. 샌드박스에서 분석된 실행 파일은 왜 빌드 도구를 호출하고, 그 도구 아래에 브라우저를 실행했을까. CTX Threat Intelligence가 검토한 기록은 이 질문을 단순한 의심 프로세스 탐지보다 구체적으로 좁혀 준다. 분석 대상은 C# 소스 파일을 생성하고 .NET 컴파일러를 호출했다. 별도의 네트워크 증거에서는 메모리에서 추출한 명령제어(C2) 설정의 IP·포트와 실제 트래픽 목적지가 일치했다. 다른 호스트에서는 실행 파일 경로에 대한 HTTP 요청과 200 응답도 기록됐다. 핵심은 이들을 하나의 완성된 공격 순서로 묶는 데 있지 않다.
#BoodyF.exe#샌드박스분석#C#소스생성#.NET컴파일#MSBuild#헤드리스크롬#C2설정#HTTP실행파일요청행위자Scully Spider · TA547IOCf13 · i1 · d0 · u2MITRE18지역PK
APT회원 전용2026년 10월 15일 15:24 (UTC+9)이름 다른 두 프로세스, 같은 해시로 연결된 자동 시작 경로
샌드박스에서 conhost.exe가 svchost.exe를 자식 프로세스로 실행했다. 두 이름은 서로 다른 프로그램처럼 보이지만, 프로세스 생성 이벤트에 기록된 파일 해시는 같았다. 하나는 Windows 오류 보고 경로 아래의 임시 폴더에, 다른 하나는 사용자 AppData 폴더에 있었다. 이름과 위치가 바뀌었을 뿐 같은 실행 파일 내용이 두 프로세스에 쓰인 것이다. 이 관계는 단순한 시스템 프로세스 이름 위장인지, 다른 위치에서 실행을 이어가기 위한 구조인지를 묻게 한다. CTX Threat Intelligence가 검토한 자료는 후자의 해석을 뒷받침한다. 상위 실행 파일이 임시 폴더에 구성 요소를 생성했고, 그 구성 요소 아래에서 같은 해시의 AppData 실행 파일이 실행됐다. 같은 샌드박스 보고서에는 AppData 경로를 가리키는 사용자 Run 값도 남았다. 핵심은 의심스러운 파일명이 여러 개 발견됐다는 사실이 아니다.
#샌드박스분석#프로세스생성#파일해시#부모·자식관계#실행파일생성#자동시작#레지스트리Run#DNS조회행위자APT27 · TEMP.HippoIOCf10 · i1 · d4 · u8
APT회원 전용2026년 10월 14일 23:12 (UTC+9)텔레그램 시작 보고 요청에 로그온 재실행 설정까지
한 Windows 실행 파일의 샌드박스 기록에 텔레그램으로 향하는 메시지 전송 요청이 남았다. 내용은 [CLIPPER STARTED]라는 시작 알림과 실행 환경 정보였다. 같은 분석 보고서에는 이 프로그램을 로그온 때 다시 실행하도록 설정하는 레지스트리 쓰기와 예약 작업 생성 명령도 기록됐다. 단순히 외부 서비스에 접속한 프로그램인가, 아니면 자신의 시작을 알리고 다음 실행까지 준비하는 프로그램인가. CTX Threat Intelligence가 검토한 자료에서 가장 구체적으로 드러나는 것은 후자에 가깝다. 표본 #87b45bdb940b는 텔레그램 봇 API에 시작 상태를 보고하는 요청을 내보냈으며, 로컬에서는 로그온 실행 설정과 방화벽 변경, 이벤트 로그 삭제를 시도했다. 다만 메시지에 적힌 ‘클리퍼’라는 자기 설명과 실제 클립보드 조작은 구분해야 한다. 제공된 기록이 직접 보여 주는 것은 클립보드 탈취가 아니라 외부 상태 보고와 지속 실행을 위한 로컬 설정 행동이다.
#CTXThreatIntelligence#텔레그램봇API#Windows실행파일#샌드박스분석#시작상태보고#로그온실행설정#방화벽규칙변경시도#이벤트로그삭제시도행위자Comment Crew · Byzantine CandorIOCf4 · i1 · d1 · u0MITRE19지역SG
APT회원 전용2026년 10월 14일 07:13 (UTC+9)한 DLL의 C2 설정에 묶인 세 호스트, DNS·TLS 특성은 달랐다
한 DLL에서 추출한 설정에 호스트 이름만 다른 세 개의 HTTP 주소가 들어 있었다. 모두 80번 포트의 /8/forum.php를 가리켰고, 설정 분석 결과에서는 명령제어(C2) 접속 대상으로 분류됐다. 이 주소들은 같은 악성 파일과 연결된다는 점에서는 동등하다. 그렇다면 세 호스트도 같은 시기에 같은 방식으로 운영된 서버라고 볼 수 있을까. CTX Threat Intelligence가 검토한 자료는 그보다 구체적인 구분을 가능하게 한다. 두 도메인은 설정상의 경로뿐 아니라 기록된 네임서버와 TLS 서비스 지문도 같았다. 나머지 하나는 다른 DNS·TLS 특성을 보였고, 제공된 도메인 생성일은 파일의 최초 제출일보다 늦었다. 하나의 접속 대상 묶음 안에 들어 있다는 사실과, 같은 운영 이력을 가진 인프라라는 판단 사이에 차이가 드러나는 대목이다. 이 사례의 핵심은 세 서버에 대한 통신을 재구성하는 데 있지 않다.
#WindowsDLL#C2설정#HTTP#DNS#TLS#JARM#샌드박스분석행위자TA511 · MAN1IOCf1 · i0 · d3 · u6지역RO
APT회원 전용2026년 10월 13일 15:19 (UTC+9)설정 속 두 도메인, 샌드박스 POST 요청 대상으로 확인
악성코드에서 추출한 설정에 들어 있던 두 도메인이 샌드박스의 HTTPS POST 요청 대상에도 나타났다. 같은 파일을 분석한 다른 보고서에서는 파일명에 붙은 문자열이 안내문 이름, 아이콘 파일, 윈도 파일 연결 레지스트리에 반복됐다. 외부 통신과 호스트 변경은 각각 무엇을 말해 주며, 어디까지 하나의 작동 방식으로 연결할 수 있을까. CTX Threat Intelligence가 검토한 자료는 이 파일의 통신 대상과 랜섬웨어성 호스트 변경을 구체적으로 뒷받침한다. 두 도메인은 단순히 실행 파일에 남아 있는 문자열에 그치지 않았다. 로컬 흔적 역시 낯선 확장자를 가진 파일 몇 개가 아니라, 해당 확장자의 표시 방식까지 함께 설정한 관계로 나타났다. 다만 외부에서 받은 명령이 파일 변경을 일으켰다는 인과관계까지 기록된 것은 아니다. 이 사례의 핵심은 그 빈틈을 가상의 공격 순서로 메우는 대신, 서로 맞물리는 관찰을 통해 각 요소의 역할을 밝히는 데 있다.
#DarkSide계열#랜섬웨어#악성코드분석#HTTPSPOST#윈도레지스트리#파일연결설정#샌드박스행위자Darkside · Gold WaterfallIOCf87 · i0 · d1 · u3MITRE37지역RO
APT회원 전용2026년 10월 12일 23:15 (UTC+9)같은 파일 가리킨 로그인 실행·Defender 제외 설정
%WINDIR%\rss\csrss.exe라는 경로가 파일 기록, 로그인 실행 설정, 보안 검사 예외 항목에 거듭 등장한다. Windows 시스템 프로세스를 연상시키는 이름이지만, 분석 기록이 주목한 것은 이름 자체보다 rss라는 하위 디렉터리와 그곳을 가리키는 설정들이다. 이 파일은 단지 시스템 파일처럼 보이려 한 것일까, 아니면 그 위치를 지속적인 실행 거점으로 삼으려 한 것일까. CTX Threat Intelligence가 검토한 샌드박스 자료는 후자의 해석을 뒷받침한다. 해당 경로에 놓인 실행 파일은 분석 대상 표본과 SHA-256이 같았고, 사용자 Run 값은 그 경로를 실행 대상으로 지정했다. 별도의 규칙 일치 이벤트에는 같은 파일을 로그온 때 실행하도록 예약 작업을 만드는 명령이 남았다. Defender 검사 제외 설정을 겨냥한 레지스트리 쓰기에도 rss 경로와 csrss.exe 이름이 나타났다.
#윈도우#자동시작#예약작업#Defender제외#지속성시도#Tor#샌드박스분석행위자Barium · Wicked SpiderIOCf5 · i0 · d2 · u0MITRE46지역SA
APT회원 전용2026년 10월 10일 23:13 (UTC+9)사용자 폴더 실행 파일, 로그인 실행 대상으로 등록
사용자 폴더에 기록된 실행 파일과 로그인 시 실행하도록 등록된 명령이 같은 경로를 가리켰다. Windows 실행 파일을 분석한 Rising MOVES 샌드박스 보고서에는 C:\Users\<user>\daxixreameam.exe 파일 쓰기와, 이 경로를 대상으로 한 사용자 Run 레지스트리 값 설정이 함께 남았다. 이 관계는 단순히 수상한 파일 이름을 발견한 것과 다르다. 디스크에 기록된 파일이 다음 로그인 때 실행할 대상으로도 지정됐다는 뜻이다. 그렇다면 이 표본은 시스템에 돌아올 자리를 마련하는 데 그쳤을까, 아니면 외부와 통신하는 역할도 드러냈을까. CTX Threat Intelligence가 확보한 자료에는 같은 표본의 별도 분석에서 여러 목적지의 TCP 25번 포트로 향한 통신도 기록돼 있다. CTX Team은 이를 사용자 로그인에 연결된 실행 설정과 메일 서비스 포트를 향한 외부 통신이 함께 나타난 사례로 평가한다.
#윈도실행파일#샌드박스분석#Run레지스트리#로그인실행설정#TCP25번포트#HTTP요청#DNS조회행위자Pinchy Spider · SodinokibiIOCf2 · i4 · d10 · u11지역DE · US산업소매·유통
APT회원 전용2026년 10월 10일 07:26 (UTC+9)같은 하위 도메인 이름, 서로 다른 CNAME 대상
서로 다른 두 도메인 아래에 같은 16자리 문자열의 하위 도메인이 등장한다. 69f335c8397887d4.tyui54345.xyz와 69f335c8397887d4.zxcv56745.xyz다. 두 도메인에는 yzzcommon이라는 하위 도메인 이름도 나란히 존재한다. 이처럼 반복되는 이름은 같은 목적지에 접근하는 대체 주소를 뜻할까, 아니면 이름을 정하는 방식만 공유한 것일까. CTX Threat Intelligence의 DNS 자료에서 확인되는 핵심은 이름의 대칭성과 목적지의 동일성이 다르다는 점이다. 두 도메인군은 공통된 명명 규칙을 사용했을 가능성을 뒷받침하지만, 기록된 별칭의 대상은 서로 다르다. 이 관계는 인프라를 함께 살펴볼 구체적인 이유를 제공한다. 다만 이를 하나의 서버나 실제 통신 경로로 합치면 자료가 보여 주는 범위를 벗어난다. 두 yzzcommon 하위 도메인은 비교의 출발점이다.
#DNS#CNAME#하위도메인#도메인인프라#위협인텔리전스#네임서버행위자Gold Evergreen · Business ClubIOCf5 · i1 · d7 · u2지역US산업소매·유통
APT회원 전용2026년 10월 8일 23:52 (UTC+9)임시 배치 파일과 바로가기에 같은 스크립트 실행 명령
실행파일이 임시 폴더의 start.bat를 실행하고, 그 배치 파일을 처리하는 cmd.exe 아래에서 여러 PowerShell 프로세스가 나타났다. 그중 하나는 http://marketprice.pk/zxcvb.ps1의 내용을 가져와 명령으로 실행하도록 구성돼 있었다. 별도로 분석한 Windows 바로가기에서도 같은 PowerShell 명령과 해당 도메인의 DNS 조회가 기록됐다. 두 파일은 하나의 실행 사슬에 속한 것일까, 아니면 같은 다운로드 방식을 공유하는 것일까. CTX Threat Intelligence의 샌드박스 기록을 대조하면, 실행파일과 별도 바로가기 사이에서 확인되는 핵심 연결은 동일한 스크립트 요청·실행 명령이다. 실행파일이 바로가기들을 생성했다는 내용 식별 근거도 있지만, 그중 특정 파일이 별도 분석된 바로가기이며 실제 실행까지 이어졌다는 연결은 완성되지 않는다. 이 차이는 중요하다.
#윈도실행파일#윈도바로가기#임시배치파일#파워셸#원격스크립트#DNS조회행위자Patchwork · ChinastratsIOCf12 · i0 · d5 · u6MITRE31지역US산업소매·유통
APT회원 전용2026년 10월 8일 07:20 (UTC+9)로더가 만든 두 파일, 해시와 실행 관계로 역할 드러나
Loader by Sexsoldier.exe를 분석한 샌드박스에서 svchost.exe와 conhost.exe가 함께 생성됐다. 두 이름은 윈도 구성요소를 연상시키지만, 실행이 기록된 곳은 시스템 디렉터리가 아니라 Windows Error Reporting(WER) 임시 디렉터리였다. 이들은 단순히 수상한 이름을 가진 파일일까, 아니면 로더가 전달한 뒤 실행과 자동 시작에 사용하는 별도 구성요소일까. CTX Threat Intelligence가 검토한 기록은 두 파일의 역할을 내용 식별값과 실행 관계로 좁혀 준다. 로더의 분석 보고서에는 서로 다른 두 실행 파일을 생성한 프로세스가 명시돼 있다. 다른 관찰에서는 이 파일들이 로더의 자식 프로세스로 실행됐으며, svchost.exe는 사용자 AppData 경로의 실행 및 그 경로를 가리키는 Run 값과 연결된다. conhost.exe로 전달된 파일도 별도 분석에서 다른 윈도식 이름으로 실행되고 자동 시작 설정의 대상이 됐다.
#CTXThreatIntelligence#로더#샌드박스분석#프로세스생성#윈도오류보고임시디렉터리#AppData#Run자동시작행위자APT27 · TEMP.HippoIOCf9 · i1 · d0 · u0MITRE43지역BR · CO · EG · FR산업소매·유통
APT회원 전용2026년 10월 6일 23:14 (UTC+9)원본과 같은 update.exe, 재지정된 시작프로그램 폴더에 놓여
사용자 프로필 아래 AppData\Local\Start\update.exe가 기록됐다. 이름만 보면 업데이트용 실행 파일처럼 보이지만, Zenbox 분석에서 이 파일의 SHA-256은 분석 대상 실행 파일과 같았다. 같은 표본에 대한 별도의 레지스트리 이벤트에는 사용자의 시작프로그램 폴더를 AppData\Local\Start로 바꾸는 동작이 남아 있다. 왜 원본과 내용이 같은 파일이 놓인 디렉터리를 시작프로그램 위치로 지정했을까. CTX Threat Intelligence가 검토한 자료는 이 조합이 로그온 시 실행을 겨냥한 지속성 구성일 가능성을 뒷받침한다. 핵심은 Start라는 이름이나 update.exe라는 명칭 자체가 아니다. 파일이 놓인 위치와 운영체제가 시작프로그램 위치로 참조하도록 설정된 경로가 맞물린다는 점이다. 여기에 탐색기의 숨김 파일·확장자 표시 설정을 바꾸는 기록도 있다. 파일의 존재, 실행 위치의 지정, 화면에서의 표시 방식이 서로 다른 증거로 드러나는 사례다
#윈도우#시작프로그램#레지스트리#지속성구성#탐색기설정#Run키#실행파일행위자Salty Spider · KuKuIOCf17 · i1 · d2 · u5MITRE23지역AU · IT · TR
APT회원 전용2026년 10월 5일 15:15 (UTC+9)방화벽 규칙 삭제 요청, 서비스 이름과 일치
윈도우 샌드박스의 프로세스 생성 기록에 방화벽 규칙 두 개를 지우라는 명령이 남았다. 대상 이름은 upWire와 wire다. 같은 이름은 분석 대상 파일들의 서비스 레지스트리 흔적에도 등장한다. 이 일치는 단순한 방화벽 경보보다 구체적인 질문을 던진다. 서비스와 관련된 규칙을 정리한 것인가, 아니면 보안 설정을 바꾸려 한 것인가. CTX Threat Intelligence가 검토한 자료에서 가장 선명한 관찰은 cmd.exe를 부모로 하는 netsh.exe의 실행이다. 명령줄에는 삭제할 규칙 이름이 명시돼 있다. 여기에 서비스 이름의 일치와 두 파일의 동일한 코드 서명 인증서가 더해진다. CTX Team은 이를 서비스 관련 방화벽 규칙의 정리 또는 재구성을 검토할 근거로 판단한다. 다만 명령의 성공 여부와 시작점은 별개의 문제다. 기록은 방화벽 변경을 요청한 프로세스를 보여 주지만, 어느 분석 대상 실행 파일이 그 요청을 유발했는지까지 연결하지는 않는다.
#윈도우샌드박스#방화벽규칙#규칙삭제요청#서비스레지스트리#코드서명#프로세스생성#넷시행위자Space Pirates · WebwormIOCf20 · i9 · d6 · u2MITRE18
APT회원 전용2026년 10월 4일 10:53 (UTC+9)의심 IP보다 선명한 두 HTTP 요청 경로
한 Windows 실행 파일의 샌드박스 보고서에 http://178.16.54.109/us/n.txt와 같은 호스트의 /us/19233.txt를 요청한 기록이 남았다. 같은 보고서에는 외부 IP 확인 서비스에 대한 요청과 실행 파일 생성 흔적도 있다. 이 조합은 원격 서버에서 무언가를 받아 다음 프로그램을 실행하는 구조를 떠올리게 한다. 실제 기록은 그 해석을 어디까지 뒷받침할까. CTX Threat Intelligence가 확보한 자료에서 가장 선명한 연결은 특정 IP 주소를 향한 TCP 트래픽과 두 HTTP GET 요청의 일치다. 주소의 평판만으로 의심한 것이 아니라, 분석 대상 파일의 CAPE Sandbox 보고서에서 요청한 자원의 경로까지 확인된다. 별도의 C2AE 보고서에는 Windows 보안 정책과 알림 설정을 변경한 레지스트리 기록도 있다. CTX Team은 이를 원격 자원 요청, 로컬 실행 파일 출력, 보호 설정 변경이 각각 구체적으로 관찰된 사례로 판단한다.
#Windows실행파일#샌드박스분석#HTTP요청#원격자원호스트#PE산출물#레지스트리변경#보호설정변경행위자Turla · Iron HunterIOCf24 · i3 · d3 · u1지역US산업소매·유통
APT회원 전용2026년 10월 1일 14:27 (UTC+9)2012년 NSA 유출 코드, 9개 얼굴로 2024년까지 순환
CTX Team이 수집한 20개 샘플 세트를 펼쳐보면, 이 묶음의 본질은 신종 악성코드가 아니라 2017년 ShadowBrokers가 유출한 미국 국가안보국(NSA) 추정 Equation Group 툴킷의 재유통이라는 점이 뚜렷하게 드러난다. posh-0.dll(d63ecb86…), ucl.dll(65eb7225…), zlib1.dll(3f74b26f…) 세 파일은 이름과 크기가 모두 다르지만 동일한 임포트 테이블 해시(imphash) d72b69361b4de35bdd23a7da21297108를 공유한다 — 서로 다른 모듈로 포장됐지만 사실상 같은 빌드 톨체인에서 찍혀 나온 형제 파일이라는 뜻이다. 여기에 더해 DarkPulsar 커널 임플란트를 가리키는 YARA 룰 win_darkpulsar_auto는 이 20개 파일 가운데 무려 9개에서 동시에 발화한다.
#이터널블루#더블펄서#다크펄서#이퀘이션그룹#섀도브로커스#masscan#소매업#APT40행위자Raspite · LeafminerIOCf50 · i0 · d1 · u2MITRE59지역US산업소매·유통
APT회원 전용2026년 9월 30일 22:26 (UTC+9)예루살렘 브로슈어 위장 악성코드, 안티디버그부터 소모성 C2까지 완결 사슬
VirusTotal 기준 54/74개 엔진이 탐지하는 Win32 실행파일 하나(284a0c…dbd01)가, 겉으로는 "Brochure-Jerusalem_26082019_pdf.exe"라는 이름의 평범한 문서 뷰어처럼 보인다. 그러나 내부를 들여다보면 이 파일은 실행 직후 CPU 타이머를 직접 읽어 분석 환경 여부를 가늠하고, 디버거 부착 여부를 점검한 뒤, 재부팅 후에도 살아남는 지속성 메커니즘을 설치하고 WMI를 호출해 다른 호스트로 번져 나간다. 그리고 그 끝에는 프랑스에 위치한 Contabo GmbH의 VPS(213.199.63.58, AS 51167) 위에서 89일짜리 Let's Encrypt 인증서로 운영되는 nicoledotson.icu가 명령제어(C2) 거점으로 자리 잡고 있다. IOC 수는 단 4개 파일과 도메인·IP 각 1개로 많지 않지만, 유인문서 페어링부터 안티분석, 지속성, C2까지의 사슬이 이례적으로 끊김 없이 재구성된다는 점이 이 사건의 뉴스 가치다.
#APT-C-23#AridViper#통신서비스#팔레스타인#WMI확산#C2인프라#안티디버그#지속성메커니즘행위자APTC23 · Two-tailed ScorpionIOCf4 · i1 · d1 · u1MITRE36지역PS산업통신
APT회원 전용2026년 9월 29일 22:28 (UTC+9)백신 아이콘 위장한 Pikabot, 폐기된 EV서명 뒤에 숨다
Bitdefender의 실제 구성요소 이름인 bduserhost.exe를 그대로 베낀 실행 파일 하나가 CTX Team의 추적 과정에서 포착됐다. 파일 속성에는 제품명 "Bitdefender 2023", 저작권 문구 "©1997-2023 Bitdefender", 버전 27.0.25.114까지 정교하게 기입돼 있어 육안 검토만으로는 정품 백신 모듈과 구분하기 어렵다. 그러나 이 파일(aab0e74b…)에 물린 코드 서명은 "4leaf Holding Corp." 명의로 SSL.com EV Code Signing Intermediate CA RSA R3 산하에서 발급된 것이며, VirusTotal 검증 결과는 명확하다 — "발급 기관에 의해 명시적으로 폐기된 인증서"라는 판정이다. 이 파일은 트로이목마 계열 로더인 Pikabot(별칭 mikey, yxebtz)으로 분류돼 있고, VirusTotal 76개 엔진 가운데 56개가 이를 악성으로 탐지했다.
#Pikabot#SafePay#요르단정부#EV코드서명위장#Bitdefender위장#SlackAPI모사#Feodo#TrickBot행위자SafePayIOCf2 · i5 · d0 · u12MITRE12지역JO산업정부·공공
APT회원 전용2026년 9월 28일 14:28 (UTC+9)15년 된 웜 Sality, XMRig 채굴 배송관으로 재활용
2010년 7월 25일 VirusTotal에 처음 제출된 Sality 계열 드로퍼(df83a0d6…484a3c)가, 16년이 지난 지금도 Abuse.ch의 Suricata JA3 지문 룰셋에서 "SSLBL: Malicious JA3 SSL-Client Fingerprint detected (Tofsee)" 경보를 그대로 터뜨리고 있다. 이 파일 하나가 지금까지 281건의 제출, 46곳의 서로 다른 소스에서 관측됐다는 사실은 이 웜 계보가 폐기되지 않고 여전히 유통되고 있음을 보여준다. 그런데 이번 캠페인 스냅샷에서 눈에 띄는 것은 이 낡은 웜이 혼자가 아니라는 점이다. 같은 수집 창 안에서 XMRig 기반 채굴 실행파일과 그 설정파일(config.json)이 짝을 이뤄 함께 잡혔고, 여기에 이미지 파일로 위장한 저탐지 마이크로 페이로드 두 개가 다리 역할을 하듯 얹혀 있다.
#Sality#Tofsee#XMRig#SaltySpider#암호화폐채굴#자원하이재킹#JA3지문#악성인프라행위자Salty Spider · KuKuIOCf26 · i5 · d4 · u3지역US산업소매·유통
APT회원 전용2026년 9월 27일 22:41 (UTC+9)은닉 매크로시트로 재활용된 Emotet 로더 다시 포착
CTX Team이 이번 주기에 새로 확보한 XLS 문서(f2f0b898…, 2026-09-19 최초 관측)는 Emotet 계열 캠페인에서 낯익은 방식으로 시스템에 들어온다. 이 문서에는 YARA 룰 Microsoft_Excel_Hidden_Macrosheet와 SUSP_Excel4Macro_AutoOpen이 동시에 매치됐는데, 전자는 스프레드시트 안에 숨겨진 시트의 존재를, 후자는 레거시 Excel4 매크로가 자동 실행(auto-open) 구조로 설계돼 있음을 가리킨다. 두 개 샌드박스(DOCGuard, C2AE)가 이 문서를 만장일치로 악성으로 판정했고, C2AE는 신뢰도 80으로 DropLink·Emotet·Maldoc이라는 이름을 나란히 붙였다. 문서 하나에서 세 개의 명명이 겹친다는 것은 이 파일이 단순 드로퍼가 아니라, 업계가 이미 알고 있는 Emotet 전달 패턴의 재현임을 시사한다. Excel4 매크로시트는 VBA 매크로보다 훨씬 오래된 기능이다.
#Emotet#Zenpak#Dridex#Excel4매크로#은닉매크로시트#JA3지문#C2인프라#TA542행위자Emotet Group · TA542IOCf5 · i3 · d1 · u6지역US산업소매·유통
APT회원 전용2026년 9월 27일 06:30 (UTC+9)FreeEIM·RuntimeBroker 위장, 알고 보니 같은 Gh0st RAT 빌드
이번에 확인된 6개 파일 묶음에서 가장 눈에 띄는 사실은 새로운 악성코드가 아니라 "같은 빌드가 반복 재활용되고 있다"는 정황이다. RuntimeBroker라는 이름으로 위장한 두 드로퍼는 임포트 테이블 해시(eeac73be37480fd144f387e3563a0f14)와 PE 컴파일 시각(2022-04-10), 그리고 리치 헤더 해시(56e2842aeffe04ccc518aaac45a4a56e)까지 완전히 일치한다. 그런데 VirusTotal에는 이 두 파일이 하루 간격(2026-09-16, 2026-09-17)을 두고 서로 다른 파일명으로 따로 제출됐다. 동일한 빌드 산물이 이름만 바꿔 다시 뿌려졌다는 뜻이고, 이는 운영자가 새 코드를 짜기보다 이미 검증된 실행파일을 재포장해 재활용하고 있다는 것을 보여주는 직접적 근거다.
#SaltySpider#Gh0stRAT#FreeEIM#RuntimeBroker#루트킷#코드서명위조#ICMP스캔#farfli행위자Salty Spider · KuKuIOCf19 · i1 · d0 · u0MITRE35지역US산업소매·유통
APT회원 전용2026년 9월 26일 14:33 (UTC+9)정품 드라이버 위장한 Fareit/Pony 스틸러, 체크인 실증 포착
PE32 실행파일 한 개가 브라우저와 FTP 클라이언트에 저장된 계정 정보를 긁어모아 외부로 체크인하는 정황이 VirusTotal 탐지 엔진 67/76개에서 고스란히 확인됐다. 이 파일(8feae039…)은 실행파일 이름을 c:\windows\system32\drivers\partmgr.sys로 표기해 마치 커널 파티션 관리자 드라이버처럼 보이도록 해 두었지만, 실제로는 trojan.fareit/tepfer로 분류된 정통 크레덴셜 스틸러다. Elastic Security가 배포한 YARA 룰 Windows_Trojan_Pony_d5516fe8와 malpedia 계열의 win_pony_auto가 동시에 발화했고, 여기에 Proofpoint Emerging Threats의 IDS 시그니처 ET MALWARE Win32.Fareit.A/Pony Downloader Checkin과 ET MALWARE Fareit/Pony Downloader Checkin 2가 겹쳐 맞아떨어지는 것을 보면…
#Fareit#Pony스틸러#GorgonGroup#크레덴셜탈취#C2체크인#샌드박스회피#도메인인프라#AWS로드밸런서행위자Gorgon Group · SubaatIOCf2 · i0 · d5 · u2MITRE27지역RO
APT회원 전용2026년 9월 26일 06:30 (UTC+9)imphash로 드러난 두 빌드 라인, 레드라인 캠페인의 뼈대
레드라인·클립뱅커 계열 정보 탈취형 악성코드를 유포한 이번 캠페인의 파일들을 뜯어보면, 겉보기엔 뒤섞인 18개 샘플이 실제로는 최소 두 개의 서로 다른 빌드 라인으로 갈라진다. 하나는 서명 없이 고엔트로피 섹션을 그대로 노출한 2021년형 PE32 드로퍼 계열이고, 다른 하나는 PEiD로 패킹된 .NET MSIL 로더 계열이다. 두 계열은 imphash가 각각 477c037bd85187d5…와 f34d5f2d4577ed6d…로 고정돼 있어, 파일 크기나 컴파일 시각이 달라도 같은 빌더에서 찍어낸 것으로 보인다. 여기에 Discord CDN을 두 번째 단계 배포처로 쓴 별도의 드롭퍼 템플릿과, 2021년과 2024년을 가로질러 재등장하는 AutoIT 스크립팅 툴킷까지 겹치면서, 이 캠페인의 무게중심은 "누가 시켰는가"보다 "어떻게 지어졌는가"에 있다는 인상을 준다.
#레드라인스틸러#클립뱅커#OperationBlackAtlas#AutoIT툴킷#DiscordCDN#SingNet#엑셀애드인#정보탈취형악성코드행위자Operation Black AtlasIOCf18 · i3 · d3 · u8지역US
APT회원 전용2026년 9월 24일 15:31 (UTC+9)partmgr.sys 위장한 10MB 봇, 샌드박스 3곳서 전부 덜미
Win32 실행파일 한 개가 VirusTotal에서 65/76의 탐지율을 기록하고 있다. 파일 내부에 적힌 이름은 윈도우 디스크 파티션 관리 드라이버 partmgr.sys지만, 실제로 유통되는 형태는 전혀 다르다 — 89UlgiO5LXmpwSOaII.exe, 8krHNSKndIeDU5GFnJECrkOs.exe, MGgyJUnC7JZCbmbbpVoqa1Y.exe처럼 의미 없는 문자열을 이름으로 붙인 설치파일 다발로 확인된다. 이 파일은 CPU 타이머를 직접 읽어 분석 환경 여부를 가늠하는 루틴을 갖고 있으면서도, Dr.Web vxCube·Yomi Hunter·Lastline 세 개 샌드박스 모두에서 악성 판정을 피하지 못했다. 실행 이후 동작도 단순 배포용 파일치고는 손이 많이 간다.
#Tofsee#SmokeLoader#SmokySpider#파티션드라이버위장#샌드박스회피#Let'sEncrypt인증서#확산봇#MYTEK트레이딩행위자Smoky SpiderIOCf2 · i1 · d0 · u1MITRE33지역CH · NL산업지원 서비스 · 기술·IT
APT회원 전용2026년 9월 23일 14:28 (UTC+9)러시아 AS 위 3년 묵은 C2, 크랙 미끼로 Cobalt Strike 유포
새로 생성된 지 14일밖에 안 된 C2 도메인 bunnysecurityrelay.com이, 3년 전인 2023년 9월 20일에 등록된 도메인 poolfreshstep.com과 정확히 같은 자율시스템 번호(AS213010) 위에서 발견됐다. 이 AS의 소유자 정보는 "Gening Nikita Dmitrievich"로 등록돼 있으며, RIPE WHOIS 레코드는 이 조직의 주소를 러시아 알타이 지방 바르나울로 명시한다. GeoIP는 두 IP(87.251.75.204, 80.66.76.210) 모두를 독일로 표시하지만, 실제 네트워크 등록 정보가 가리키는 운영 주체는 러시아 쪽이라는 이 불일치는 흔한 지오로케이션 오차라기보다, 서유럽 IP 대역을 임대해 쓰는 러시아계 호스팅 운영자의 특징으로 읽는 것이 자연스럽다. 이 캠페인에서 가장 눈에 띄는 것은 멀웨어 자체가 아니라, 이 하나의 호스팅 인적 관계가 3년이라는 시간축을 가로질러 살아 있다는 사실이다.
#VoidArachne#SilverFox#CobaltStrike#AS213010#크랙소프트웨어#C2인프라#러시아호스팅#공학산업행위자Void Arachne · Silver FoxIOCf17 · i3 · d4 · u2지역BR산업엔지니어링
APT회원 전용2026년 9월 21일 06:32 (UTC+9)만료된 EV 서명 두른 크랙 미끼, 다이나닷 도메인망과 맞물리다
Advanced IP Scanner라는 이름으로 유통되는 설치파일 한 개가 VirusTotal에서 76개 엔진 중 단 2개에게만 탐지된다는 사실은 그 자체로는 이상해 보이지 않는다. 그런데 그 파일이 들고 있는 코드 서명 체인을 열어 보면 이야기가 달라진다. Famatech Corp. 명의로 발급된 이 서명은 Symantec Class 3 Extended Validation Code Signing CA를 경유하는 EV 체인이지만, VirusTotal의 서명 검증 결과는 세 개 인증서 모두에 대해 "This certificate or one of the certificates in the certificate chain is not time valid"라는 문구를 반복한다. 다시 말해 이미 유효기간이 끝난 서명이 여전히 실행파일에 붙어 있고, 그 서명 하나가 hacktool.scanner로 분류된 바이너리의 탐지율을 2/76까지 끌어내리는 데 기여하고 있다는 뜻이다.
#크랙소프트웨어#EV코드사이닝만료#Dynadot#Cloudflare네임서버#Expiro라벨#LockbitGang귀속오류#타이포스쿼팅#컨테이너포장업행위자Lockbit GangIOCf3 · i0 · d5 · u0MITRE6산업포장·용기
APT공개2026년 9월 20일 22:41 (UTC+9)가짜 Skype 설치파일, 10년 지나 다시 포착되다
10년도 더 된 Win32 실행파일 한 점이 최근까지도 VirusTotal에 재제출되고 있다는 사실 자체가 이 사건의 첫 번째 이상 신호다. 문제의 바이너리(b6ca1211…f518a403)는 내부 이름·제품명·저작권 문자열 세 항목 모두가 "Skype"로 채워져 있고, 저작권 표기는 "© 2003-2012 Skype and/or Microsoft"라는 실제 Skype 배포판과 거의 구분되지 않는 문구를 그대로 베껴 넣었다. 파일명 자체도 Skype.exe로 떨어지며, 설치 경로 흔적에는 C:\Program Files (x86)\6GR7q6bgzH\SCJiMyTymf\vuw7yL9T\LZBJKnks.exe처럼 무작위 문자열로 뒤덮인 디렉터리가 함께 기록돼 있다. 겉모습은 정품 통신 소프트웨어의 설치 파일이지만, 정작 코드 서명 검증은 실패한다 — 서명 자체가 존재하지 않는 상태다.
#Molerats#AridViper#DesertFalcon#Skype위장#flushupate.com#홍콩유통업#재부팅지속성#디버거회피행위자Molerats · Gaza CybergangIOCf1 · i0 · d1 · u1MITRE9지역CN · HK산업소매·유통
APT회원 전용2026년 9월 20일 14:29 (UTC+9)WebView2Loader 위장 DLL, 'Salat Stealer'로 포착되다
Microsoft Edge WebView2 런타임이 정상적으로 설치될 때 함께 배치되는 WebView2Loader.dll은 대부분의 엔드포인트에서 이미 익숙한 파일명이다. 그런데 CTX Team이 이번에 확보한 표본 가운데 하나(784a03c6…)는 정확히 이 이름을 그대로 쓰면서 x86-64 PE32+ DLL로 빌드돼 있었고, 샌드박스 엔진 Zenbox는 신뢰도 52%로 이를 악성으로 판정하며 분류를 MALWARE/TROJAN/EVADER로, 탐지명을 'Salat Stealer'로 명시했다. VirusTotal 기준 탐지율은 43/76 — 절반이 넘는 엔진이 여전히 놓치고 있는 셈이다. 같은 파일은 Varist라는 상용 패커로 패킹돼 있고 .rsrc 섹션의 엔트로피는 8.0에 달해, 실제 실행 코드나 페이로드가 리소스 섹션 안에 압축·암호화된 채 숨어 있다는 정황이 뚜렷하다.
#Snowglobe#SalatStealer#Vidar#WebView2Loader위장#DLL사이드로딩#GitHubraw스테이징#미국소매업#인증서SAN중첩행위자Snowglobe · Animal FarmIOCf45 · i2 · d1 · u2지역US산업소매·유통
APT회원 전용2026년 9월 20일 06:28 (UTC+9)폐기된 EV 서명 VPN 트로이, 샌드박스는 '정상' 오판
WireVPN 브랜드를 사칭한 실행파일 세 종이 동일한 WEILAI NETWORK TECHNOLOGY CO., LIMITED 명의의 GlobalSign GCC R45 EV CodeSigning 인증서 사슬을 공유하고 있고, 그 인증서는 이미 폐기 처리된 상태다. 더 눈에 걸리는 것은 이 가운데 하나(6729c713…)가 15개에서 21개에 이르는 정적 엔진에서 트로이로 잡히는 동안, 단 하나뿐인 샌드박스 판정에서는 98~99% 확신도로 "harmless/CLEAN"이라는 정반대 결론을 내렸다는 점이다. VPNMaster를 사칭한 별도 계열의 프록시 도구(e56053f4…) 역시 똑같은 정적·동적 판정 불일치를 보인다. CTX Team이 이번에 들여다본 지표 묶음은 결국 "서명이 신뢰를 만들고, 그 신뢰가 깨지는 순간에도 행위 탐지는 여전히 뒤처진다"는 오래된 문제를 다시 한 번 구체적 수치로 증명하는 사례다.
#WireVPN사칭#VPNMaster사칭#GlobalSignEV인증서폐기#코드사이닝남용#Zenlayer필리핀#중국통신사인프라#DGA도메인#샌드박스오탐행위자Cactus · Cactus Ransomware GroupIOCf33 · i5 · d9 · u2MITRE20
APT회원 전용2026년 9월 19일 22:37 (UTC+9)4년 건너 재현된 지문, Farfli/Gh0st 드로퍼의 귀환
Farfli/Gh0st 계열 드로퍼 세 개가 2022년과 2026년, 4년의 시차를 두고도 똑같은 PEiD 패커 지문과 크라우드소스 YARA 룰을 동시에 울린다. 이번에 함께 관측된 다섯 개 파일과 하나의 도메인 가운데 가장 뚜렷한 신호는 이 패커·룰 지속성이다 — freeeim.exe로 위장한 드로퍼(이하 'freeeim 드로퍼', bc29f2022a…, 2022-04-13 최초 확인)와 N.exe라는 임시 이름을 쓰는 드로퍼(이하 'N.exe 드로퍼', 3de6c02f5…, 2022-04-18), 그리고 HD_software.exe로 위장한 가장 최근 샘플(이하 'HD_software 드로퍼', f4bb9734…, 2026-09-18)이 모두 PEiD 패킹 흔적을 공유한다. 임포트 해시는 파일마다 제각각이라 5e0a0792d259…, 19d4e66d725c…, eeac73be3748… 세 갈래로 흩어지지만, 빌드 툴체인의 흔적만큼은 좀처럼 바뀌지 않았다.
#SaltySpider#Farfli#Gh0stRAT#QAssist.sys#루트킷#87yun.club#소매업#첩보행위자Salty Spider · KuKuIOCf14 · i0 · d1 · u3MITRE30지역US산업소매·유통
APT회원 전용2026년 9월 18일 23:05 (UTC+9)문서는 잡히는데 인프라는 못 잡는다, Emotet 뒤 C2 하루 만에 가동
트로이목마 계열 표식이 붙은 XLS 파일 한 건과, 그 파일이 활동을 시작한 바로 다음 날 인증서가 새로 관측된 두 개의 IP가 CTX Team의 분석 테이블 위에서 겹쳤다. 매크로 다운로더 자체는 낯설지 않다 — VirusTotal 기준 42/75개 엔진이 이 파일을 trojan.emotet/abracadabra로 잡아냈고, 크라우드소스 YARA 룰 SUSP_Excel4Macro_AutoOpen도 함께 발화했다. 그러나 이 문서가 활동을 개시한 지 하루 뒤 새 인증서를 단 채 모습을 드러낸 두 개의 IP는 정반대다. 185.15.196.157과 157.173.108.85는 모두 VirusTotal에서 0/89, 평판 투표 0건인 상태로 위협 피드의 c2-servers 카테고리에만 이름을 올리고 있다. 이 비대칭이 이번 관측의 핵심이다. 파일 쪽은 이미 낡은 시그니처로 포착되는 반면, 그 파일이 호출할 가능성이 있는 인프라 쪽은 아직 어떤 평판 엔진에도 걸리지 않았다.
#Emotet#abracadabra#C2서버#XLM매크로#도메인연령세탁#Let'sEncrypt#리셀러호스팅#스피어피싱행위자Emotet Group · TA542IOCf1 · i2 · d3 · u2지역US산업소매·유통
APT회원 전용2026년 9월 17일 06:29 (UTC+9)13개 IP, 하나의 빈 인증서…바이트댄스까지 얽힌 VPN 위장 유통망
VPN·프록시 유틸리티로 위장한 서명된 설치파일 뒤에서, CTX Team은 서로 무관해 보이는 4개의 자율시스템(ASN)에 흩어진 13개 IP가 정확히 동일한 자가서명 TLS 인증서를 공유하는 정황을 확인했다. 시리얼 넘버는 1acf3e37b37910d932ea64e6bb27615d6484c07d이고, 발급자와 주체(subject) 필드는 모두 "NONE"으로 비어 있다 — 정상적인 PKI 발급 절차를 거친 인증서가 아니라, 서버 소프트웨어나 어플라이언스 이미지에 기본값으로 박혀 있는 placeholder 인증서로 보는 것이 자연스럽다. 이 인증서가 걸린 13개 IP는 싱가포르·미국·홍콩·필리핀·독일·영국·러시아 7개국에 걸쳐 있으며, 그중에는 놀랍게도 바이트댄스(ByteDance Inc., AS396986) 소유의 주소 공간과 저가 VPS 임대사업자 Zenlayer Inc(AS21859)가 함께 포함돼 있다.
#VPN트로이#코드사인남용#Zenlayer#바이트댄스#WEILAI네트워크테크놀로지#INNOVATIVECONNECTING#다중ASN호스팅#자가서명인증서행위자Space Pirates · WebwormIOCf70 · i22 · d4 · u0MITRE22