FILE
235 건
FILE회원 전용2026년 11월 7일 09:35 (UTC+9)DLL 분석의 TCP 목적지, 추가 URL의 네 IP와 일치
DLL을 실행한 Zenbox 분석 보고서에는 94.72.104.77:13724 등 네 목적지로 향한 TCP 트래픽이 기록돼 있다. 네 IP는 이번 비교에서 추가된 URL 항목들의 주소와 정확히 겹친다. URL에는 /api/auth.revoke, /api/admin.emoji.list처럼 특정 서비스의 관리 기능을 연상시키는 경로가 붙어 있다. 그렇다면 이 DLL이 해당 API를 호출한 것일까. 기록이 뒷받침하는 답은 그보다 좁지만 중요하다. 파일의 실행을 관찰한 보고서에서 해당 주소들을 향한 트래픽이 확인됐으며, URL 경로 자체를 요청했다는 증거는 아직 없다. CTX Threat Intelligence가 검토한 자료에서 이 연결은 단순히 파일과 의심 주소를 함께 나열한 것보다 강하다. rundll32.exe가 DLL을 호출한 프로세스 트리와 구체적인 목적지 IP·포트가 한 Zenbox 보고서에 담겼기 때문이다.
#윈도DLL#Zenbox#rundll32#TCP트래픽#URL지표#네트워크경보#오류보고행위자SafePayIOCf1 · i3 · d0 · u8MITRE13지역PK
FILE회원 전용2026년 11월 5일 09:40 (UTC+9)같은 경로로 보낸 POST, 한 응답은 도메인 판매 페이지로
sw.dewbooks.com/b3/order.php로 보낸 HTTP POST 요청에 돌아온 것은 명령이 아니라 도메인 판매 페이지로 이동하라는 응답이었다. 같은 파일을 분석한 다른 기록에는 shatteredwow.com의 동일한 경로로 향하는 POST가 남아 있다. 외부 주소를 반복해서 호출하는 실행 파일과, 그 요청을 받아 다른 곳으로 돌려보내는 서버. 이 조합은 어디까지 악성코드의 통신을 보여 주며, 어디서부터는 목적지가 더 이상 기대한 역할을 하지 않는 흔적일까. CTX Threat Intelligence가 검토한 자료에서 중요한 것은 이 네트워크 요청과 함께 기록된 로컬 시작 설정이다. Lastline 보고서에는 AdobeAcrobat이라는 이름의 Run·RunOnce 항목 쓰기가 나타난다. CTX Team은 이를 외부 통신을 시도하면서 로그온 시 실행과 관련된 설정도 남기는 표본으로 평가한다. 다만 두 관찰이 입증하는 범위는 다르다.
#윈도실행파일#샌드박스분석#HTTPPOST#도메인리디렉션#Run·RunOnce#시작설정#외부통신행위자RATicateIOCf1 · i0 · d7 · u0MITRE24지역MY산업정부·공공
FILE회원 전용2026년 11월 4일 17:36 (UTC+9)엑셀 자식 실행 파일 확인…웹 요청과 C2 통신은 별개
엑셀 문서를 분석한 샌드박스에서 실행 파일을 요구하는 HTTPS 요청과 TCP 5203번 포트로 향하는 통신이 함께 기록됐다. 요청 대상은 www.bagsrad.com의 .exe 경로였지만, 메모리에서 추출한 악성코드 설정은 다른 호스트인 mirrowingviewnet.ydns.eu:5203을 가리켰다. 두 목적지는 각각 어떤 역할을 했을까. 둘을 모두 ‘악성 서버’로 묶으면, 파일을 가져오려는 요청과 실행된 코드의 제어용 통신을 구분하는 핵심 증거가 사라진다. CTX Threat Intelligence가 검토한 기록에서 두 번째 목적지는 설정에만 존재하지 않았다. CAPE와 VMRay 보고서 각각에 해당 호스트의 DNS 응답과, 그 응답 주소의 5203번 포트로 향하는 TCP 트래픽이 남았다. 반면 www.bagsrad.com에서는 실행 파일 경로에 대한 GET 요청이 확인되지만, 제공된 자료에는 응답 본문이나 내려받은 파일의 해시가 없다.
#악성엑셀문서#샌드박스분석#자식프로세스#실행파일요청#자동실행설정#C2통신#Warzone계열행위자MuddyWater · TEMP.ZagrosIOCf1 · i0 · d1 · u2지역AU · CH · DE · DK산업협회·단체 · 에너지 · 소매·유통
FILE회원 전용2026년 11월 4일 02:12 (UTC+9)실행 파일의 DLL 참조, 다른 DLL의 임포트로 이어져
한 실행 파일이 요구하는 DLL 이름이 다른 파일의 임포트 목록에서도 반복된다. 제출명 spoolsrv.exe인 표본은 coli-0.dll과 trch-1.dll, tucl-1.dll의 함수를 참조하고, coli-0.dll이라는 이름으로 제출된 DLL 역시 뒤의 두 모듈을 참조한다. 이 관계는 비슷한 탐지명이 붙은 파일들의 단순한 집합보다 구체적이다. 그렇다면 이들은 함께 작동하는 도구의 부품일까, 실제로 함께 실행된 공격 도구일까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 DLL 이름과 함수 단위로 드러나는 의존 관계다. 실행 파일과 여러 DLL이 공유 모듈을 이용하도록 구성됐다는 해석을 뒷받침한다. 그러나 실행 기록이 입증하는 범위는 그보다 좁다. 임포트에 적힌 DLL 이름이 분석 대상 파일의 제출명과 일치한다는 사실과, 해당 DLL의 특정 해시가 실제 프로세스에 로드됐다는 사실은 다르다.
#악성파일분석#PE임포트#DLL의존성#모듈형도구#UPX#YARA탐지#샌드박스분석행위자Raspite · LeafminerIOCf47 · i0 · d1 · u2MITRE11지역US산업소매·유통
FILE회원 전용2026년 11월 3일 09:41 (UTC+9)제거 요청의 식별자, 로컬 ComMaster 값과 일치
uninst.exe의 샌드박스 분석에서 s.ludashi.com/pc_all로 향하는 HTTP GET 요청이 기록됐다. 요청은 type=uninstall, action=start, app=c_disk_clean을 담고 있었다. 제거 프로그램이라는 파일명과 맞아떨어지는 내용이다. 그러나 이 통신을 이해하는 데 더 중요한 단서는 별도로 있었다. URL의 mid2 매개변수가 같은 분석 보고서에 기록된 ComMaster\m2 레지스트리 값과 정확히 일치했다. 제거 시작을 알리는 요청에 로컬 상태를 연결할 수 있는 값이 포함된 것이다. 이 관계는 한 보고서에만 나타나지 않았다. 서로 다른 샌드박스 보고서에서 식별자 값과 DNS 응답 주소는 달랐지만, 각 보고서 안에서는 레지스트리 값과 요청 매개변수의 대응이 유지됐다. 그렇다면 이 통신은 원격 명령을 받는 채널인가, 제품의 제거 동작을 보고하는 기능인가.
#uninst.exe#ComMaster#로컬식별자#HTTP요청#제거동작보고#샌드박스분석#서명된유틸리티행위자FIN6 · Skeleton SpiderIOCf24 · i0 · d0 · u0MITRE15지역CN · HK · SG산업금융
FILE회원 전용2026년 11월 2일 17:42 (UTC+9)AAct 실행 사슬에서 확인된 자기 경로 Defender 제외 시도
실행 중인 파일이 Windows 관리 도구를 호출해 자기 경로를 Defender 검사 제외 대상으로 지정했다. CTX Threat Intelligence가 검토한 CAPE 샌드박스 기록에는 program.exe가 cmd.exe를 실행하고, 그 아래에서 WMIC.exe가 제외 경로 추가를 요청하는 관계가 남아 있다. 단순히 보안 제품에 탐지된 파일이 아니라, 자신의 실행 환경에서 보안 설정을 바꾸려 한 파일이라는 점이 중요하다. 이 기록에 원격 관리 소프트웨어의 서비스 흔적까지 더해지면 질문은 커진다. 검사 제외와 원격 관리가 하나의 배포 과정으로 연결된 것일까. 현재 근거가 보여 주는 답은 그보다 구체적이고 제한적이다. AAct 관련 표본에서는 Defender 제외 시도가 프로세스 관계로 확인되며, 이번 비교 목록에 추가된 Remote Manipulator System 파일에서는 서비스 기반 원격 관리 역할을 뒷받침하는 제품 정보와 자동 시작 관련 흔적이 확인된다.
#AAct#Defender검사제외#WMIC#프로세스사슬#RemoteManipulatorSystem#RManService#원격관리행위자Gamaredon Group · CTIGIOCf4 · i0 · d0 · u0MITRE22산업정부·공공
FILE회원 전용2026년 11월 2일 01:48 (UTC+9)AppData 자식 파일 실행 확인, 다운로드 출처는 미확인
7,168바이트짜리 .NET 실행파일의 샌드박스 기록에서, 사용자 AppData 아래에 저장된 별도 실행파일이 원본의 자식 프로세스로 나타났다. 그 자식은 임시 폴더의 .tmp 파일을 다시 자식 프로세스로 두고 있었다. 같은 분석 보고서에는 AdsShow.exe를 요청하는 웹 통신도 담겼다. 작은 프로그램이 다른 실행파일로 작업을 넘겼다는 것은 확인할 수 있지만, 웹에서 요청한 파일이 바로 그 자식이었을까. CTX Threat Intelligence가 검토한 기록은 이 두 질문에 서로 다른 수준의 답을 준다. 디스크에 남은 PE 실행파일과 실제 자식 프로세스는 경로로 연결된다. 반면 다운로드 URL의 응답 내용과 자식 파일을 잇는 증거는 없다. 이 사례의 핵심은 완성된 다운로드·실행 사슬이 아니라, 별도 실행파일로 이어지는 프로세스 관계는 확인됐고 그 파일의 공급 경로는 아직 분리돼 있다는 점이다. 이를 구분하면 최초 파일뿐 아니라 무엇을 함께 조사해야 하는지도 구체적으로 달라진다
#악성파일#.NET실행파일#샌드박스분석#자식프로세스#AppData실행파일#임시파일#HTTP요청행위자Promethium · StrongPityIOCf81 · i0 · d1 · u3MITRE14지역US
FILE회원 전용2026년 11월 1일 09:49 (UTC+9)한 파일의 C2 설정, 세 도메인 주소에서 네트워크 경보와 맞물려
한 실행파일의 설정에 들어 있던 도메인 세 곳의 DNS 주소가 네트워크 탐지 이벤트의 목적지 IP와 일치했다. 목적지 포트도 설정과 같은 443이었다. 서로 다른 이름의 도메인 11개를 담은 이 파일은 어떤 외부 서비스와 연결되도록 구성됐으며, 그중 어디까지 실제 통신 흔적이 뒷받침할까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결은 한 파일의 추출 설정, 도메인의 A 레코드, Remcos 관련 네트워크 규칙에 걸린 목적지 주소 사이에 나타났다. 설정은 11개 도메인을 명령·제어(C2) 대상으로 묶고, 네트워크 이벤트는 그중 세 도메인의 기록된 IP와 맞아떨어진다. 다만 이벤트에 호스트명이 없으므로, 이는 특정 도메인으로의 접속이 입증된 것과는 다르다. 이 차이가 조사 범위를 결정한다. 설정에 담긴 대상과 통신 관찰로 보강된 대상을 구분해야, 하나의 파일에서 출발한 분석이 근거 없는 전체 인프라 귀속으로 번지지 않는다.
#악성실행파일#렘코스#C2설정#DNS#네트워크탐지#레지스트리쓰기행위자Gorgon Group · SubaatIOCf1 · i0 · d11 · u6지역US산업소매·유통
FILE회원 전용2026년 10월 31일 01:45 (UTC+9)Date Manager·PrecisionTime, 실행 경로 남긴 Gator.com 설정 구조 공유
Date Manager의 샌드박스 보고서에는 실행 중인 파일의 경로가 restart, lockfiles, AppPath라는 레지스트리 항목에도 기록돼 있다. PrecisionTime 보고서에서도 제품명만 달라진 비슷한 구조가 나타난다. 두 프로그램은 왜 자신의 실행 위치를 같은 형식으로 남겼을까. 이 관계는 단순한 제품명 유사성보다 구체적이지만, 곧바로 자동 실행이나 외부 제어를 뜻하지는 않는다. CTX Threat Intelligence가 확보한 자료에서 두 실행파일을 가장 분명하게 연결하는 것은 로컬 시스템에 남긴 Gator.com 애플리케이션 설정 구조다. 각 보고서의 프로세스 경로와 레지스트리 값이 맞물리고, 제품별 이벤트 이름과 제한시간 설정도 대응한다. 반면 이름이 닮은 date-manager.com과 해당 도메인이 가리키는 IP는 별도의 인프라 관계로만 확인된다.
#DateManager#PrecisionTime#Gator.com#레지스트리설정#샌드박스분석#실행경로#DNS행위자Snowglobe · Animal FarmIOCf18 · i1 · d1 · u0MITRE21지역DE
FILE회원 전용2026년 10월 30일 09:32 (UTC+9)실행파일이 남긴 VBS, 내용 일치로 확인된 스크립트 연결
실행파일을 분석한 샌드박스에서 시작프로그램 폴더의 lRDdN.vbs가 발견됐다. 이 파일의 해시는 별도로 분석된 스크립트 표본과 같았다. 실행파일 아래에는 해당 이름의 스크립트를 여는 wscript.exe 프로세스도 기록됐다. 그렇다면 이 실행파일의 역할은 어디까지이고, 함께 나타난 스크립트는 무엇을 이어받았을까. CTX Threat Intelligence가 검토한 자료에서 가장 강한 연결고리는 악성코드 분류명이 아니라 파일 내용의 동일성과 구체적인 실행·설정 기록이다. 연결된 VBS 표본의 분석에서는 windows.js가 여러 경로에 놓이고, 그중 한 경로가 로그온 실행 설정에 지정됐다. 네트워크 측면에서도 실행파일에서 추출한 설정의 호스트·포트가 별도 샌드박스의 HTTP 요청과 일치했다. 실행파일 하나를 조사 대상으로 삼는 것과, 그것이 남긴 스크립트와 실행 설정까지 함께 보는 것 사이에 실질적인 차이가 있는 사례다.
#실행파일#VBS#JavaScript#샌드박스분석#시작프로그램#Run키#HTTP요청행위자TA2541 · Operation LayoverIOCf12 · i1 · d1 · u3지역CN · PK
FILE회원 전용2026년 10월 29일 17:37 (UTC+9)같은 HTML 연 두 브라우저, 같은 호스트 조회·접속 기록
로컬 HTML 파일을 연 두 샌드박스에서 같은 외부 호스트의 이름 조회와 접속이 기록됐다. 한쪽은 Edge, 다른 쪽은 Chrome을 사용했지만, 두 보고서 모두 www.webzdarma.cz를 185.64.219.22로 해석한 DNS 응답과 그 주소의 TCP 443번 포트로 향한 통신을 담고 있다. 이 호스트는 문서에 필요한 자원을 제공했을까, 아니면 다른 기능을 맡았을까. CTX Threat Intelligence가 검토한 기록에서 가장 분명한 발견은 이 반복되는 호스트·주소 관계다. 단순히 접속 주소 하나가 목록에 남은 것이 아니라, 같은 HTML 표본을 다룬 서로 다른 브라우저 환경에서 이름 조회 결과와 통신 목적지가 맞아떨어졌다. 이는 해당 호스트를 문서의 외부 활동을 이해할 구체적인 조사 대상으로 만든다. 다만 기록이 직접 보여 주는 것은 호스트 조회와 주소 접속이다. 그곳에서 무엇을 요청하고 받았는지는 별도의 질문으로 남는다.
#HTML파일#샌드박스분석#DNS조회#TCP통신#브라우저#프로세스분석#인증서통신행위자Salty Spider · KuKuIOCf31 · i0 · d1 · u2MITRE58지역BD산업컨설팅
FILE회원 전용2026년 10월 28일 11:10 (UTC+9)엑셀이 실행한 파일, 이름 바꿔 Run 값에도 연결
엑셀 문서를 실행한 샌드박스에서 EXCEL.EXE의 자식으로 사용자 Templates 폴더의 실행파일이 나타났다. 그 하위 프로세스 트리에는 이름이 다른 Hjimages.exe가 있었지만, 기록된 해시는 두 실행파일의 내용이 같음을 보여 줬다. 같은 분석 자료에는 실행파일을 요청한 웹 주소와 별도의 원격 접속 설정도 남았다. 문서에서 시작된 실행은 어디로 이어졌으며, 두 원격 호스트는 각각 어떤 역할을 했을까. CTX Threat Intelligence가 검토한 기록은 이 질문에 서로 다른 강도의 답을 제공한다. www.bagsrad.com에는 실행파일 경로를 대상으로 한 HTTP GET 요청이 있었다. 반면 mirrowingviewnet.ydns.eu:5203은 메모리에서 추출한 Warzone 설정에 포함됐고, 해당 이름의 DNS 응답과 같은 주소·포트로 향하는 트래픽까지 확인됐다. 전자는 실행파일 제공처 후보이며, 후자는 설정과 실제 통신 관찰이 맞물리는 원격 엔드포인트다.
#악성문서#엑셀실행파일#동일해시#Run키#실행파일요청#원격통신#Warzone행위자MuddyWater · TEMP.ZagrosIOCf1 · i0 · d1 · u2지역CH · DE · TR · US산업건설 · 교육·연구 · 숙박·레저
FILE회원 전용2026년 10월 27일 10:57 (UTC+9)mrodularmall.top, DNS와 TLS에서 서로 다른 도메인과 연결
mrodularmall.top은 crosshairc.life와 DNS 설정이 겹치고, gunlovers.top과는 TLS 서비스 지문이 일치한다. 서로 다른 두 관계가 한 도메인에서 만난다. 그렇다면 이 도메인은 세 호스트를 하나의 운영망으로 묶는 연결고리일까, 아니면 공통 서비스를 사용하는 흔적일까. CTX Threat Intelligence가 검토한 기록에서 확인되는 것은 두 종류의 인프라 비교를 이어 주는 조사 출발점이다. CTX Team은 이 자료 안에서 mrodularmall.top이 유용한 이유를 의심 지표의 수가 아니라, DNS 구성과 TLS 응답 특성이라는 서로 다른 관찰을 연결한다는 데서 찾는다. 다만 연결의 성격을 구분해야 이후 조사에서도 서비스의 유사성을 운영 주체의 동일성으로 잘못 바꾸지 않을 수 있다. mrodularmall.top과 crosshairc.life에는 ns1.csof.net부터 ns4.csof.net까지 같은 네 개의 네임서버가 기록돼 있다.
#CTXThreatIntelligence#인프라비교#DNS설정#네임서버#SPF#TLS지문#JARMIOCf25 · i0 · d4 · u8MITRE29지역PK
FILE회원 전용2026년 10월 26일 10:20 (UTC+9)설치파일이 만든 ‘.Und’, PowerShell 호출 입력으로 확인
Amnesias.Und라는 파일을 읽는 PowerShell 명령이 설치 프로그램 형식의 실행파일 아래에서 발견됐다. 명령은 파일 내용을 하나의 문자열로 가져오고, 그 안에서 세 글자를 골라 호출 이름으로 사용한 뒤 전체 내용을 인수로 넘기는 구조였다. 낯선 확장자의 파일은 단순히 설치 과정에서 풀린 데이터였을까, 아니면 실행을 이어받는 코드였을까. CTX Threat Intelligence가 확보한 기록은 후자를 뒷받침한다. 한 CAPE Sandbox 분석에서 실행파일이 생성한 Amnesias.Und의 해시는 별도로 분석된 PowerShell 표본과 일치했다. 같은 보고서의 프로세스 트리에는 실행파일의 자식으로 해당 파일을 읽어 호출하는 PowerShell이 기록됐다. 이 스크립트를 독립적으로 실행한 다른 분석에서는 PowerShell이 바탕화면에 Explorer.EXE라는 실행파일을 생성했다. 핵심은 두 관찰의 연결 방식이다.
#NSIS설치파일#PowerShell#스크립트호출#파일생성#PE실행파일#샌드박스분석행위자Kimsuky · Velvet ChollimaIOCf8 · i0 · d0 · u1MITRE27지역PK
FILE회원 전용2026년 10월 25일 17:39 (UTC+9)dayroc가 드롭한 파일, 별도 분석서 재실행 설정 확인
임시 폴더에 기록된 실행파일 하나가 별도 분석에서는 C:\Windows\rss\csrss.exe라는 경로와 연결됐다. 그 경로는 프로세스 실행 기록뿐 아니라 예약 작업의 실행 대상, 사용자 로그온 설정, 방화벽 허용 명령에도 반복해서 등장한다. 단순히 시스템 프로세스와 비슷한 이름을 쓴 파일일까, 아니면 같은 실행 대상을 계속 유지하려는 구성일까. CTX Threat Intelligence가 검토한 기록은 두 번째 해석을 뒷받침한다. dayroc.exe로 식별된 표본의 VMRay 보고서에는 별도 분석 대상과 SHA-256이 같은 실행파일이 드롭돼 있으며, 그 드롭 경로의 프로세스도 기록돼 있다. 별도 파일의 이벤트에서는 비정상적인 Windows 하위 경로의 실행파일을 다시 시작하도록 하는 설정이 확인된다. 네트워크 쪽에서는 dayroc 표본의 통신 목적지가 다른 표본의 Stealc 추출 설정 및 요청·응답 탐지와 겹친다.
#dayroc#VMRay#실행파일드롭#해시일치#시스템프로세스모방#재실행설정#Stealc#네트워크통신행위자Barium · Wicked SpiderIOCf14 · i4 · d0 · u8MITRE25지역PK
FILE회원 전용2026년 10월 25일 08:41 (UTC+9)브라우저 제품명 단 BR.exe, 실제로는 AutoIt 스크립트 실행
BR.exe의 자식 프로세스는 브라우저가 아니라 임시 폴더의 AutoIt3.exe였다. 실행 인수에는 Waters.a3x가 붙어 있었다. Internet Explorer라는 제품 정보를 가진 실행파일이 실제로 무엇을 실행했는지 묻는다면, 답은 제품명보다 이 명령줄에 있다. CTX Threat Intelligence가 검토한 샌드박스 기록은 이 파일이 AutoIt 인터프리터와 스크립트를 풀어 실행하는 역할을 했음을 보여 준다. 같은 표본을 분석한 두 샌드박스에서는 43.228.157.66으로 향하는 HTTP POST도 각각 기록됐다. 따라서 이 사례는 단순히 익숙한 제품명을 가진 수상한 파일에 관한 이야기가 아니다. 파일이 어떤 실행 구조를 만들었는지, 그 분석에서 나타난 외부 통신을 어디까지 연결할 수 있는지가 핵심이다. 실행파일과 스크립트의 관계는 프로세스 트리로 확인되지만, POST를 보낸 프로세스와 전송 내용은 별도로 남아 있는 질문이다.
#BR.exe#AutoIt#Waters.a3x#스크립트실행#HTTPPOST#샌드박스분석행위자APT28 · StrontiumIOCf8 · i1 · d2 · u1MITRE38
FILE회원 전용2026년 10월 24일 11:11 (UTC+9)Wextract 임시 파일, 해시와 프로세스 트리로 실행 관계 확인
IXP000.TMP 안의 실행파일이 IXP001.TMP 안의 다른 실행파일들을 자식 프로세스로 실행했다. Wextract로 표시된 표본의 샌드박스 기록에 남은 관계다. 같은 분석 보고서에는 185.161.248.73:4164를 향한 TCP 트래픽도 있다. 이 파일은 단지 여러 악성코드 이름으로 탐지된 실행파일일까, 아니면 내부 구성요소를 풀어 실행하고 특정 통신 목적지로 이어지는 포장 계층일까. CTX Threat Intelligence가 확보한 기록은 두 번째 해석을 뒷받침한다. 임시 디렉터리에 생성된 파일의 해시가 별도 분석 표본과 일치하고, 프로세스 트리가 그 파일들 사이의 실행 관계를 보여 준다. 원본과 해시로 식별된 중간 구성요소에서 추출한 설정은 같은 IP와 포트를 가리킨다. 이 목적지는 원본의 실행 분석에서도 관찰됐으며, 별도로 분석한 .NET 표본에서는 설정·TCP 트래픽·RedLine 관련 네트워크 규칙 일치가 함께 확인된다.
#Wextract#RedLine관련통신#파일전개#자식프로세스#TCP트래픽#RunOnce#Defender정책변경행위자Smoky SpiderIOCf6 · i1 · d0 · u1MITRE25지역PK
FILE회원 전용2026년 10월 23일 19:07 (UTC+9)채굴 풀 조회 표본이 남긴 파일, SalatStealer 표본과 해시 일치
채굴 풀을 조회한 실행파일의 샌드박스 기록에 또 다른 실행파일 g3.exe가 남았다. 이 파일의 SHA-256은 별도로 분석된 SalatStealer 계열 표본과 일치했다. 채굴 관련 행위로 보이는 활동을 자원 사용 문제로만 해석해도 되는가. CTX Threat Intelligence가 확보한 기록은 이 질문에 구체적인 연결고리를 제공한다. 한 표본의 실행 환경에서 다른 표본과 내용이 같은 파일이 생성됐고, 별도의 분석에서는 그 파일에 명령제어(C2) 주소 설정과 보안 설정 변경 관련 행위가 확인됐다. 핵심은 두 악성코드 이름이 같은 보고서에 등장했다는 사실이 아니다. 파일 내용의 동일성이 두 표본을 연결하고, 업데이트 프로그램처럼 보이는 경로와 자동 실행 설정이 첫 표본의 역할을 더 넓게 보여 준다. CTX Team은 이 사례를 채굴 관련 설정, 추가 실행파일 배치, 지속 실행을 위한 설정이 함께 나타난 다중 구성요소 사례로 평가한다.
#악성파일#채굴풀조회#추가실행파일#자동실행설정#보안정책변경#명령제어설정#SalatStealer행위자Snowglobe · Animal FarmIOCf31 · i3 · d0 · u1지역DE
FILE회원 전용2026년 10월 23일 06:22 (UTC+9)‘.cln’으로 실행된 파일, PangYa 업데이터 표본과 해시 일치
updater_signed.exe가 실행한 자식 프로세스는 .exe가 아니라 updater_signed.cln이었다. 낯선 확장자의 별도 프로그램을 실행한 것일까, 같은 코드를 다른 이름으로 실행한 것일까. CTX Threat Intelligence가 검토한 프로세스 생성 기록은 이 질문에 구체적인 답을 준다. 실행된 .cln 파일의 SHA-256은 분석 대상인 PangYa 업데이터 표본과 같았다. 확장자는 달랐지만, 기록된 자식 프로세스의 파일 내용은 이미 식별된 업데이터와 일치했다. 이 관계만 보면 실행을 감추려는 동작처럼 보일 수 있다. 그러나 별도의 샌드박스 보고서에는 같은 표본이 패치 호스트에 업데이트 목록과 압축 파일을 요청하고, PangYa 런처 설정을 기록한 흔적도 있다. CTX Team의 판단은 이 두 관찰을 함께 읽어야 한다는 것이다. 자료는 비표준 확장자를 통한 실행과 구체적인 패치 요청 기능을 뒷받침한다.
#PangYa업데이터#프로세스생성#비표준확장자실행#파일해시#패치요청#런처설정#샌드박스분석행위자Comment Crew · Byzantine CandorIOCf4 · i7 · d0 · u0MITRE11산업건설 · 통신
FILE공개2026년 10월 22일 09:36 (UTC+9)실행파일 설정의 HTTP 주소, 샌드박스 POST 대상과 일치
실행파일에서 추출한 설정에 적힌 HTTP 주소가 샌드박스의 POST 요청 기록에도 그대로 나타났다. 목적지는 http://ANYIOBA.INFO/index.php다. 악성코드 설정에 남아 있는 주소가 실제 실행 환경에서도 사용됐는지는 별개의 문제다. 이 사례에서는 설정과 요청의 일치가 그 간극을 좁힌다. 다만 요청이 기록됐다는 사실에서 서버가 명령을 전달했거나 정보 탈취가 완료됐다는 결론까지 이어지는 것은 아니다. CTX Threat Intelligence가 검토한 자료에서 Rising MOVES 샌드박스 보고서는 해당 주소로의 POST와 anyioba.info에 대한 DNS 조회를 함께 기록했다. 다른 두 샌드박스 보고서에도 같은 도메인의 조회가 남았다. 따라서 이 도메인은 파일과 느슨하게 연관된 평판 지표에 그치지 않는다. 파일의 설정에 포함됐고, 분석 환경에서 실제 요청 대상으로 등장한 호스트다.
#윈도실행파일#Azorult#악성코드분석#샌드박스#HTTPPOST#DNS조회#C2설정행위자Gorgon Group · SubaatIOCf1 · i0 · d1 · u2지역US산업소매·유통
FILE회원 전용2026년 10월 20일 10:01 (UTC+9)일곱 압축 파일과 PE, 크기는 맞지만 동일성은 미확인
127,394바이트짜리 ZLIB 압축 파일 안에 176,386바이트의 Windows 실행 파일이 들어 있다고 기록돼 있다. 이 압축 해제 크기는 별도로 등록된 ntmstart.exe 표본의 정확한 크기와 같다. 다른 압축 파일에서도 DLL 표본과 같은 크기가 반복된다. 서로 다른 형태로 수집된 파일들이 같은 구성요소의 압축본과 실행 가능한 원본일까. 그렇다면 실제 실행 기록에서도 그 연결이 이어질까. CTX Threat Intelligence 자료에서 확인되는 핵심은 일곱 압축 파일의 압축 해제 크기가 각각 별도 PE 파일의 크기와 일치한다는 점이다. 각 압축 파일에는 Windows 실행 형식인 PE 내용도 보고돼 있다. 이는 압축된 구성요소와 실행 가능한 파일 사이의 대응 관계를 검토할 만한 근거다. 다만 실제 실행 기록에서 확실하게 연결되는 것은 이 일곱 쌍 전체가 아니라, 일부 실행 파일과 임시 경로에 기록된 파일 활동이다.
#ZLIB#PE파일#압축파일#파일해시#임시파일#레지스트리Run키#샌드박스분석행위자Lazarus Group · Hastati GroupIOCf28 · i0 · d0 · u0MITRE27지역CN
FILE회원 전용2026년 10월 19일 18:24 (UTC+9)임시 실행파일, 실행 설정과 자식 프로세스로 이어져
bofuv.exe가 만든 임시 실행파일은 자식 프로세스로 실행됐고, 같은 경로가 레지스트리의 Windows\Run 값에도 기록됐다. CAPE Sandbox에서는 fofog.exe, Zenbox에서는 zapyb.exe가 이 자리를 차지했다. 이름이 다른 파일들이 무엇을 하는지 이해하려면 파일명보다 관계를 봐야 한다. 최초 실행파일이 만든 구성요소와 실행한 구성요소, 실행 설정이 가리키는 구성요소가 각 분석 안에서 일치하는지가 핵심이다. CTX Threat Intelligence가 검토한 기록은 이 관계가 세 샌드박스 보고서에서 반복됨을 보여 준다. 두 보고서에서는 임시 실행파일이 다시 다른 실행파일을 생성하고 실행한 관계까지 확인된다. 네트워크에서도 단순한 주소 목록보다 구체적인 연결이 있다. 추출된 설정에서 명령제어(C2) 대상으로 분류된 두 IP가 실제 샌드박스 TCP 트래픽의 목적지와 일치했다.
#윈도실행파일#샌드박스분석#자식프로세스#임시실행파일#레지스트리실행설정#지속성관련설정#C2설정#TCP트래픽행위자Spring Dragon · Lotus BlossomIOCf5 · i2 · d0 · u4지역US산업소매·유통
FILE회원 전용2026년 10월 18일 09:43 (UTC+9)해시로 연결된 스크립트와 실행 파일, 서로 다른 로그온 설정
자바스크립트 분석에서 임시 폴더에 생성된 WindowsUpdate.exe가 별도로 분석된 실행 파일과 같은 SHA-256을 가진 것으로 확인됐다. 이 연결은 파일 이름이 주는 인상보다 중요하다. 스크립트 분석에는 adobe.js를 실행하는 프로세스와 자동 시작 설정이, 해당 실행 파일의 분석에는 WindowsUpdate라는 로그온 작업을 만드는 명령이 기록돼 있다. 서로 다른 이름으로 나타난 이 흔적들은 어디까지 하나의 작동 구조로 설명할 수 있을까. CTX Threat Intelligence 자료를 검토한 CTX Team은 스크립트가 생성한 실행 파일의 내용 동일성, 스크립트와 실행 파일에 각각 연결된 로그온 실행 설정, 일부 설정 주소와 일치하는 네트워크 관찰을 확인했다. 핵심은 악성코드 이름이나 탐지 건수가 아니라 이 관계들이다. 해시는 두 파일 분석을 직접 연결하고, 프로세스 트리와 명령은 각 구성 요소의 역할을 보여 준다.
#자바스크립트#파일해시#드롭된실행파일#로그온자동시작#예약작업#DNS조회#목적지트래픽행위자TA2541 · Operation LayoverIOCf14 · i0 · d2 · u1MITRE24
FILE회원 전용2026년 10월 17일 17:38 (UTC+9)같은 하위 이름, 서로 다른 CNAME으로 갈라진 DNS 경로
yzzcommon.tyui54345.xyz와 yzzcommon.zxcv56745.xyz는 같은 하위 도메인 이름을 쓰지만, 기록된 CNAME 대상은 서로 다르다. 반면 두 상위 도메인은 같은 네임서버 쌍을 사용한다. 겉으로 닮은 이 주소들은 하나의 접속처를 가리키는 것일까, 아니면 이름 구성만 공유하는 것일까. CTX Threat Intelligence 자료에서 확인되는 것은 공통된 이름 구성과 서로 다른 DNS 별칭 대상이다. 이는 두 도메인을 함께 조사할 구체적인 근거지만, 같은 서버나 운영자가 사용했다는 증거는 아니다. 이번 비교에서 추가된 실행 파일도 이 DNS 관계를 실제 통신으로 이어 주지는 않는다. 이 사례의 핵심은 지표들을 하나로 묶는 데 그치지 않고, 각각 어떤 종류의 연결을 보여 주는지 구분하는 데 있다. 두 yzzcommon 호스트의 CNAME은 각각 긴 16진수 형태의 .com 이름을 가리킨다.
#DNS#CNAME#네임서버#하위도메인#Windows실행파일#파일지표#CTXThreatIntelligence행위자Gold Evergreen · Business ClubIOCf5 · i0 · d7 · u2지역US산업소매·유통
FILE회원 전용2026년 10월 16일 23:22 (UTC+9)‘N.jpg’ 추출 명령이 드러낸 스크립트 실행 경로
N.jpg를 여는 프로그램은 이미지 뷰어가 아니라 Windows의 압축 해제 도구였다. 샌드박스의 프로세스 생성 기록에는 PowerShell이 tar -xf N.jpg -C $env:public을 호출한 흔적이 남아 있다. 사진처럼 보이는 이름의 파일을 왜 아카이브로 풀려고 했을까. CTX Threat Intelligence가 검토한 자료에서 같은 이름으로 제출된 파일은 JPEG가 아닌 POSIX TAR 아카이브였고, 내부 목록에는 PowerShell과 VBScript 파일이 포함돼 있었다. 이 사례의 핵심은 확장자와 실제 형식의 불일치에서 끝나지 않는다. 관련 실행 기록에는 N.vbs를 처리하는 WScript가 N.ps1을 실행하는 PowerShell을 자식으로 만드는 관계가 나타난다. 또 N.ps1 분석에서는 문자 코드로 명령 이름을 조립해 Microsoft Defender의 검사 제외를 요청하는 PowerShell 명령이 확인된다.
#TAR아카이브#확장자위장#스크립트실행#PowerShell#VBScript#Defender검사제외#채굴실행인자행위자Operation Epic ManchegoIOCf23 · i3 · d1 · u3지역US산업기술·IT
FILE회원 전용2026년 10월 16일 07:28 (UTC+9)임시 파일로 실행된 자식, 다른 경로를 자동 시작에 등록
software.exe가 임시 폴더에 만든 avto1.exe는 단순히 저장된 파일로 끝나지 않았다. 샌드박스의 프로세스 트리에서는 원본 실행 파일의 자식으로 나타났고, 같은 프로세스 ID를 가진 레지스트리 이벤트에서는 C:\Windows\svw.exe를 가리키는 자동 시작 값을 설정했다. 하나의 실행 파일 주변에 등장한 여러 EXE는 서로 어떤 관계였을까. 이 사례의 핵심은 파일 수가 아니라, 파일 생성과 실행, 다음 실행을 위한 설정 사이에 남은 연결이다. CTX Threat Intelligence가 검토한 기록은 여러 실행 파일을 배치하고, 그중 일부가 Windows 디렉터리의 별도 경로를 자동 시작 대상으로 등록하는 구조를 보여 준다. 특히 임시 폴더의 구성요소가 설정을 쓰는 주체이고, Windows 디렉터리의 파일은 그 설정이 가리키는 대상이라는 역할 구분이 중요하다.
#악성파일분석#샌드박스#파일생성#자식프로세스#레지스트리변경#자동시작#DNS조회IOCf22 · i0 · d7 · u6MITRE30지역UA
FILE회원 전용2026년 10월 15일 15:24 (UTC+9)설정된 sa1atik.cn, DNS 조회와 목적지 트래픽에서도 확인
메모리에서 추출한 접속 설정에 있던 sa1atik.cn이 샌드박스의 DNS 조회에도 나타났다. 같은 CAPE 보고서에는 이 이름으로 조회된 IP를 향한 TCP 443번 포트 트래픽이 기록돼 있다. 설정 속 주소가 실제 네트워크 활동과 맞닿는 지점이다. 그렇다면 이 파일은 설정된 명령제어 서버와 통신한 것일까, 아니면 아직 주소를 찾고 접속하는 단계의 흔적만 남긴 것일까. CTX Threat Intelligence 자료를 검토한 결과, sa1atik.cn은 이 표본에서 설정과 실행 관찰이 가장 구체적으로 연결되는 호스트다. 메모리 덤프에서 나온 설정에는 네 호스트에 걸쳐 다섯 HTTPS 엔드포인트가 들어 있지만, 제공된 기록에서 설정된 이름과 DNS 응답, 목적지 IP·포트를 함께 대조할 수 있는 것은 이 호스트다. 다른 이름들은 인증서나 포트 구성으로 관련성을 더 살펴볼 수 있으나, 같은 수준의 통신 증거를 갖춘 것은 아니다. 이 차이는 단순히 확신의 정도를 나누는 문제가 아니다.
#윈도우실행파일#악성코드분석#메모리설정#샌드박스#DNS조회#HTTPS엔드포인트#TCP트래픽행위자Snowglobe · Animal FarmIOCf1 · i1 · d1 · u1지역BG · DE · PH · PL산업통신
FILE회원 전용2026년 10월 14일 23:37 (UTC+9)AppData의 bin.exe 경로, 사용자 Run 값과 일치
사용자 데이터 폴더에 기록된 bin.exe의 경로가 레지스트리 Run 값에도 들어 있었다. 한 샌드박스에서는 폴더명이 C1DC2400, 다른 보고서에서는 D74ACD95였지만, 각 보고서 안에서는 파일 기록 위치와 자동 실행 설정의 대상이 맞물렸다. 이 관계는 무엇을 보여 주는가. 단순히 파일을 남긴 것인지, 다음 로그온을 위한 실행 지점을 마련한 것인지가 이 표본을 이해하는 첫 번째 질문이다. CTX Threat Intelligence가 확보한 분석 자료는 후자의 해석을 뒷받침한다. 세 샌드박스 보고서에서 사용자별 AppData 아래 실행 파일 기록과 그 경로를 가리키는 Run 값이 함께 확인됐다. 같은 표본의 네트워크 기록에는 두 .pw 도메인의 동일한 URL 경로로 향하는 HTTP POST 요청도 있었다. 핵심은 자동 실행 설정과 외부 요청이 구체적인 경로로 남았다는 점이다.
#윈도실행파일#샌드박스분석#AppData#레지스트리Run#로그온지속성설정#HTTPPOST#도메인분석행위자Smoky SpiderIOCf10 · i0 · d3 · u3지역RO
FILE회원 전용2026년 10월 14일 07:14 (UTC+9)실행 파일 아래 모인 복구 도구들, 삭제·설정 변경 시도 확인
분석 대상 실행 파일이 띄운 cmd.exe 아래에 윈도 복구 도구들이 모였다. CAPE 샌드박스의 프로세스 트리에는 섀도 복사본 삭제를 요청하는 vssadmin과 WMIC, 부팅 복구 설정을 바꾸는 bcdedit, 백업 카탈로그 삭제를 요청하는 wbadmin이 같은 명령 셸의 자식으로 기록됐다. 중요한 질문은 악성코드가 어떤 이름으로 탐지됐느냐보다 구체적이다. 이 도구들의 조합은 시스템의 어떤 복구 경로를 겨냥했으며, 실행 파일과는 어떻게 연결되는가. CTX Threat Intelligence가 확보한 자료는 그 연결을 프로세스 관계로 보여 준다. 분석 대상은 복구 방해 명령을 담은 셸을 직접 자식으로 두고 있으며, 셸 아래에서는 명령에 대응하는 도구들이 실제로 시작됐다. 같은 CAPE 보고서에는 분석 대상의 경로를 가리키는 로그인 실행 설정과, 해당 프로세스가 생성한 Restore-My-Files.txt도 있다.
#랜섬웨어지향동작#복구방해#섀도복사본#부팅복구설정#백업카탈로그#로그삭제#로그인실행설정행위자Lockbit GangIOCf37 · i0 · d0 · u0MITRE35지역RO
FILE회원 전용2026년 10월 13일 15:19 (UTC+9)AAct, 자기 경로와 관련 도구 경로를 Defender 검사 제외 대상으로 요청
실행 중인 프로그램이 Windows 관리 도구를 호출해 자신의 경로를 Microsoft Defender 검사 제외 대상으로 지정했다. CTX Threat Intelligence가 검토한 AAct 표본의 샌드박스 기록에는 실행 파일에서 cmd.exe, 다시 WMIC.exe로 이어지는 부모·자식 관계가 남아 있다. 제외 요청은 자기 자신에 그치지 않았다. 작업 폴더와 그 안의 KMSSS.exe, 시스템 디렉터리의 실행 파일과 DLL도 대상으로 등장했다. 이 기록이 던지는 질문은 단순히 “정품 인증 도구가 탐지됐는가”가 아니다. 이 프로그램은 어떤 파일을 Defender의 검사 범위 밖에 두려 했으며, 그 대상으로 적힌 파일을 별도로 분석된 KMS 에뮬레이터와 어디까지 연결할 수 있을까. CTX Team은 이 사례의 핵심을 실행 파일이 자신의 경로뿐 아니라 관련 도구 경로까지 검사 제외 대상으로 추가하려 한 행위로 판단한다.
#AAct#KMSSS#KMS에뮬레이터#Defender검사제외#WMIC#보안설정변경행위자Gamaredon Group · CTIGIOCf2 · i0 · d0 · u0MITRE17산업정부·공공
FILE회원 전용2026년 10월 12일 23:27 (UTC+9)서로 다른 이름의 압축 파일·PE, 해제 크기로 일곱 쌍 대응
압축 데이터로 분류된 launch.exe의 해제 크기는 176,386바이트다. 별도로 등록된 Windows 실행 파일 ntmstart.exe의 크기도 정확히 같다. 다른 압축 파일 att.dll은 해제 크기가 235,266바이트로, 별도 DLL인 NtProcMon.dll과 일치한다. 서로 다른 이름의 파일들이 압축 전후의 형태로 연결되는 것일까. CTX Threat Intelligence 자료에서 이처럼 ZLIB 압축 해제 크기와 별도 PE 파일 크기가 맞아떨어지는 대응은 일곱 쌍에서 확인된다. 압축 객체에는 각각 자식 파일 하나와 PE 헤더가 보고돼 있다. CTX Team은 이를 단순히 비슷한 이름을 가진 파일들의 집합보다 구체적인, 압축 객체와 실행 가능한 구성 요소 사이의 대응 후보로 평가한다. 다만 실제 배포·설치 관계까지 확인된 것은 아니다. 이 사례의 핵심은 파일 수를 세는 데서 벗어나, 같은 구성 요소가 서로 다른 형태와 이름으로 표현됐을 가능성을 구분하는 데 있다.
#ZLIB#PE파일#파일해시#샌드박스분석#파일쓰기#자동실행#분석환경행위자Lazarus Group · Hastati GroupIOCf29 · i0 · d0 · u0MITRE29지역SG
FILE회원 전용2026년 10월 12일 07:22 (UTC+9)원본과 같은 PCSuite.exe, 자동 시작 경로는 달랐다
PCSuite.exe라는 이름으로 저장된 파일의 내용은 분석 대상 실행 파일과 같았다. 하지만 같은 표본의 샌드박스 기록에는 내용이 서로 다른 sta-css.exe와 stat-cpe.exe도 남았다. 하나의 실행 파일이 이름만 바꿔 존재하는 것일까, 아니면 다른 구성요소로 실행을 확장하는 것일까. 이 사례의 핵심은 파일 개수가 아니라, 그 파일들이 실행 명령과 자동 시작 설정에 어떻게 연결되는지에 있다. CTX Threat Intelligence가 확보한 기록은 두 방향의 확장을 보여 준다. 원본과 같은 내용의 PCSuite.exe가 기록되고, 사용자 로그인 시 해당 이름의 프로그램을 실행하도록 하는 레지스트리 값이 설정됐다. 다른 한편으로는 별도 실행 파일, rundll32.exe가 호출하는 로컬 DLL, 임시 배치 파일을 실행하는 명령 셸이 확인됐다. CTX Team은 이를 원본 실행 파일 하나에 머물지 않는 구성요소 배치와 지속 실행 지향의 구조로 평가한다.
#악성파일#윈도자동시작#레지스트리Run키#DLL로드#임시배치파일#프로세스트리#HTTPPOSTIOCf18 · i1 · d13 · u0MITRE48지역US산업소매·유통
FILE회원 전용2026년 10월 10일 23:23 (UTC+9)PNG 이름의 DLL, 원격 데스크톱 서비스 로딩 대상으로 지정
윈도 원격 데스크톱 서비스의 DLL 경로에 이미지처럼 보이는 파일이 지정됐다. 샌드박스 기록에서 TermService의 ServiceDLL 값은 C:\Windows\branding\mediasrv.png를 가리켰다. 같은 실행 파일을 분석한 다른 기록에서는 그 경로에 생성된 파일의 내용이 실제로 64비트 윈도 DLL임을 해시로 확인할 수 있다. 왜 원격 데스크톱 서비스가 PNG 확장자의 파일을 불러오도록 설정됐을까. CTX Threat Intelligence가 확보한 분석 기록은 단순한 파일 위장을 넘어, 원격 데스크톱 관련 서비스의 구성을 바꾸려는 시도를 보여 준다. 실행 파일은 PowerShell을 통해 임시 디렉터리의 스크립트를 호출했고, 그 PowerShell 아래에서 서비스 시작 명령들이 실행됐다. 별도 분석에서는 서비스 DLL 경로와 RDP 포트 설정이 변경됐다. 핵심은 악성코드 분류명이 아니라 파일 배치, 스크립트 실행, 서비스 설정이 가리키는 공통된 목적이다.
#윈도#원격데스크톱서비스#DLL위장#서비스설정변경#PowerShell#RDP포트변경#샌드박스분석행위자TA505 · Hive0065IOCf10 · i2 · d3 · u8
FILE회원 전용2026년 10월 9일 15:34 (UTC+9)워드 문서의 다운로드 명령, 첨부 응답과 실행 파일로 확인
워드 문서를 분석한 샌드박스에서 웹 경로에 대한 GET 요청이 실행 파일 첨부 응답을 받았다. 같은 분석 보고서에는 PowerShell의 자식으로 실행된 프로그램도 남아 있다. 문서가 단지 의심스러운 명령을 담고 있었던 것인지, 실제로 외부 파일을 가져와 실행하는 역할까지 했던 것인지 가르는 대목이다. 응답에 붙은 파일명과 로컬 실행 파일명은 달랐지만, 두 이름으로 기록된 파일의 해시가 같다는 사실이 그 사이를 연결한다. CTX Threat Intelligence가 확보한 기록은 이 문서를 실행 파일 다운로드와 실행을 연결하는 다운로더로 해석할 근거를 제공한다. 더 중요한 점은 명령문이 의도한 동작과 샌드박스가 실제로 기록한 결과를 함께 볼 수 있다는 것이다. PowerShell 명령은 여러 URL에서 파일을 받아 일정 크기 이상이면 실행하도록 구성돼 있었다. 실행 기록에서는 그 후보 중 한 곳의 응답, 로컬 파일, 자식 프로세스가 확인된다.
#워드문서#다운로더#PowerShell#실행파일다운로드#샌드박스분석#파일해시행위자Emotet Group · TA542IOCf4 · i0 · d5 · u3지역AU산업기술·IT
FILE회원 전용2026년 10월 8일 23:42 (UTC+9)‘Windows Security’가 만든 로그온 설정, 실행 대상은 Roaming 파일
Windows Security.exe가 실행한 명령은 보안 검사가 아니었다. 샌드박스의 프로세스 생성 기록에는 이 파일이 schtasks.exe를 호출해 ‘Windows Defender Security’라는 예약 작업을 만들도록 요청한 장면이 남아 있다. 작업의 실행 대상은 Windows 시스템 디렉터리가 아니라 사용자 프로필의 AppData\Roaming\Windows Service\Windows Security.exe였다. 보안 기능처럼 보이는 이름이 실제로는 무엇을 다시 실행하도록 설정하고 있었을까. CTX Threat Intelligence가 검토한 기록에서 가장 설명력이 큰 단서는 이처럼 설정을 요청한 프로세스의 경로와 설정이 가리키는 실행 경로가 맞물린다는 점이다. 다른 이벤트에서는 생성한 파일의 경로가 사용자 로그온용 레지스트리 값에 그대로 들어갔다. 별도 표본에서는 그 파일이 놓인 디렉터리를 Microsoft Defender 검사에서 제외하도록 요청한 명령도 관찰됐다
#윈도우#예약작업#Run레지스트리#로그온실행#Defender검사제외#방어회피#HTTP요청행위자LazyScripterIOCf10 · i2 · d1 · u3MITRE9지역ZA산업정부·공공
FILE회원 전용2026년 10월 8일 07:32 (UTC+9)해시로 확인된 XMRig 실행, 같은 IP의 C2 설정은 별개
sysmgnrsv.exe라는 이름의 프로세스가 178.16.54.109:6060을 채굴 대상으로 지정한 채 생성됐다. 다른 실행 파일의 메모리에서 추출한 설정에도 같은 IP가 등장하지만, 포트는 6000이고 역할은 명령·제어(C2)로 분류돼 있다. 같은 주소를 가리키는 두 기록은 하나의 공격 경로를 보여 주는 것일까, 아니면 서로 다른 기능을 조사할 연결점일까. CTX Threat Intelligence의 자료에서 가장 분명한 사실은 첫 번째 기록의 실행 파일 정체다. 프로세스 생성 이벤트에 남은 SHA-256은 별도로 분석된 XMRig 파일과 일치한다. 의심스러운 파일명이나 채굴 탐지 규칙만으로 추정한 것이 아니라, 실제 생성된 프로세스의 파일 내용과 명령행을 함께 확인할 수 있다. 반면 두 번째 파일의 C2 주소는 메모리에서 추출된 설정이다. 이 주소로 통신했다는 해당 이벤트는 제시되지 않았다.
#XMRig#채굴#프로세스생성#C2설정#메모리분석#메일서버접촉IOCf18 · i2 · d37 · u2MITRE19지역CN · GB · HK · HU산업소매·유통
FILE회원 전용2026년 10월 5일 15:26 (UTC+9)서로 다른 두 실행 파일, 같은 /77.exe 요청 경로로 연결
서로 다른 두 실행 파일에 연결된 네트워크 탐지 기록에서 같은 주소가 반복된다. http://propanla.com/77.exe다. 한 파일에는 7-Zip 자동 압축 해제 모듈의 정보가, 다른 파일에는 FarLabUninstaller라는 제품 정보가 들어 있다. 겉모습이 다른 파일들이 왜 같은 실행 파일 경로를 가리키는가. 이 연결은 공통 유포 지점을 보여 주는가, 아니면 하나의 감염 과정까지 설명하는가. CTX Threat Intelligence 자료에서 가장 구체적인 접점은 악성코드 계열명이 아니라 호스트명과 경로가 모두 같은 네트워크 이벤트다. 두 파일의 기록에는 이 URL을 대상으로 한 실행 파일 요청 패턴이 있고, 한쪽에는 HTTP 실행 파일 제공 패턴도 함께 잡혔다. CTX Team은 이를 실행 파일 전달 지점이라는 해석을 뒷받침하는 관계로 평가한다. 다만 핵심은 두 파일이 같은 장소를 참조했다는 데 있다.
#실행파일#네트워크탐지#공통URL#HTTP요청#파일전송#DNS기록#도메인보류행위자Lazarus Group · Hastati GroupIOCf23 · i2 · d7 · u6지역US산업소매·유통
FILE회원 전용2026년 10월 2일 14:57 (UTC+9)다운로더에 랜섬웨어 룰 겹친 57KB 파일, 두 얼굴
57KB짜리 서명 없는 Win32 실행파일 하나가 두 개의 서로 다른 신원을 동시에 지니고 있다. AV 라벨은 이 파일을 trojan.upatre/zbot으로 분류하고, 샌드박스는 이를 뱅킹 트로이목마 계열 다운로더 Upatre로 지목한다(Zenbox, 악성 판정, 신뢰도 68). 그런데 같은 파일이 크로스소스드 YARA 검사에서 랜섬웨어 전용 룰 CryptoLocker_rule2(룰셋 RANSOM_Cryptolocker, 작성자 Christiaan Beek)를 그대로 발화시킨다. 다운로더 신원과 랜섬웨어 시그니처가 한 바이너리 안에서 충돌하는 이 조합이, 이 파일(이하 다운로더 스텁, 해시 00cfda3d…)을 들여다볼 가치가 있게 만드는 지점이다. 이 파일을 끌어들이는 네트워크 측 고리는 단 하나, spinistry.com이다. 이 도메인은 2009년 7월 4일 ENOM, INC.를 통해 등록돼 6,299일째 살아 있는, 보기 드물게 오래된 자산이다.
#Upatre#CryptoLocker#GoldEvergreen#YARA룰#다운로더#랜섬웨어#도메인재사용#뱅킹트로이목마행위자Gold Evergreen · Business ClubIOCf2 · i0 · d1 · u1MITRE9지역US산업소매·유통
FILE회원 전용2026년 10월 2일 06:50 (UTC+9)스냅챗 모드 APK 사칭 사이트, 실은 윈도우 스틸러 유포처
모바일 앱의 변조판(mod APK)을 찾아 들어간 사용자가 실제로 내려받은 것은 안드로이드 패키지가 아니라 윈도우 데스크톱 실행 파일이었다. thesnapchatmodapk.com이라는 도메인은 이름 그대로 "스냅챗 모드 APK"를 내세우지만, 실제로 서빙하는 파일 목록은 update1.exe, update2.exe, update3.exe, mine.bat, wdd.bat — 모두 윈도우 네이티브 포맷이다. 이 플랫폼 불일치 자체가 공격의 설계를 드러낸다. 모바일 앱을 찾는 검색 트래픽을 데스크톱 피싱 페이지로 유도하는 전형적인 타이포스쿼팅형 유인 구조이며, 피해자가 "APK를 받는다"고 믿는 순간 실제로는 Win32 GUI 바이너리를 실행하게 된다. CTX Team이 이번에 들여다본 것은 바로 이 도메인에서 뿌려진 LummaStealer 계열 바이너리 3종과, 이를 둘러싼 VBScript 스테이저, 그리고 텔레그램 봇 API를 하드코딩한 유출 채널이다.
#LummaStealer#타이포스쿼팅#텔레그램봇API#VBS스테이저#크립터해시회피#YARA탐지#피싱도메인#암호화폐지갑탈취IOCf11 · i0 · d1 · u5MITRE63지역GP · HU산업기술·IT
FILE회원 전용2026년 10월 1일 22:58 (UTC+9)파티션 드라이버 위장 트로이목마, 증거는 오히려 얇아져
Windows 운영체제에서 디스크 파티션을 관리하는 핵심 드라이버 partmgr.sys의 경로를 그대로 사칭한 악성 바이너리 한 점이, 이번 갱신 주기에 새로 편입된 두 개의 파일 지표 가운데 유일하게 실체를 드러낸 샘플로 확인됐다. 해당 바이너리(243c7f05…)는 VirusTotal에 기록된 파일 이름 자체가 c:\windows\system32\drivers\partmgr.sys로 박혀 있으면서도, 동시에 7PLZfYlw8lxGk5pe1evjS.exe, N06A1Oj5m5fsNFiBO.exe, D3wYJdTXPznOSU1Pq1z0Ktx0BaEF.exe, FX1DO8HyN3ztrzRgYKPH.exe 같은 완전히 무작위한 문자열의 실행파일 이름으로도 동시에 포착됐다. 커널 드라이버 경로를 내부 이름으로 심어 두고 실제로는 난수 파일명의 EXE로 유포하는 이 조합은, 정상 시스템 구성요소처럼 보이게 만드는 위장(T1036.005)의 전형이다.
#Tofsee#Smokeloader#partmgr.sys위장#패킹#말레이시아IP#리테일섹터#SmokySpider#트로이목마행위자Smoky SpiderIOCf2 · i1 · d0 · u1MITRE33지역US산업소매·유통
FILE회원 전용2026년 10월 1일 06:44 (UTC+9)만료된 서명 체인 타고 8년 만에 되살아난 ChChes 다운로더
306KB 크기의 Win32 실행파일 한 개(SHA256: d26dae0d8e5c23ec35e8b9cf126cded45b8096fc07560ad1c06585357921eeed)가 reader.exe라는 이름으로 위장해 배포된 정황이 확인됐다. 이 파일은 HT Srl 명의로 서명돼 있고 그 위로 VeriSign Class 3 Code Signing 2010 CA, 최상위에는 VeriSign 루트 인증서가 체인을 구성하고 있지만, VirusTotal의 서명 검증은 "현재 시스템 시간 또는 서명된 파일의 타임스탬프를 기준으로 검증할 때, 필요한 인증서가 유효 기간 내에 있지 않다"는 판정을 내린다. 다시 말해 이 바이너리는 지금 이 순간에도 유효하지 않은 서명 체인을 달고 유통되고 있다는 뜻이다.
#ChChes#menuPass#RedApollo#APT10#코드서명위장#도메인재활성화#정부기관표적#다운로더행위자Red Apollo · PotassiumIOCf1 · i0 · d1 · u5MITRE13지역JO · RO산업정부·공공
FILE회원 전용2026년 9월 30일 06:47 (UTC+9)Bitter APT 다운로더, IDS 룰이 체크인 흔적 지목
52KB짜리 Win32 실행파일 한 개(90fd32f8…)가 눈에 띄는 이유는 크기가 아니라 그 파일이 만들어낸 통신 패턴이다. VirusTotal 기준 55/76개 엔진이 이 파일을 탐지했고, 그중 침입탐지 룰 하나가 단순 악성코드 경보가 아니라 특정 행위자를 직접 지목하고 있다 — "ET MALWARE APT/Bitter Related Checkin Activity (GET)"라는 이름의 고심각도 규칙이 이 바이너리의 외부 통신에서 그대로 발화했다. 일반적인 트로이목마 탐지 룰과 달리 이 룰은 Bitter(APT-C-08)로 알려진 행위자의 체크인 트래픽 패턴에 맞춰 설계된 것으로, 해당 바이너리가 GET 방식의 HTTP 요청으로 명령제어 서버와 접촉했다는 사실을 데이터 자체가 확인해준다(T1071.001). 흔한 진단명 뒤에 구체적인 행위자 서명이 붙는 경우는 많지 않다는 점에서, 이 한 줄의 IDS 매치는 이번 사례 전체의 신뢰도를 지탱하는 축이 된다.
#Bitter#APT-C-08#다운로더#피싱#C2체크인#정부기관#요르단#루마니아행위자Bitter · APT-C-08IOCf2 · i0 · d2 · u0MITRE19지역JO · RO산업정부·공공
FILE회원 전용2026년 9월 27일 22:59 (UTC+9)C:\Windows에 위장한 가짜 exe, KerrDown 로더의 정체
요르단과 루마니아의 정부 부문을 겨냥한 것으로 표시된 한 침투 경로에서, 실제로는 PE32 DLL인 파일 하나가 C:\Windows\intkxqhf.exe라는 실행파일 이름으로 시스템 경로에 놓여 있었다는 사실이 확인된다. 해당 파일(70db041f…, VirusTotal 기준 50/76 탐지)은 Malpedia가 배포하는 YARA 룰 win_kerrdown_auto에 매칭돼 KerrDown 로더 계열로 식별되며, cometer, fjuc, aabf라는 이름으로도 탐지 엔진들에 등록돼 있다. 이 로더가 호출하는 도메인 cortanasyn.com은 자기 이름이 아닌 *.value-domain.com이라는 낯선 와일드카드 인증서를 내걸고 있었고, 확인된 지표 범위에서는 이 파일과 도메인 어느 쪽도 다른 사례와 임포트해시·인증서 계열·A 레코드를 공유하지 않는다.
#OceanLotus#APT32#KerrDown#요르단#루마니아#정부부문#인증서위장#샌드박스회피행위자OceanLotus · APT32IOCf1 · i0 · d1 · u2MITRE9지역JO · RO산업정부·공공
FILE회원 전용2026년 9월 25일 22:33 (UTC+9)CPU 타이머 읽어 샌드박스 피하는 Pterodo 로더 포착
PE32 바이너리 한 개가 실행 직후 CPU 클록을 직접 읽어 자신이 분석 대상인지 가늠하고, 그 판단이 끝나기 전까지 실행을 오랫동안 지연시키는 정황이 포착됐다. 해당 행위는 파일 자체의 속성 태그에 "CPU 타이머를 직접 읽어 분석 여부를 판별한다", "오랫동안 실행을 지연시킨다"는 문구로 명시돼 있고, 이는 MITRE 기법 T1497.003(시간 기반 가상화·샌드박스 회피)에 정확히 대응한다. 이 로더는 Gamaredon/Shuckworm 계열의 소형 다운로더로 알려진 Pterodo(Pteranodon) 계열로 식별된 바이너리(96ce576f383584e0…)이며, VirusTotal에서는 57/77개 엔진이 이를 트로이목마로 탐지했다. 이 로더가 흥미로운 지점은 회피 그 자체가 아니라, 그 회피가 무엇을 감추고 있는가에 있다. 같은 파일에는 "실행파일의 끝을 넘어 추가 데이터가 붙어 있다"는 태그와 "런타임에 추가 모듈을 로드한다"는 태그가 함께 붙어 있다.
#Gamaredon#Pterodo#Shuckworm#VBA매크로드로퍼#샌드박스회피#C2비콘#러시아호스팅#루마니아행위자Gamaredon Group · CTIGIOCf3 · i1 · d0 · u2MITRE16지역RO
FILE회원 전용2026년 9월 25일 14:43 (UTC+9)낡은 RAT 뒤엔 아홉 개 헥사 도메인의 회전 인프라
81252b01.to, 69385701.to, efe87401.to를 비롯한 아홉 개 도메인은 겉보기엔 무작위 16진수 문자열을 이름으로 쓴 평범한 .to 도메인들이다. 그런데 이 아홉 개를 나란히 놓고 보면 공통점이 뚜렷해진다. 모두 "hex"·"도메인 이름을 알고리즘으로 생성한다"는 동일한 태그를 달고 있고, 등록 정보 조회 시각이 2021-01-27로 정확히 일치한다. 개별 등록일이나 인증서 발급 기록은 남아 있지 않지만, 이 스냅샷 값이 겹친다는 사실 자체가 이 도메인들이 한 번에 대량으로 찍어낸 풀(pool)이라는 인상을 준다. VirusTotal 탐지 비율도 낮게는 2/91(53fb0701.to, 93319601.to), 높게는 9/91(81252b01.to) 수준으로 흩어져 있어, 각 도메인 자체는 그다지 눈에 띄지 않는 신호로 남는다. 이 도메인들을 하나의 캠페인으로 묶어주는 진짜 실마리는 등록 정보가 아니라 이들이 노출한 URL 경로에 있다.
#RevCode#WebMonitor#hex도메인#C2체크인#스위스#요르단#루마니아#정부기관표적IOCf2 · i0 · d11 · u9MITRE24지역CH · JO · RO산업정부·공공 · 지원 서비스
FILE회원 전용2026년 9월 25일 06:56 (UTC+9)크랙 키젠 하나, 7개월 넘게 재사용된 ClipBanker 빌드 지문
정상적인 개발툴 크랙 파일 두 개가 화면 이름은 전혀 다르면서도 내부 빌드 지문은 완전히 동일하다면, 그것은 우연이 아니라 하나의 제작 라인에서 찍혀 나온 결과물이라고 봐야 한다. 이번에 확인된 13개 파일 묶음에서 그런 사례가 하나가 아니라 최소 네 갈래로 반복 관측됐다. DevExpress_Patch_Keygen_DFoX.exe(c5460701f45d70e8b7255195ee08d15d87aa7847562ca27a6b5cd0c803418f5d)와 DevExpressPatch.exe(ebe9cb6a4e6bf1285e1cd120ca031e3f8d7fab938e1122579cfb49735d3db81d)는 파일 크기가 159KB와 6.4MB로 40배 차이가 나고 제출 시점도 2022년 3월 21일과 2022년 10월 11일로 7개월 떨어져 있지만, imphash가 f34d5f2d4577ed6d9ceec516c1f5a744로 완전히 일치하고 두 파일 모두 PEiD로 패킹돼 있다.
#APT29#ClipBanker#RedLine#njRAT#크랙소프트웨어#다이내믹DNS#클립보드하이재킹#인포스틸러행위자APT29 · MinidionisIOCf13 · i0 · d1 · u0MITRE11지역IT
FILE회원 전용2026년 9월 24일 07:05 (UTC+9)svchost 위장 코인마이너, APT-C-35 라벨은 허상이었다
VirusTotal에서 50/76개 엔진이 탐지하는 실행파일 한 개가, 이름은 %APPDATA%\pwo6\svchost.exe로 저장되고 실제 실행 경로는 %TEMP%\ysawzjvw.exe를 거치도록 만들어져 있다. 이 파일은 UPX로 압축돼 있고, 크라우드소싱 YARA 룰 CoinMiner_Strings에 걸리며, 동시에 IDS 룰 하나가 이 트래픽을 알려진 Tor 릴레이 노드 패턴과 일치한다고 표시한다. 위장·패킹·네트워크 이상행위가 한 파일 위에서 동시에 관측되는 이례적으로 깨끗한 사례이지만, 이 파일이 속한 여섯 개짜리 인디케이터 묶음 전체를 놓고 보면 이야기는 훨씬 복잡해진다. 이 묶음에는 파일 네 개와 IP 두 개가 들어 있고, 상위 위협 라벨은 행위자 APTC35(Donot Team, SectorE02, APT-C-35라는 이명으로도 불린다)와 패밀리명 'ehdevel', 대상 지역 폴란드, 대상 산업 제조업이 붙어 있다.
#APT-C-35#DonotTeam#ehdevel#코인마이너#malxmr#UPX패킹#Tor릴레이#위협인텔리전스행위자APTC35 · Donot TeamIOCf10 · i2 · d0 · u1MITRE38지역PL산업제조
FILE회원 전용2026년 9월 22일 22:34 (UTC+9)폐기된 서명 인증서, 2018년 뱅커 체인 되살리다
리비전이 취소된 코드 서명 인증서 하나가 서로 다른 두 실행 단계에 똑같이 찍혀 있다. CTX Team이 확인한 이번 파일 코호트에서, NSIS 설치 파일과 최종 단계에서 실행되는 뱅커 DLL은 시리얼 넘버 00 8E 3E 9A 2F E7 3C 91 98 5B 4F 90 D5 95 77 CD 6C, 서명자 MASTER LIM LTD, 상위 체인 COMODO RSA Code Signing CA·Sectigo(구 Comodo CA)로 이어지는 완전히 동일한 인증서 체인을 공유한다. VirusTotal 코드 서명 검증 결과는 두 파일 모두 "발급 기관에 의해 명시적으로 폐기된 인증서"로 판정한다. 이 인증서는 2018년 12월 24일부터 2019년 10월 19일까지만 유효했던 것으로, 이미 6년 넘게 지난 신뢰 사슬이 지금도 탐지 파이프라인에 재등장하고 있는 셈이다.
#TA505#LDPinch뱅커#코드서명인증서재사용#NSIS인스톨러#VBS스테이저#샌드박스회피#Bodis도메인파킹#매크로시트유포행위자TA505 · Hive0065IOCf5 · i0 · d2 · u4MITRE37지역CH · US산업소매·유통 · 지원 서비스
FILE회원 전용2026년 9월 22일 14:47 (UTC+9)5KB짜리 'update.exe', 숫자 IP 하나로 침투로를 열다
윈도우 업데이트 파일처럼 보이는 5KB짜리 실행 파일 하나가, 도메인 하나 거치지 않고 러시아산 호스팅 IP 178.20.45.52에서 곧바로 내려받혔다. 다운로드 경로는 178.20.45.52/sec/pes.exe — 도메인이 아니라 숫자로 된 IP 주소를 그대로 노출한 다운로드 URL이며, 이 한 줄짜리 지표가 이번 사건의 핵심을 압축하고 있다. 정교한 인프라 위장이나 다단계 도메인 페이크가 아니라, 굳이 그런 수고를 들이지 않고 페이로드를 그냥 IP에서 받아 가게 만든 조악함 자체가 특징이다. VirusTotal에서 이 파일은 55/76개 엔진이 탐지했고, 위협 라벨은 trojan.msil/stealer, 커뮤니티 태그로는 msil·stealer·agenttesla가 붙어 있다. 반면 CTX Team이 이 지표군을 분류한 위협 클러스터의 패밀리 필드는 이를 단순히 'tomiris'라는 이름 하나로 묶었다.
#Tomiris#YoroTrooper#AgentTesla#스틸러#첩보활동#러시아호스팅#위장인증서#IP직접다운로드행위자Tomiris · YoroTrooperIOCf1 · i1 · d0 · u1MITRE12지역CH · JO · US산업정부·공공 · 소매·유통 · 지원 서비스
FILE회원 전용2026년 9월 21일 14:31 (UTC+9)'klovbot' 하나의 이름, 실은 네 개의 낡은 악성코드 뭉치
CTX Team이 최근 재검토한 파일 묶음 하나는 표면적으로 'klovbot'이라는 단일 계열명 아래 수집됐지만, 실제 내부를 열어보면 전혀 다른 이야기가 나온다. 다섯 개 파일 각각의 VirusTotal 위협 라벨을 대조하면 trojan.hiloti/mufanom 두 건, trojan.buzus/prolaco 한 건, trojan.renos/codecpack 한 건, worm.autoruninf/merond 한 건으로 갈라진다. 이 네 계열은 서로 다른 빌드 시점, 서로 다른 전파 방식, 서로 다른 목적을 가진 2009~2010년대 초 상용 악성코드로, 하나의 캠페인이라기보다 오래된 유통 경로에서 함께 떠도는 도구 모음에 더 가깝다.
#klovbot#Hiloti#Buzus/Prolaco#Renos코덱다운로더#autorun웜#AkamaiCDN#상용악성코드#멀웨어클러스터링착시IOCf46 · i1 · d6 · u2MITRE48지역US산업엔지니어링