Artifact
Windows LNK(바로가기) 파일 아티팩트 분석
Windows LNK(바로가기) 파일은 사용자의 파일 접근 행위를 기록하는 핵심 포렌식 아티팩트다. 대상 파일의 타임스탬프·볼륨 시리얼·MAC 주소까지 추출 가능하며, 악성코드 유포에도 적극 활용된다. 파일 구조, 저장 위치, 포렌식 가치, 분석 도구를 정리한다.
Continue readingThreat Intelligence
Vidar Stealer + XMRig 캠페인 — 코드 서명 위장·Go 로더·파일 인플레이션 분석 (Unit 42)
Unit 42가 2026년 4월 관찰된 대규모 Vidar Stealer + XMRig 캠페인을 분석. 정보 탈취와 크립토마이닝을 동시에 수행하며, JustWatch·BleacherReport 등 정상 기업 인증서를 흉내낸 Rogue CA로 코드 서명 위장, Fantasm 패커로 감싼 Go 로더, 최대 2GB에 이르는 파일 인플레이션으로 방어 회피, AMSI 우회, PEB 워킹, 지연 실행 등 다양한 우회 기법을 결합. 스테이지 2는 X3D MINER(XMRig 변종) + Vidar Stealer(FileID V4 프로토콜) 병렬 실행.
Continue readingThreat Intelligence
CL-STA-1062 — 동남아 정부·핵심 인프라 표적 TinyRCT 백도어 캠페인 (Unit 42)
Unit 42가 분석한 중국어 사용 위협 클러스터 CL-STA-1062(Cisco Talos UAT-7237과 강한 연관). 동남아 정부·국영 에너지 기업·핵심 인프라를 표적으로, 2025년 10~12월 사이 최소 10개 조직 침해. 미공개 C# 백도어 TinyRCT(AES-128-CBC + 하드코딩 키), AppDomainManager 인젝션, JuicyPotato 권한 상승, SoftEther·yuze·VNT VPN 도구 위장(vmtools.exe·VMware 실행 파일)이 핵심.
Continue readingThreat Intelligence
이력서 위장 악성 LNK → Xctdoor 백도어 유포 분석 (ASEC)
AhnLab ASEC이 분석한 이력서 위장 악성 LNK 유포 캠페인. 기업명·직무명을 포함한 ‘(RESUME)_*.LNK’ 파일이 실행되면 정상 디코이 문서를 보여주고, 백그라운드에서 PowerShell·VBScript를 생성해 ‘office365’ 작업 스케줄러로 10분 주기 지속성을 확보한다. 최종적으로 ProximityUxHost.exe의 DLL Side Loading을 통해 ProximityCommon.dll이 로드되고 Xctdoor 백도어(settings.dat)가 인젝션·실행된다.
Continue readingThreat Intelligence
LangGraph Checkpointer SQLi → RCE 취약점 분석 — CVE-2025-67644 / 28277 / 27022 (Check Point Research)
Check Point Research(Yarden Porat)가 분석한 LangGraph(월 5천만 다운로드) 영속성 계층의 세 취약점. SQLite Checkpointer의 SQL 인젝션(CVE-2025-67644)과 msgpack 비안전 역직렬화(CVE-2026-28277)가 체인되어 RCE로 이어지고, Redis Checkpointer에도 동일한 인젝션 클래스(CVE-2026-27022)가 존재한다. 자체 호스팅 환경에서 get_state_history()가 사용자 제어 filter를 노출하면 위험. LangSmith Deployment(관리형 PostgreSQL)는 영향 없음. 패치 버전 명시.
Continue readingThreat Intelligence
AI 에이전트 공급망 위협 — 49,943개 third-party skill 행동 무결성 검증 (Unit 42)
Unit 42가 OpenClaw 레지스트리의 AI 에이전트 third-party skill 49,943개를 행동 무결성 검증(BIV) 기법으로 분석한 결과. 80%가 선언된 능력과 실제 행위가 불일치했고, 18.9%는 명백한 적대적 의도, 81.1%는 개발자 실수에서 비롯됐다. 4종의 다단계 공격 패턴(자격증명 탈취·지시어 하이재킹·RCE 체인·코드 난독화)이 88%를 차지한다.
Continue readingThreat Intelligence
클라우드 로깅 서비스 악용 — 방어 회피와 지속적 가시성 확보 (Unit 42)
Unit 42(Yahav Festinger)가 분석한 클라우드 로깅 서비스 악용 기법. AWS CloudTrail·S3·KMS와 Google Cloud Logging·CMEK를 대상으로 한 방어 회피 5종(로깅 중지, 저장소·라우터 삭제, 외부 암호키로 무력화, 로그 변조)과 지속 가시성 확보 2종(신규 라우팅, 리디렉션)을 표·다이어그램으로 정리한다. 공격자는 침해 사실 자체를 숨기거나 피해자 환경을 지속적으로 들여다보는 양방향 효과를 노린다.
Continue readingThreat Intelligence
Endpoint(Midnight) 랜섬웨어 분석 — Babuk 파생, ChaCha20+RSA, ESXi/NAS 표적
AhnLab ASEC이 분석한 Endpoint(구 Midnight) 랜섬웨어. Babuk 소스코드 기반 파생 변종으로 Windows·ESXi·NAS를 모두 표적화한다. ChaCha20 대칭 암호 + 자체 RSA 공개키 연산, 파일 크기 기반 부분 암호화, VSS 삭제·서비스 종료를 수행하며 데이터 탈취 협박과 결합한 Double Extortion 방식을 쓴다. 과거 랜섬노트의 메일 계정은 북한 연계 공격자가 사용한 정황도 확인됐다.
Continue readingThreat Intelligence
위장·클릭 하이재킹·TDS — 악성코드 유포 생태계 분석 (Check Point Research)
Check Point Research가 분석한 대규모 악성코드 유포 생태계. 보안 연구자용 도구(Ghidra·dnSpy·ilspy)를 사칭한 위장 사이트, 다운로드 버튼 클릭을 가로채는 클릭 하이재킹, 게이트형 TDS 인프라를 결합한다. 페이로드로는 SessionGate(신종 로더), RemusStealer(구독제 MaaS), AnimateClipper(암호화폐 클리퍼) 3종이 확인됐다.
Continue readingThreat Intelligence
DragonForce 랜섬웨어 생태계·운영 분석 — RaaS 카르텔 (S2W TALON)
S2W TALON이 분석한 DragonForce 랜섬웨어 생태계와 운영. 2023년 12월부터 363개 기업을 공격한 RaaS ‘카르텔’, LockBit 3.0·Conti 기반 빌더, ChaCha8 설정 복호화·BYOVD 프로세스 종료, Windows·Linux(ESXi/NAS/RHEL) 페이로드 구조 변화, 제휴 패널 침투 분석까지 정리한다.
Continue readingThreat Intelligence
사이버 갈취 경제의 진화 — 암호화 없는 데이터 탈취 동향 분석 (Unit 42)
Unit 42가 분석한 2025~2026년 사이버 갈취 동향. 암호화 사용은 78%로 하락하고 데이터 탈취 단독 갈취가 급증했다. TGR-CRI-1135의 공급망 공격, Bling Libra·BlackFile의 비싱 + SaaS 침투, 스와팅·DDoS 등 새로운 압박 기법, Frontier AI 활용 가능성까지 정리한다.
Continue readingThreat Intelligence
카드사 '보안 메일' 사칭 악성 LNK 유포 분석 — Kimsuky 연계
국내 카드사의 ‘보안 메일’을 사칭해 악성 LNK 파일을 유포하는 캠페인이 확인됐다. mshta·HTA·VBScript로 이어지는 실행 흐름과 Windows Defender 상태에 따른 분기 실행이 특징이며, 정보 탈취·키로깅·백도어 기능을 수행한다. Kimsuky 그룹의 과거 LNK 유포 사례와 유사하다.
Continue readingThreat Intelligence
Check Point 주간 TI 리포트 — 2026년 5월 25일
7-Eleven·GitHub·Grafana 침해, FBI 경고를 받은 PhaaS 플랫폼 Kali365, AI 활용 멕시코 정부 해킹, Windows Defender CVE 2건, Laravel 공급망 공격 등 2026년 5월 25일자 Check Point 주간 위협 인텔리전스 리포트를 정리한다.
Continue readingThreat Intelligence
APT37의 페이스북 위장 접근 및 소프트웨어 변조 공격 분석
북한 연계 APT37이 페이스북 위장 계정으로 표적을 사전 접촉한 뒤 변조된 PDF 뷰어 설치 파일로 RokRAT 변종을 배포하는 정교한 다단계 공격이 확인됐다. PE 패칭, 3중 XOR 암호화, 파일리스 실행, Zoho WorkDrive C2 활용이 특징이다.
Continue readingThreat Intelligence
CVE-2025-68670: xrdp 원격 코드 실행 취약점 분석
Kaspersky 연구팀이 xrdp 원격 데스크톱 서버에서 인증 전 원격 코드 실행이 가능한 스택 버퍼 오버플로우 취약점을 발견했다. CVE-2025-68670로 지정된 이 취약점은 도메인 이름 파싱 과정의 결함으로, 인증 없이 악의적인 RDP 연결만으로 공격자가 임의 코드를 실행할 수 있다.
Continue readingThreat Intelligence
APT37의 Python 백도어 캠페인 분석 — 딥페이크 사칭 스피어피싱
북한 연계 APT37이 딥페이크 군 신분증 사칭, 항공 e-티켓 등 사회공학 테마로 스피어피싱을 수행하며 Python 컴파일 백도어를 배포한다. 배치 파일 환경변수 치환 난독화와 .cat 확장자 위장 기법이 특징이다.
Continue readingThreat Intelligence
텔레그램 계정 탈취 스미싱 캠페인 재등장 분석
2024년 이후 약 2년간 잠잠하던 텔레그램 계정 탈취 스미싱 공격이 재등장했다. 보안 알림 사칭 메시지로 사용자를 피싱 페이지로 유도하며, User-Agent 탐지 우회와 실시간 2FA 릴레이 기법을 사용한다.
Continue readingThreat Intelligence
Nimbus Manticore의 이란 분쟁 기간 작전 분석
이란 분쟁 기간 중 IRGC 연계 위협 그룹 Nimbus Manticore의 3단계 작전을 분석합니다. AppDomain Hijacking, AI 보조 악성코드 개발, SEO 포이즈닝 등 고도화된 기법이 확인됐습니다.
Continue reading