CL-STA-1062 — 동남아 정부·핵심 인프라 표적 TinyRCT 백도어 캠페인 (Unit 42)

개요

Unit 42는 중국어를 구사하는 위협 클러스터 CL-STA-1062가 동남아 정부·국영 에너지 기업·핵심 인프라를 노린 2025년 캠페인을 공개했다. Cisco Talos가 2025년 중반에 보고한 UAT-7237(타이완 웹 호스팅 인프라 침해)과 강한 연관성을 가진 그룹이며, 이번 분석에서는 2025년 10~12월 사이 최소 10개 조직 침해와 미공개 C# 백도어 TinyRCT 사용이 확인됐다.

공격 흐름

▲ Figure 2 — 정부 기관 웹서버에서 소스코드를 추출하는 과정 (출처: Unit 42)

▲ Figure 3 — 표적 네트워크에 공격자 도구를 다운로드하는 명령행 (출처: Unit 42)

TinyRCT 백도어 상세

유형: 경량 C# RAT — 이전에 문서화되지 않은 자체 개발 백도어
위장명: PerfWatson2.exe (Visual Studio 텔레메트리 컴포넌트 모방)

환경 검사 (분석 회피)

실행 시 %LOCALAPPDATA% 외 경로에서 실행되면 즉시 종료 — 샌드박스·분석가 환경 검출.

▲ Figure 11 — 로더 소스코드의 실행 경로 환경 검사 로직 (출처: Unit 42)

C2 프로토콜

등록(Registration) 시 전송 정보

• 사용자명 / 머신명 / OS 버전 / 로컬 IP들
• 실행 경로 / PID
• 무작위 생성 GUID

지원 명령 (8종)

자기 파괴 루틴

1. GoogleUpdater 예약 작업 삭제
2. choice.exe로 3초 지연
3. PerfWatson2.exe 실행 파일 제거

▲ Figure 9 — TinyRCT 소스에 잔존한 간체 중국어 코드 라인 — 작성자 출신 단서 (출처: Unit 42)

▲ Figure 10 — PerfWatson2.exe 실행 파일 내부 분석 (출처: Unit 42)

AppDomainManager 인젝션 (T1574.014)

전달 패키지 chrome_setup.zip 구성:

chrome_setup.exe            ← 정상 서명 실행 파일
chrome_setup.exe.config     ← 악성 .config — AppDomainManager 지정
MyAppDomainManager.dll      ← 악성 어셈블리 (1단계 로더)

.NET 런타임이 정상 chrome_setup.exe를 시작할 때 함께 있는 .config를 신뢰하므로, 악성 DLL이 정상 프로세스 컨텍스트에서 로드된다. 이번 캠페인의 로더는 다음 조건도 함께 강제한다.

• %USERPROFILE%\Downloads 에서만 동작 → 다른 경로(분석가의 샘플 폴더 등)로 옮기면 종료
• 정상적인 다운로드 폴더에 떨어진 경우만 다음 단계로 진행

이후 2단계 페이로드(PerfWatson2.exe = TinyRCT)를 139.180.134[.]221 에서 가져와 %LOCALAPPDATA% 에 저장한다.

▲ Figure 8 — Cortex XDR이 PerfWatson2.exe 실행을 차단·경보하는 화면 (출처: Unit 42)

측면 이동 · 권한 상승 · 도구 위장

측면 이동·정찰

• 네트워크 정찰: tracert 기반 토폴로지 파악
• MSSQL 데이터베이스 접속 후 데이터 추출
• 웹서버 소스코드 디렉터리 통째로 스테이징·압축

▲ Figure 1 — MSSQL 서버로부터 데이터를 유출하는 명령행 (출처: Unit 42)

권한 상승

• JuicyPotato 익스플로잇 사용

VPN 도구 위장 (지속 채널 확보)

공격자는 정상 시스템 유틸리티 이름을 사용해 EDR·관리자의 의심을 분산시킨다.

▲ Figure 4 — 측면 이동에 사용된 명령행 예시 (출처: Unit 42)

▲ Figure 5 — yuze VPN 인스턴스 실행 명령행 (출처: Unit 42)

▲ Figure 6 — SoftEther VPN 바이너리 추출·실행 (출처: Unit 42)

▲ Figure 7 — VNT 네트워킹 도구를 VMware 실행 파일로 위장 (출처: Unit 42)

IoC (선별)

SHA-256 (6건)

IPv4 (4건)

• 139.180.134[.]221 (스테이징)
• 45.32.113[.]172 (주 C2)
• 202.182.102[.]5
• 45.76.210[.]43

URLs (7건)

• hxxp://139.180.134[.]221/sdksdk608/1.zip
• hxxp://139.180.134[.]221/sdksdk608/anydesk_0117.zip
• hxxp://139.180.134[.]221/sdksdk608/hamcore.se2
• hxxp://139.180.134[.]221/sdksdk608/httpdf
• hxxp://139.180.134[.]221/sdksdk608/vpn_bridge.config
• hxxp://139.180.134[.]221/sdksdk608/win-vpn.rar
• hxxp://139.180.134[.]221/PerfWatson2.exe

호스트 기반 지표

• 예약 작업: GoogleUpdaterTaskSystem140.0.7272.0 {ACE7A46F-50FD-481C-AB32-3D838871DB40}
• 실행 파일 위장명: PerfWatson2.exe, vmtools.exe

MITRE ATT&CK

방어 권고

Palo Alto Networks 제품군에서는 Cortex XDR/XSIAM, Advanced WildFire, Advanced URL Filtering, Advanced DNS Security로 탐지·차단을 제공한다.

시사점

이 캠페인은 “정상 서명 + 정상 경로 + 정상 도구"의 3중 위장과 자체 개발 경량 백도어를 결합해 동남아 핵심 인프라를 장기 침투한 전형적인 사례다. UAT-7237 → CL-STA-1062로 이어지는 운영 연속성과 타이완에서 동남아로의 표적 확장은 중국 연계 위협 클러스터의 광역 캠페인 흐름을 보여준다. 특히 TinyRCT가 C#·AES-128-CBC·하드코딩 키로 구현된 점은 단순성을 통해 RE·EDR 탐지 회피를 의도한 설계로 평가된다.