2026년 초부터 VirusTotal에 같은 패턴의 이름을 가진 Windows 바로가기 파일(LNK)이 지속적으로 식별되었다. LNK 파일들은 이미지 및 영상 파일로 위장하였으며 실행 시 공격자 서버로부터 PowerShell 스크립트를 받아 실행하고, NodeJS를 다운로드해 최종적으로 JavaScript로 작성된TonRAT 악성코드를 실행한다.외부 보고서[1] 확인 결과, 해당 LNK 파일들은 해외 여행사 직원 및 관련 숙박업체를 대상으로 유포된 것으로 확인되었다. TonRAT 악성코드는 텔레그램에서 개발한 TON(The Open Network) 블록체인의 특정 컨트랙트 0:c66119f0e5635c4380441d7a79baf0c02a0ab7ea6cd78de06507fc5dc2c1a5d9에 접근해 C&C 서버 도메인 주소를 획득한 뒤 WebSocket으로 명령을 수신한다. 또한 외부 URL에서 PE 파일을 받아와 메모리에 로드하여 실행하는 기능과 자가 업데이트 기능 등이 구현되어 있어 공격자가 추가 페이로드를 실행할 수 있게 하였다.TonRAT 악성코드는 JavaScript 난독화 도구인 obfuscator.io의 상용 기능(VM 난독화)이 적용되어 있어 주요 악성 행위를 수행하는 함수들이 가상화되어 있고, 정적 분석과 동적 분석을 어렵게 하였다. 이후 공격자는 빠른 주기로 지속적으로 악성코드를 업데이트해 재배포하였으며, 난독화 패턴 또한 지속적으로 변경하였다.

PHP2Shell의 Root Cause을 이해하려면 PHP 내부의 메모리 관리 방식과 Zend Engine에서 데이터를 관리하는 방식을 먼저 이해해야 합니다.2.1 요청 메모리와 프로세스 범위 상태PHP는 HTTP 요청을 처리하는 동안 생성되는 문자열, 배열, 객체 등을 요청별 메모리에 저장합니다. 이 메모리는 하나의 요청이 끝날 때 해제됩니다.반면 Apache mod_php나 PHP-FPM에서는 하나의 프로세스가 여러 HTTP 요청을 처리하므로, 요청이 끝난 뒤에도 프로세스와 일부 내부 상태가 유지됩니다. 여기서 내부 상태란 PHP 코드의 $GLOBALS가 아니라 PHP Core와 확장 모듈이 C 레벨에서 관리하는 값을 의미합니다.따라서 PHP 내부의 데이터는 하나의 요청에서만 유효한 request-scoped data와 요청이 끝난 이후에도 유지되는 process-scoped state로 구분할 수 있습니다.2.2 Zend 엔진과 핵심 자료구조Zend Engine은 PHP 코드를 해석하고 실행하는 PHP의 핵심 구성 요소입니다. PHP 코드를 opcode로 변환하고 실행하며, 함수 호출, 변수와 객체의 관리, 메모리 할당 및 오류 처리 등 PHP 런타임의 주요 기능을 담당합니다.또한 PHP에서 사용되는 값을 zval 자료구조로 표현합니다. zval에는 실제 값 또는 다른 자료구조를 가리키는 포인터와 해당 값의 종류를 나타내는 타입 정보가 저장됩니다.PHP의 배열과 여러 내부 심볼 테이블은 HashTable로 구현됩니다. HashTable의 각 요소는 Bucket에 저장되며, Bucket은 값에 해당하는 zval, 키의 해시값, 문자열 키를 가리키는 포인터로 구성됩니다.HashTable은 nNumUsed를 통해 순회할 Bucket 영역의 범위를 관리하고, nNumOfElements를 통해 현재 유효한 요소의 수를 관리합니다. HashTable이 해제될 때 Zend Engine은 nNumUsed를 기준으로 Bucket 영역을 순회합니다. 이 과정에서 유효한 zval을 타입 정보와 HashTable에 등록된 pDestructor에 따라 정리합니다.2.3 메모리 부족(OOM)과 BailoutPHP는 memory_limit을 통해 하나의 요청이 사용할 수 있는 메모리의 최대 크기를 제한합니다.시스템에 사용 가능한 물리 메모리가 남아 있더라도 특정 요청이 설정된 memory_limit을 초과하면 PHP 내부에서 OOM(out-of-memory) 오류가 발생할 수 있습니다.Zend Engine은 치명적 오류가 발생했을 때 실행 흐름을 중단하기 위해 bailout 메커니즘을 사용합니다. Bailout은 C 함수들이 오류를 상위 호출자에게 차례로 반환하는 대신, 미리 지정된 복구 지점으로 실행 위치를 직접 이동시키는 방식입니다.Zend Engine의 zend_try는 setjmp()를 사용하여 현재 실행 위치를 복구 지점으로 등록합니다. 이후 하위 함수에서 zend_bailout()이 호출되면 longjmp()를 통해 가장 최근에 등록된 복구 지점으로 이동하며, 실행은 해당 zend_catch 영역에서 계속됩니다.이 과정에서 현재 함수부터 복구 지점 사이에 있는 함수들은 일반적인 return 과정을 거치지 않습니다. 따라서 각 함수에 남은 코드는 실행되지 않으며, 심지어 함수 반환 전에 수행되어야 할 정리 과정까지도 건너뛰게 됩니다.다음 장에서는 이러한 메모리 관리 방식과 자료구조가 각 취약점의 근본 원인과 어떻게 연결되는지 분석합니다.

엔키화이트햇 위협연구팀은 한국과 일본을 대상으로 한 Kimsuky의 최신 스피어피싱 사례를 다수 식별하였다. 공격자는 OneDrive 공유 링크가 포함된 피싱 이메일로 악성코드를 유포하였으며, 침투 이후에는 파워쉘 스크립트와 합법 원격 제어 도구를 악용해 데이터를 유출하고 피해 시스템을 제어하였다.caption - 공격 개요도공격자는 짧은 주기로 악성코드의 C&C 서버를 변경하고 정상 한국 서버를 침해해 C&C 서버로 악용하는 등 추적을 어렵게 하는 인프라 운용 전략을 사용하였다. 또한 Gmail 유출에 사용된 악성 크롬 확장 프로그램의 코드에서는 한국어로 작성된 상세한 주석과 디버깅 문자열, 유니코드 이모지 등 생성형 AI로 작성된 코드의 특징이 다수 확인되었다.공격자는 악성코드 압축파일을 OneDrive에 업로드하고, 해당 파일의 공유 링크가 포함된 피싱 이메일을 피해자에게 전송하였다. 확보한 일본 피해자 타겟 이메일에서는 "자료를 보내드리겠습니다. 확인 부탁드립니다."라는 일본어 문구와 함께 OneDrive 링크가 전송된 것이 확인되었다.