Select Language

Contact

회사소개

서비스

제품

미디어센터

채용

Contact

회사소개

서비스

제품

미디어센터

채용

Select Language

Contact

회사소개

서비스

제품

미디어센터

채용

오늘 닫기

Go to Top

위협 인텔리전스

Kimsuky의 고도화된 공격 기법 분석: JSONPing, Webex 사칭, 그리고 새로운 HttpSpy 변종

엔키화이트햇

2026. 5. 27.

Content

요약

2026년 4월까지 Kimsuky가 대한민국 군·기업 관계자를 대상으로 악성코드를 유포한 사례를 다수 식별하였다.
Kimsuky는 국내 보안프로그램 설치 페이지 사칭, 실제 Webex 미팅 일정을 악용한 가짜 미팅 페이지 제작 등 타겟에 맞춘 다양한 사회공학적 전략을 사용하였다.
유포 페이지에서 JSONP를 이용해 피해자의 악성코드 실행 여부를 실시간으로 확인하는 기법(JSONPing)이 확인되었다.
최종 페이로드로 HttpSpy 변종이 확인되었으며, 기존 단일 바이너리 구조에서 Installer - Loader - HttpSpy 3단계의 새로운 실행 체인이 사용되었다.
공격 인프라, 코드 패턴, 암호화 키 재사용 등에서 Kimsuky와의 연관성이 확인되었다.

1. 개요

엔키화이트햇 위협연구팀은 2026년 상반기 북한 배후 공격 그룹 Kimsuky의 대한민국 군·기업 관계자 대상 악성코드 유포 사례를 식별하였다.

분석 결과, Webex 사칭 공격 사례에서 최종 페이로드인 HttpSpy 변종의 전체 실행 체인이 확인되었다. 기존 HttpSpy가 단일 바이너리로 동작했던 것과 달리, 본 변종은 설치 과정이 3단계로 분리되었다. 보안프로그램 위장 공격 사례에서는 다운로더 단계까지만 확인되었으나, 동일한 RC4 키·인프라·코드 패턴을 공유하여 같은 위협 행위자의 공격으로 판단하였다.

Kimsuky는 가짜 웹페이지에 JSONP 통신 기능을 추가해, 악성코드가 피해 시스템에 구축한 로컬 서버와 통신해 실행 여부를 확인하고, 미실행 시 설치를 유도하였다. (JSONPing, 섹션 4.4. 참조) 또한, Kimsuky가 이미 침해한 것으로 추정되는 피해자의 미팅 일정 정보를 활용해 가짜 미팅 페이지를 제작하고, 다른 미팅 참가자들에게 악성코드를 유포한 정황도 확인되었다.

2. 배경

Kimsuky는 2013년 Kaspersky에 의해 처음으로 식별된 후 현재까지 주로 한국을 타겟으로 꾸준히 공격을 이어오고 있는 대표적인 북한 배후 APT 그룹 중 하나이다.

Kimsuky는 이전부터 한국 타겟의 공격 수행 시 악성코드를 국내 보안 제품 개발 업체의 설치 파일로 위장해 유포하는 전략을 자주 사용하였다. 2023년 ESTSecurity가 분석한 Kimsuky의 악성코드 또한 실행 시 정상 설치 파일을 실행하면서, 백그라운드로 2차 악성코드를 생성해 실행한다.

2024년 안랩에서 보고한 사례에서는 공식 홈페이지를 직접 침해해 보안 프로그램 위장 악성코드의 유포지로 악용했다. 이때 유포지에서 다운로드된 악성코드는 국내 기업의 유효한 인증서로 서명되어 있었다.

이렇게 유출된 국내 인증서를 악용하는 전략은 HttpSpy가 사용되었던 2025년 5월 CJ Olivenetworks 인증서 악용 사례에서도 등장한다. 해당 사례에서는 Go 언어로 작성된 scr 실행 파일이 드로퍼 악성코드로 사용되었고, 생성한 2차 악성코드를 rundll32.exe로 실행하며 hello Export 함수를 호출하는 패턴이 확인되었다. "hello" Export 함수 호출 패턴은 Kaspersky의 HelloDoor 보고 사례에서도 확인된 바 있다.

3. 보안 프로그램 위장

caption - 보안 프로그램 위장 공격 개요도

3.1. 가짜 보안 프로그램 설치 페이지

2026년 3월 경, Kimsuky가 국내 B2B 메시징 서비스 업체의 보안 프로그램 설치 페이지를 사칭한 가짜 페이지를 제작해 악성코드를 유포한 사례가 확인되었다. 사칭 대상이 일반 소비자용이 아닌 기업용 서비스라는 점에서, 기업 내 메시징 관리자를 표적으로 삼은 것으로 추정된다.

URL: hxxps://www.ibizplus.n-e[.]kr/install.html

caption - 보안 프로그램 설치 페이지 위장

"전체 설치" 및 "다운로드" 버튼을 클릭하면 악성코드가 다운로드된다. 각 버튼 클릭 시 다운로드되는 파일 정보는 아래 표와 같다.

| 버튼 | URL | 악성코드 |
| --- | --- | --- |
| 개인PC방화벽(ASTX) 다운로드 | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382119 | astx-setup.exe |
| 키보드 보안(NOS) 다운로드 | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382120 | nos-setup.exe |
| 전체설치 | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382121 | nos-setup.exe |

| 버튼 | URL | 악성코드 |
| --- | --- | --- |
| 개인PC방화벽(ASTX) 다운로드 | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382119 | astx-setup.exe |
| 키보드 보안(NOS) 다운로드 | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382120 | nos-setup.exe |
| 전체설치 | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382121 | nos-setup.exe |

| 버튼 | URL | 악성코드 |
| --- | --- | --- |
| 개인PC방화벽(ASTX) 다운로드 | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382119 | astx-setup.exe |
| 키보드 보안(NOS) 다운로드 | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382120 | nos-setup.exe |
| 전체설치 | hxxps://www.ibizplus.n-e[.]kr/download.php?id=30382121 | nos-setup.exe |

caption - 가짜 설치 페이지 버튼별 다운로드 정보

html 코드 확인 결과, 공격자는 메시징 서비스 업체가 아닌 우리은행의 보안 프로그램 설치 페이지 html 코드를 가져와 수정하고 로고를 추가해 공격에 사용한 것으로 확인되었다.

caption - 우리은행 html 코드 복사 흔적

caption - 실제 우리은행 보안프로그램 설치 페이지

3.2. 드로퍼 및 다운로더

3.2.1. nos-setup.exe & astx-setup.exe

nos-setup.exe와 astx-setup.exe는 미끼 파일로 사용되는 정상 프로그램 설치 파일만 상이하고 악성 행위, 추가 생성하는 악성코드, 메타데이터 등은 모두 동일한 드로퍼 악성코드이다. 상세 정보는 아래 표와 같다.

| **파일명** | nos-setup.exe | astx-setup.exe |
| --- | --- | --- |
| 미끼 파일 | nProtect Online Security V1.0 | AhnLab Safe Transaction |
| 추가 악성코드 MD5 | bea602695d58cbf25fff058834e36c1d | bea602695d58cbf25fff058834e36c1d |
| 추가 악성코드 생성 경로 | C:\Programdata\[a-z]{8}.dat | C:\Programdata\[a-z]{8}.dat |
| 자가 삭제 파일 경로 | %Temp%\msbuil.bat | %Temp%\msbuil.bat |
| RC4 키 | #RsfsetraW#@EsfesgsgAJOPj4eml; | #RsfsetraW#@EsfesgsgAJOPj4eml; |
| 링커 정보 | Microsoft Linker(14.36.33523) | Microsoft Linker(14.36.33523) |
| 컴파일러 정보 | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] |
| 도구 정보 | Visual Studio(2022, v17.6) | Visual Studio(2022, v17.6) |
| 언어 정보 | C++ | C

| **파일명** | nos-setup.exe | astx-setup.exe |
| --- | --- | --- |
| 미끼 파일 | nProtect Online Security V1.0 | AhnLab Safe Transaction |
| 추가 악성코드 MD5 | bea602695d58cbf25fff058834e36c1d | bea602695d58cbf25fff058834e36c1d |
| 추가 악성코드 생성 경로 | C:\Programdata\[a-z]{8}.dat | C:\Programdata\[a-z]{8}.dat |
| 자가 삭제 파일 경로 | %Temp%\msbuil.bat | %Temp%\msbuil.bat |
| RC4 키 | #RsfsetraW#@EsfesgsgAJOPj4eml; | #RsfsetraW#@EsfesgsgAJOPj4eml; |
| 링커 정보 | Microsoft Linker(14.36.33523) | Microsoft Linker(14.36.33523) |
| 컴파일러 정보 | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] |
| 도구 정보 | Visual Studio(2022, v17.6) | Visual Studio(2022, v17.6) |
| 언어 정보 | C++ | C

| **파일명** | nos-setup.exe | astx-setup.exe |
| --- | --- | --- |
| 미끼 파일 | nProtect Online Security V1.0 | AhnLab Safe Transaction |
| 추가 악성코드 MD5 | bea602695d58cbf25fff058834e36c1d | bea602695d58cbf25fff058834e36c1d |
| 추가 악성코드 생성 경로 | C:\Programdata\[a-z]{8}.dat | C:\Programdata\[a-z]{8}.dat |
| 자가 삭제 파일 경로 | %Temp%\msbuil.bat | %Temp%\msbuil.bat |
| RC4 키 | #RsfsetraW#@EsfesgsgAJOPj4eml; | #RsfsetraW#@EsfesgsgAJOPj4eml; |
| 링커 정보 | Microsoft Linker(14.36.33523) | Microsoft Linker(14.36.33523) |
| 컴파일러 정보 | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] | Microsoft Visual C/C++(19.36.33523)[LTCG/C++] |
| 도구 정보 | Visual Studio(2022, v17.6) | Visual Studio(2022, v17.6) |
| 언어 정보 | C++ | C

caption - 보안프로그램 위장 악성코드 정보

악성코드 실행 시, 내장된 RC4 암호화 데이터를 복호화해 2차 악성코드와 미끼 파일을 생성한다. 미끼 파일은 현재 디렉토리에 nos_setup.exe 또는 astx-setup.exe로 생성하고, 2차 악성코드는 C:\Programdata\[a-z]{8}.dat로 생성한다. 복호화에 사용되는 RC4 키는 아래와 같다.

RC4 키 : #RsfsetraW#@EsfesgsgAJOPj4eml;

caption - 파일명 생성 루틴

복호화된 2차 악성코드는 DLL로, export table에 MemLoader.dll이라는 원본 파일명이 존재한다. 악성코드는 CreateProcess 함수를 통해 regsvr32.exe로 실행되고, 미끼 파일은 ShellExecuteW 함수를 통해 별도로 실행된다.

caption - 정상 nos_setup.exe 실행 결과

caption - 정상 astx-setup.exe 실행 결과

nos_setup.exe와 astx-setup.exe는 모든 동작을 마무리하면 자기 자신을 삭제하는 배치 파일을 생성 및 실행한다. 생성 경로와 내용은 아래와 같다.

배치 파일 경로: %Temp%\msbuild.bat

:L1
del /F "<실행 중인 파일 경로>"
if exist "<실행 중인 파일 경로>" goto L1
del /F "%Temp%\msbuild.bat"

:L1
del /F "<실행 중인 파일 경로>"
if exist "<실행 중인 파일 경로>" goto L1
del /F "%Temp%\msbuild.bat"

:L1
del /F "<실행 중인 파일 경로>"
if exist "<실행 중인 파일 경로>" goto L1
del /F "%Temp%\msbuild.bat"

3.2.2. MemLoader.dll

실행 시 먼저 현재 실행 중인 파일과 동일한 경로에서 [실행 중인 파일명].cfg 파일이 존재하는지 확인한다. 해당 파일이 존재하면 파일 내용을 읽어와 UID로 사용하고, 존재하지 않으면 [0-9a-fA-F] 범위의 랜덤 8자리를 생성해 UID로 사용한다. UID가 결정되면 현재 프로세스가 관리자 권한이면 S-, 아니면 U- 접두사를 추가한다. 완성된 UID는 [실행 중인 파일명].cfg 파일에 저장한다.

caption - UID 로드 또는 생성 루틴

UID 설정 직후, 내장된 추가 악성코드를 C:\programdata\calc.exe로 저장하고 ShellExecuteW를 통해 실행한다.

calc.exe는 로컬호스트 62001 포트에 임시 서버를 생성하며, /ping 경로로 callback 파라미터가 포함된 요청을 받으면 해당 콜백 함수로 감싼 JSONP 형식의 응답을 반환한다. 이 서버는 악성코드 유포 페이지가 피해자의 감염 여부를 확인하기 위해 사용되며, 유포 페이지의 상세 동작은 "4.4. 추가 보안 프로그램 위장 페이지" 섹션에서 다룬다.

caption - 포트 바인딩 루틴

이후 지속성을 확보하기 위해 1분 간격으로 동작하는 작업을 등록한다. 현재 실행 중인 악성코드의 실행 형태와 권한에 따라 다른 작업이 등록되며, 케이스 별 상세 정보는 아래 표와 같다.

| 실행 형태 | 권한 | 작업명 | 명령어 특징 |
| --- | --- | --- | --- |
| DLL | Admin | ChromeUpdate | regsvr32 사용 + 최고 권한 |
| DLL | User | EdgeUpdate | regsvr32 사용 |
| EXE | Admin | ChromeUpdate | 직접 실행 + 최고 권한 |
| EXE | User | EdgeUpdate | 직접 실행

| 실행 형태 | 권한 | 작업명 | 명령어 특징 |
| --- | --- | --- | --- |
| DLL | Admin | ChromeUpdate | regsvr32 사용 + 최고 권한 |
| DLL | User | EdgeUpdate | regsvr32 사용 |
| EXE | Admin | ChromeUpdate | 직접 실행 + 최고 권한 |
| EXE | User | EdgeUpdate | 직접 실행

| 실행 형태 | 권한 | 작업명 | 명령어 특징 |
| --- | --- | --- | --- |
| DLL | Admin | ChromeUpdate | regsvr32 사용 + 최고 권한 |
| DLL | User | EdgeUpdate | regsvr32 사용 |
| EXE | Admin | ChromeUpdate | 직접 실행 + 최고 권한 |
| EXE | User | EdgeUpdate | 직접 실행

caption - 실행 형태 및 권한별 등록 작업 정보

악성코드는 Authorization: Bearer [UID] 헤더를 포함한 GET 요청을 C&C 서버에 전송한다. 이때 응답 데이터가 존재하면 RC4로 복호화해 메모리에서 로드하고 hello 함수를 호출한다. RC4 키는 드로퍼가 사용하는 키와 동일하고, 다운로드 시 요청을 보내는 URL은 아래와 같다.

URL: hxxps://load.serverpit[.]com/fwrite.php

caption - 다운로드 요청 루틴

분석 당시 단순 접속만으로는 후속 페이로드를 확보할 수 없었다. 공격자는 악성코드가 지속적으로 보내는 GET 요청을 확인해 특정 피해자를 대상으로 악성코드를 유포한 것으로 추정된다.

4. Webex 사칭

4.1. 가짜 Webex 미팅 페이지

2026년 4월에는 Kimsuky가 Cisco의 온라인 미팅 서비스인 Webex를 사칭한 가짜 페이지를 통해 악성코드를 유포한 사례가 확인되었다. 특히 해당 공격에 사용된 가짜 미팅 페이지가 특정 인물들이 실제로 참가 예정인 미팅을 기반으로 제작되었다. 이는 공격자가 사전에 미팅 정보를 획득하여 악성코드를 유포한 가능성이 높다. 아래 URL에서 확보한 html 코드를 실행하면 블러 처리된 미팅 입장 페이지 배경의 로딩 UI가 나타난다.

URL: hxxps://conference.birdriver[.]org/

caption - 가짜 미팅 입장 페이지

가짜 미팅 페이지는 접속 5초 후에 카메라 패치 스크립트를 설치 후 실행하라는 문구를 표시하며 확인 버튼을 누르도록 유도한다. 확인 버튼을 누르면 jse 파일이 포함된 egg 압축 파일이 다운로드된다. URL의 엔드포인트와 파라미터 구성이 보안 프로그램 위장 사례의 가짜 설치 페이지에 사용된 URL과 동일하다.

URL: hxxps://download.birdriver[.]org/download.php?id=425623

caption - 악성코드 다운로드 유도 버튼

다운로드한 jse 파일 실행 시 최종적으로 변종 HttpSpy가 시스템에 설치된다. 악성코드와 함께 생성 및 실행되는 meeting.html는 피해자를 Webex 미팅 방으로 리다이렉트 한다.

리다이렉트 URL 접속 시 정상 Webex 미팅 방이 나타난다. 해당 미팅은 악성코드 유포 시기에 예정되어 있던 실제 미팅 일정인 것으로 확인되었다. 이러한 사실로부터 공격자가 특정 미팅 참석 예정자의 PC 또는 계정을 침해해 미팅 정보를 획득한 뒤, 미팅 참석자들에게 악성코드를 유포하기 위해 가짜 미팅 페이지를 만든 것으로 보인다.

caption - 정상 Webex 미팅 입장 페이지

4.2. jse 드로퍼 및 다운로더

4.2.1. fix-camera.jse

fix-camera.jse는 base64 인코딩 상태로 포함된 악성코드와 미끼 html 파일을 각각 C:\ProgramData\mTSTCv8.mdxm, C:\ProgramData\meeting.html 경로에 생성하고 실행한다. jse 스크립트는 base64 인코딩 된 데이터를 쓰레기 변수에 할당하거나, 문자열을 슬라이싱 해 "+" 연산으로 조합하는 등 여러 난독화 방식이 적용되어 있다.

caption - 난독화된 jse 스크립트

이중 base64 인코딩 된 악성코드는 1회 디코딩 후 C:\ProgramData\mTXDZew.sz8f으로 생성되고, certutil로 다시 디코딩되어 최종적으로 C:\ProgramData\mTSTCv8.mdxm 파일로 저장된다. mTSTCv8.mdxm은 아래 명령어를 통해 실행된다.

powershell.exe -windowstyle hidden regsvr32.exe /s C:\ProgramData\mTSTCv8.mdxm

4.2.2. mTSTCv8.mdxm (loadDll.dll)

mTSTCv8.mdxm은 C&C 서버에서 2차 악성코드를 다운로드하는 다운로더 악성코드이다. Export 파일명이 loadDll.dll이며, 아래와 같은 PDB 경로가 기록되어 있다.

PDB 경로: C:\Users\jira\Documents\My_Received_Files\loadDll\x64\Release\loadDll.pdb

실행 직후 VM 환경 탐지 및 분석 도구 탐지를 하고, 하나라도 탐지된 경우 프로세스를 즉시 종료한다. 먼저 VM 탐지 루틴은 아래 두 레지스트리 값을 읽어와 "VMware", "VirtualBox" 문자열이 존재하는지 확인한다.

HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\BIOS\SystemManufacturer

HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\BIOS\SystemProductName

분석 도구 탐지는 현재 실행 중인 프로세스 목록과 현재 열려있는 모든 창 제목을 조회해 하드코딩된 특정 문자열이 포함되어 있는지 확인하는 방식으로 이루어진다. 탐지에 사용되는 모든 문자열 목록은 부록 D의 "분석 도구 탐지 목록" 참고 바란다. 최종적으로 아래 URL에서 추가 페이로드를 다운로드해 현재 프로세스 메모리에 로드하고 Play 익스포트 함수의 주소를 찾아 실행한다.

URL : hxxps://download[.]birdriver[.]org/download.php?id=393156

caption - 악성코드 다운로드 및 실행 루틴

다운로드된 페이로드는 3단계의 설치 과정을 거쳐 최종적으로 피해 시스템에 HttpSpy 변종을 설치한다.

4.3. HttpSpy 변종 실행 체인

4.3.1. engine.dat (spyInster.dll)

loadDll.dll에 의해 다운로드된 engine.dat의 Export 파일명은 spyInster.dll이며, Export 파일명에서 알 수 있듯이 최종 악성코드인 HttpSpy를 피해 환경에 설치한다.

engine.dat에는 두 종류의 문자열 난독화가 적용되어 있다. 넓은 문자(wchar) 문자열은 각 문자에 고정 오프셋을 빼는 방식이며, 일반 문자열은 위치 인덱스를 포함한 키로 XOR하는 방식이다. 또한 engine.dat는 난독화된 API 문자열을 복원한 뒤 FNV-1a로 해시하고, 현재 로드된 모듈의 export 테이블 항목과 비교해 함수 포인터를 획득한다.

caption - wchar 문자열 난독화 루틴

caption - 일반 문자열 난독화 루틴

engine.dat 는 내부의 RC4 암호화된 악성코드를 복호화해 C:\Users\Public\cacheMon.dat 경로에 생성한다. 설정 데이터는 RC4 복호화해 cacheMon.dat에 DATA_CONF 보조 스트림(ADS)으로 추가한다. cacheMon.dat 및 ADS 설정 데이터 복호화에 사용되는 RC4 키는 아래와 같다.

cacheMon.dat 복호화 RC4 키: %^fseRW#r3qwrwfsddREfGEgse)(14);
ADS 복호화 RC4 키: RGdcsedfd@#%dg9ser3$#$^@34sdfxl

설정 데이터 추가 직전 rand() * rand() / 2로 계산된 32-bit 값을 설정 데이터의 오프셋 0x1228영역에 패치하는데, 이는 HttpSpy 메인 모듈에서 피해자 식별자로 사용된다. 마지막으로 자동 실행 레지스트리에 실행 명령어를 등록하고 regsvr32.exe를 이용해 C:\Users\Public\cacheMon.dat를 직접 실행한다. 등록되는 레지스트리 값과 데이터는 아래와 같다.

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\MSEdgeUpdateInstaller = C:\Windows\System32\regsvr32.exe /s C:\Users\Public\cacheMon.dat

4.3.2. cacheMon.dat (spyLoader.dll)

engine.dat에 의해 생성된 cacheMon.dat는 Export 파일명이 spyLoader.dll인 HttpSpy 로더 악성코드이다. RC4 암호화된 HttpSpy 메인 모듈 데이터를 복호화해 현재 프로세스 메모리에 로드하고 hello export 함수 주소를 탐색해 실행한다. RC4 복호화에 사용되는 복호화 키는 아래와 같다.

RC4 키: #RsfsetraW#@EsfesgsgAJOPj4eml;

caption - cacheMon.dat의 최종 페이로드 로드 루틴

4.3.3. HttpSpy 메인 모듈

최종 실행되는 악성코드는 Export Name이 httpSpy.dll인 RAT 악성코드이다. 2025년 5월 CJ Olivenetworks 인증서 악용 공격에 사용된 최종 악성코드와 Export 파일명이 동일하고, C&C 서버 통신 프로토콜 및 원격 명령 체계가 매우 유사하다. 컴파일 타임이 2025년 10월 15일로 기록되어 있어 이미 2025년 후반부터 공격에 사용된 악성코드일 것으로 추정된다.

메인 루프에서는 앞서 cacheMon.dat에 ADS로 추가되었던 설정 데이터에서 C&C 서버 URL을 로드하고, HTTP POST 요청으로 원격 명령을 수신한다. 설정 데이터의 +0x410(1040) 오프셋에 프록시 주소가 설정되어 있으면 해당 프록시를 통해 통신하며, 프록시 bypass 주소로 2[.]2[.]2[.]2를 사용한다. 분석된 악성코드의 설정 데이터는 아래 표와 같다.

| 오프셋 | 크기 | 용도 | 초기 값 |
| --- | --- | --- | --- |
| +0 | 520 | 1차 C&C URL (wide string) | hxxp://hdrgdrfes[.]chickenkiller[.]com/index.php |
| +520 | 520 | 2차 C&C URL (wide string) | (비어 있음) |
| +1040 | 520 | 프록시 주소 (wide string) | (비어 있음) |
| +1560 | 520 | HTTP 인증 사용자명 (wide string) | (비어 있음) |
| +2080 | 520 | HTTP 인증 비밀번호 (wide string) | (비어 있음) |
| +2600 | 2048 | 미사용 영역 |  |
| +4648 | 4 | 세션 ID (DWORD) | rand()*rand()/2

| 오프셋 | 크기 | 용도 | 초기 값 |
| --- | --- | --- | --- |
| +0 | 520 | 1차 C&C URL (wide string) | hxxp://hdrgdrfes[.]chickenkiller[.]com/index.php |
| +520 | 520 | 2차 C&C URL (wide string) | (비어 있음) |
| +1040 | 520 | 프록시 주소 (wide string) | (비어 있음) |
| +1560 | 520 | HTTP 인증 사용자명 (wide string) | (비어 있음) |
| +2080 | 520 | HTTP 인증 비밀번호 (wide string) | (비어 있음) |
| +2600 | 2048 | 미사용 영역 |  |
| +4648 | 4 | 세션 ID (DWORD) | rand()*rand()/2

| 오프셋 | 크기 | 용도 | 초기 값 |
| --- | --- | --- | --- |
| +0 | 520 | 1차 C&C URL (wide string) | hxxp://hdrgdrfes[.]chickenkiller[.]com/index.php |
| +520 | 520 | 2차 C&C URL (wide string) | (비어 있음) |
| +1040 | 520 | 프록시 주소 (wide string) | (비어 있음) |
| +1560 | 520 | HTTP 인증 사용자명 (wide string) | (비어 있음) |
| +2080 | 520 | HTTP 인증 비밀번호 (wide string) | (비어 있음) |
| +2600 | 2048 | 미사용 영역 |  |
| +4648 | 4 | 세션 ID (DWORD) | rand()*rand()/2

caption - HttpSpy 설정 데이터 구조

C&C 서버 통신 시 사용되는 파라미터와 값은 아래 표와 같다.

| 파라미터 | 값 |
| --- | --- |
| _sessionchk | ck_param_auto |
| _logininfo | login_ok - 명령 수신 / login_fail - 데이터 송신 |
| _pkgparam | 세션 ID (8자리 HEX) |
| _lockdata | 암호화 및 base64 인코딩 된 데이터

| 파라미터 | 값 |
| --- | --- |
| _sessionchk | ck_param_auto |
| _logininfo | login_ok - 명령 수신 / login_fail - 데이터 송신 |
| _pkgparam | 세션 ID (8자리 HEX) |
| _lockdata | 암호화 및 base64 인코딩 된 데이터

| 파라미터 | 값 |
| --- | --- |
| _sessionchk | ck_param_auto |
| _logininfo | login_ok - 명령 수신 / login_fail - 데이터 송신 |
| _pkgparam | 세션 ID (8자리 HEX) |
| _lockdata | 암호화 및 base64 인코딩 된 데이터

caption - HttpSpy C&C 통신 파라미터

통신 시 송수신하는 데이터는 아래 RC4 키로 암호화 후 Base64 인코딩 된다.

RC4 키: RGdcsedfd@#%dg9ser3$#$^@34sdfxl

명령 코드에 따른 기능은 아래 표와 같다.

| 명령 코드 | 동작 |
| --- | --- |
| d | 셸 명령 실행 후 ANSI 출력을 Unicode로 변환해 C&C 서버로 전송 |
| e  | C&C 서버에서 파일 다운로드 |
| f | 지정 파일을 384KB 청크 단위로 C&C 서버로 업로드 |
| g  | CreateProcessW로 지정 명령을 숨김 창으로 실행 |
| h | 지정 WTS 세션에서 프로세스 실행 |
| i | 지정 파일을 0x5F 패턴으로 덮어쓴 후 파일명을 임의 소문자로 수정하고 삭제 |
| j | GDI 전체화면을 BMP 캡처해 RC4 암호화 후 C&C 서버로 업로드 |
| k | 내부 설정 버퍼를 C&C 서버로 전송 |
| l | C&C 서버에서 새 설정 데이터를 수신해 ADS 갱신 |
| m | 지정 IP:Port로 TCP connect 테스트 수행 |
| n | 지정 시간(시간 단위)만큼 Sleep |
| o | 소스 파일의 타임스탬프를 대상 파일에 복사  |
| p | 자기 자신을 삭제하고 지속성 항목을 제거한 후 종료 (언인스톨) |
| q | 아무 동작도 수행하지 않음 |
| r | 셸 명령 실행 후 바이너리 출력 그대로 C&C 서버로 전송 |
| s | 지정 PID 프로세스에 DLL 경로를 주입 (Remote DLL Injection)

| 명령 코드 | 동작 |
| --- | --- |
| d | 셸 명령 실행 후 ANSI 출력을 Unicode로 변환해 C&C 서버로 전송 |
| e  | C&C 서버에서 파일 다운로드 |
| f | 지정 파일을 384KB 청크 단위로 C&C 서버로 업로드 |
| g  | CreateProcessW로 지정 명령을 숨김 창으로 실행 |
| h | 지정 WTS 세션에서 프로세스 실행 |
| i | 지정 파일을 0x5F 패턴으로 덮어쓴 후 파일명을 임의 소문자로 수정하고 삭제 |
| j | GDI 전체화면을 BMP 캡처해 RC4 암호화 후 C&C 서버로 업로드 |
| k | 내부 설정 버퍼를 C&C 서버로 전송 |
| l | C&C 서버에서 새 설정 데이터를 수신해 ADS 갱신 |
| m | 지정 IP:Port로 TCP connect 테스트 수행 |
| n | 지정 시간(시간 단위)만큼 Sleep |
| o | 소스 파일의 타임스탬프를 대상 파일에 복사  |
| p | 자기 자신을 삭제하고 지속성 항목을 제거한 후 종료 (언인스톨) |
| q | 아무 동작도 수행하지 않음 |
| r | 셸 명령 실행 후 바이너리 출력 그대로 C&C 서버로 전송 |
| s | 지정 PID 프로세스에 DLL 경로를 주입 (Remote DLL Injection)

| 명령 코드 | 동작 |
| --- | --- |
| d | 셸 명령 실행 후 ANSI 출력을 Unicode로 변환해 C&C 서버로 전송 |
| e  | C&C 서버에서 파일 다운로드 |
| f | 지정 파일을 384KB 청크 단위로 C&C 서버로 업로드 |
| g  | CreateProcessW로 지정 명령을 숨김 창으로 실행 |
| h | 지정 WTS 세션에서 프로세스 실행 |
| i | 지정 파일을 0x5F 패턴으로 덮어쓴 후 파일명을 임의 소문자로 수정하고 삭제 |
| j | GDI 전체화면을 BMP 캡처해 RC4 암호화 후 C&C 서버로 업로드 |
| k | 내부 설정 버퍼를 C&C 서버로 전송 |
| l | C&C 서버에서 새 설정 데이터를 수신해 ADS 갱신 |
| m | 지정 IP:Port로 TCP connect 테스트 수행 |
| n | 지정 시간(시간 단위)만큼 Sleep |
| o | 소스 파일의 타임스탬프를 대상 파일에 복사  |
| p | 자기 자신을 삭제하고 지속성 항목을 제거한 후 종료 (언인스톨) |
| q | 아무 동작도 수행하지 않음 |
| r | 셸 명령 실행 후 바이너리 출력 그대로 C&C 서버로 전송 |
| s | 지정 PID 프로세스에 DLL 경로를 주입 (Remote DLL Injection)

caption - HttpSpy 원격 명령 코드

명령 코드 d와 r은 인자가 cd로 시작하면 SetCurrentDirectoryW로 작업 디렉토리를 변경하고 변경된 경로를 C&C 서버에 전송한다. cd 이외의 명령은 cmd.exe /c로 실행해 표준 출력을 %TEMP%\NK[0-9a-fA-F]+\.tmp 파일로 리다이렉트하여 수집한 후 C&C로 전송한다.

caption - 일반 명령어 처리 루틴

명령 코드 j로 캡처된 BMP 데이터는 %TEMP%JG[0-9a-fA-F]{4}\.tmp 임시 파일에 저장된 후 C&C 서버로 업로드되고, 업로드 완료 후 삭제된다.

caption - 스크린샷 파일 저장 경로

4.4. 추가 보안프로그램 위장 페이지

가짜 미팅 페이지를 확인한 C&C 서버에서 새로운 형태의 보안 프로그램 설치 페이지 위장 html 파일 2종이 확인되었다. 두 페이지는 공통적으로 C&C 서버에 주기적 폴링을 수행하며, 응답 값에 따라 개인정보 입력 폼 생성, 트래킹 픽셀 삽입, 리다이렉션 작업 중 하나를 수행한다. 각 html 파일의 세부 정보는 아래 표와 같다.

| **파밍명** | 보안 검사.html | 보안프로그램 확인.html |
| --- | --- | --- |
| MD5 | be978477fe7c179cb9607a6e08a05dff | 8833a270ddef0f464d5916958b6778e6 |
| 위장 기관 | 국민건강보험공단 | DB손해보험 |
| 식별자 | gateless | gateless |
| User-Agent 기반 모바일 환경 탐지 | O | X |
| 폴링 주기 | 3초 | 5초 |
| 폴링 URL | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless |
| 트래킹 픽셀 URL | hxxps://appview[.]imagetemplate[.]com/gateless_icon<카운터>.png | hxxps://appview[.]imagetemplate[.]com/gateless_icon<카운터>.png |
| 수행 기능 | 트래킹 픽셀 삽입-n피해자 리다이렉션 | 악성코드 유포-n악성코드 실행 여부 확인-n트래킹 픽셀 삽입 |
| 악성코드 다운로드 URL | 해당 없음 | hxxps://pipeline[.]embeddedonline[.]org/download3.php?sessid=54126&user-token=gateless |

| **파밍명** | 보안 검사.html | 보안프로그램 확인.html |
| --- | --- | --- |
| MD5 | be978477fe7c179cb9607a6e08a05dff | 8833a270ddef0f464d5916958b6778e6 |
| 위장 기관 | 국민건강보험공단 | DB손해보험 |
| 식별자 | gateless | gateless |
| User-Agent 기반 모바일 환경 탐지 | O | X |
| 폴링 주기 | 3초 | 5초 |
| 폴링 URL | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless |
| 트래킹 픽셀 URL | hxxps://appview[.]imagetemplate[.]com/gateless_icon<카운터>.png | hxxps://appview[.]imagetemplate[.]com/gateless_icon<카운터>.png |
| 수행 기능 | 트래킹 픽셀 삽입-n피해자 리다이렉션 | 악성코드 유포-n악성코드 실행 여부 확인-n트래킹 픽셀 삽입 |
| 악성코드 다운로드 URL | 해당 없음 | hxxps://pipeline[.]embeddedonline[.]org/download3.php?sessid=54126&user-token=gateless |

| **파밍명** | 보안 검사.html | 보안프로그램 확인.html |
| --- | --- | --- |
| MD5 | be978477fe7c179cb9607a6e08a05dff | 8833a270ddef0f464d5916958b6778e6 |
| 위장 기관 | 국민건강보험공단 | DB손해보험 |
| 식별자 | gateless | gateless |
| User-Agent 기반 모바일 환경 탐지 | O | X |
| 폴링 주기 | 3초 | 5초 |
| 폴링 URL | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless | hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless |
| 트래킹 픽셀 URL | hxxps://appview[.]imagetemplate[.]com/gateless_icon<카운터>.png | hxxps://appview[.]imagetemplate[.]com/gateless_icon<카운터>.png |
| 수행 기능 | 트래킹 픽셀 삽입-n피해자 리다이렉션 | 악성코드 유포-n악성코드 실행 여부 확인-n트래킹 픽셀 삽입 |
| 악성코드 다운로드 URL | 해당 없음 | hxxps://pipeline[.]embeddedonline[.]org/download3.php?sessid=54126&user-token=gateless |

caption - 추가 보안프로그램 위장 페이지 비교

두 html 파일 모두 접속 시 "보안프로그램 검사 중" 문구와 함께 로딩 화면을 표시한다.

caption - 신규 보안 프로그램 검사 위장 페이지 1

caption - 신규 보안 프로그램 검사 위장 페이지 2

보안프로그램 확인.html에는 악성코드 실행 여부를 확인하는 JSONP 로직이 존재한다. 본 글에서는 유포 페이지가 JSONP를 이용해 로컬 서버와 통신해 악성코드 실행 여부를 확인하는 이 기법을 JSONPing으로 명명한다. 유포 페이지는 "vp20_" + Date.now() 형식의 고유한 전역 콜백 함수를 window 객체에 등록하고, 이를 callback 파라미터로localhost:16106에 요청하는 <script> 태그를 DOM에 삽입한다.

caption - JSONPing 콜백 함수 등록 루틴

브라우저는 <script> 태그에 SOP를 적용하지 않으므로 악성코드가 구축한 로컬 서버로 GET 요청이 전송되며, 응답이 스크립트로 실행되면 사전 등록된 콜백이 호출되어 반환 객체의 res 값을 검사한다. 값이 0이면 악성코드가 실행 중인 것으로 판단한다.

caption - JSONPing 요청 루틴

JSONPing 확인 결과 악성코드가 미실행 상태일 때 설치 유도 팝업을 표시하고, 확인 버튼 클릭 시 downloadProgram 함수를 호출해 악성코드 다운로드 및 실행을 유도한다. 그러나 분석 당시 악성코드 다운로드 URL이 비활성화되어 이후 공격 체인은 확보할 수 없었다.

caption - downloadProgram 호출 시 나타나는 보안 프로그램 설치 유도 팝업

5. 추가 악성코드 - 스피어 피싱 전략

분석 과정에서 스피어 피싱에 사용된 것으로 추정되는 Kimsuky의 scr, exe, jse 드로퍼 악성코드 4종을 확보하였다. 추가 드로퍼 악성코드는 모두 실행 시 내장된 미끼 문서를 표시한 뒤 다운로더 악성코드를 실행한다. 미끼 문서로 국내 기업의 내부 문서가 사용된 사례가 다수 확인되어 국내 기업 관계자를 대상으로 스피어 피싱을 수행했을 가능성이 높다. 확보한 추가 드로퍼 악성코드 정보는 아래 표와 같다.

| 파일명 | MD5 | 생성된 다운로더 컴파일 타임 | 다운로드 URL | 최종 악성코드 |
| --- | --- | --- | --- | --- |
| Screenshot 2026-02-24 085012.scr | d09c0744273355b6da719fdb62923bed | 2026년 2월 20일 00:18:02 UTC | hxxps://load[.]serverpit[.]com/fwrite.php | 확인되지 않음 |
| 미확인 (미끼 문서: 엑셀데이터베이스활용설문지_성명.hwp) | f57a9e973e1cecd6b361467041e464f4 | 2026년 3월 4일 02:17:26 UTC | hxxps://load[.]erasecloud[.]n-e[.]kr/login.php | 확인되지 않음 |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | 1efaf988fded55cd3b974c66f4ca8f7e | 2026년 4월 6일 06:26:12 UTC | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | HttpSpy |
| 420109_최종본_수정요청2차_반영.hwp.jse | bd8e948a6e61436532cd2ed2b62db3f3 | 2026년 4월 20일 13:45:20 UTC | hxxps://download[.]birdriver[.]org/download.php?id=393156 | HttpSpy |

| 파일명 | MD5 | 생성된 다운로더 컴파일 타임 | 다운로드 URL | 최종 악성코드 |
| --- | --- | --- | --- | --- |
| Screenshot 2026-02-24 085012.scr | d09c0744273355b6da719fdb62923bed | 2026년 2월 20일 00:18:02 UTC | hxxps://load[.]serverpit[.]com/fwrite.php | 확인되지 않음 |
| 미확인 (미끼 문서: 엑셀데이터베이스활용설문지_성명.hwp) | f57a9e973e1cecd6b361467041e464f4 | 2026년 3월 4일 02:17:26 UTC | hxxps://load[.]erasecloud[.]n-e[.]kr/login.php | 확인되지 않음 |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | 1efaf988fded55cd3b974c66f4ca8f7e | 2026년 4월 6일 06:26:12 UTC | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | HttpSpy |
| 420109_최종본_수정요청2차_반영.hwp.jse | bd8e948a6e61436532cd2ed2b62db3f3 | 2026년 4월 20일 13:45:20 UTC | hxxps://download[.]birdriver[.]org/download.php?id=393156 | HttpSpy |

| 파일명 | MD5 | 생성된 다운로더 컴파일 타임 | 다운로드 URL | 최종 악성코드 |
| --- | --- | --- | --- | --- |
| Screenshot 2026-02-24 085012.scr | d09c0744273355b6da719fdb62923bed | 2026년 2월 20일 00:18:02 UTC | hxxps://load[.]serverpit[.]com/fwrite.php | 확인되지 않음 |
| 미확인 (미끼 문서: 엑셀데이터베이스활용설문지_성명.hwp) | f57a9e973e1cecd6b361467041e464f4 | 2026년 3월 4일 02:17:26 UTC | hxxps://load[.]erasecloud[.]n-e[.]kr/login.php | 확인되지 않음 |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | 1efaf988fded55cd3b974c66f4ca8f7e | 2026년 4월 6일 06:26:12 UTC | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | HttpSpy |
| 420109_최종본_수정요청2차_반영.hwp.jse | bd8e948a6e61436532cd2ed2b62db3f3 | 2026년 4월 20일 13:45:20 UTC | hxxps://download[.]birdriver[.]org/download.php?id=393156 | HttpSpy |

caption - 스피어 피싱 드로퍼 악성코드 목록

추가 악성코드 중 420109_최종본_수정요청2차_반영.hwp.jse와 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse는 최종적으로 Webex 사칭 사례와 완전히 동일한 HttpSpy를 유포하는 것으로 확인되었다. 미끼 문서로 사용된 420109_최종본_수정요청2차_반영.hwp의 문서 정보에서 마지막으로 저장한 사람이 jira로 기록되어 있으며, 이는 앞서 Webex 사칭 사례에서 분석된 mTSTCv8.mdxm 파일의 pdb 경로에서 확인된 사용자명과 동일하다.

caption - 문서 정보

420109_최종본_수정요청2차_반영.hwp.jse가 다운로드하는 engine.dat는 Webex 사칭 사례의 인스톨러 악성코드와 완전히 동일한 파일이며, 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse가 다운로드하는 cache.db는 결과적으로 완전히 같은 HttpSpy 메인 모듈을 실행하는 다른 인스톨러 악성코드이다.

| 파일명 | 다운로드 페이로드 | 다운로드 URL | 인스톨러 RC4 키 |
| --- | --- | --- | --- |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | cache.db | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | #RsfsetraW#@EsfesgsgAJOPj4eml;-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |
| 420109_최종본_수정요청2차_반영.pdf.jse | engine.dat | hxxps://download[.]birdriver[.]org/download.php?id=393156 | %^fseRW#r3qwrwfsddREfGEgse)(14);-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |

| 파일명 | 다운로드 페이로드 | 다운로드 URL | 인스톨러 RC4 키 |
| --- | --- | --- | --- |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | cache.db | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | #RsfsetraW#@EsfesgsgAJOPj4eml;-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |
| 420109_최종본_수정요청2차_반영.pdf.jse | engine.dat | hxxps://download[.]birdriver[.]org/download.php?id=393156 | %^fseRW#r3qwrwfsddREfGEgse)(14);-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |

| 파일명 | 다운로드 페이로드 | 다운로드 URL | 인스톨러 RC4 키 |
| --- | --- | --- | --- |
| 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse | cache.db | hxxps://bigfile[.]jaycloudlab[.]com/download.php?id=745896 | #RsfsetraW#@EsfesgsgAJOPj4eml;-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |
| 420109_최종본_수정요청2차_반영.pdf.jse | engine.dat | hxxps://download[.]birdriver[.]org/download.php?id=393156 | %^fseRW#r3qwrwfsddREfGEgse)(14);-nRGdcsedfd@#%dg9ser3$#$^@34sdfxl |

caption - 추가 HttpSpy 유포 드로퍼 비교

6. Kimsuky와의 연관성

6.1. 악성코드 유사성

6.1.1. 난독화된 jse 로더

공격자는 미끼 문서와 악성코드를 생성 및 실행하는 난독화된 jse 드로퍼를 사용했는데, 이 형태의 jse 로더 악성코드는 이전부터 Kimsuky가 지속적으로 사용해온 형태로 알려져 있다. 2021년 ESTSecurity가 보고한 탈륨(Kimsuky와 동일시되거나 같은 배후로 추정되는 APT 그룹)의 공격 사례에서 사용된 jse 스크립트에서도 동일한 형태의 base64 디코딩, C:\ProgramData 경로로의 파일 생성, regsvr32.exe를 사용한 DLL실행 루틴을 모두 확인할 수 있다.

caption - Webex 사칭 공격에 사용된 jse 드로퍼

caption - 2021년 탈륨의 공격에 사용된 jse 드로퍼 (사진 출처: https://blog.alyac.co.kr/3754)

6.1.2. 악성코드 실행 흐름

첫 번째 특징은 후속 페이로드 복호화 과정의 유사성이다. 보안프로그램 위장 사례의 드로퍼 악성코드와 Webex 사칭 공격의 spyLoader.dll은 후속 페이로드를 복호화할 때 과거 2025년 Gen Digital에 의해 보고된 사례에서 HttpTroy 복호화 및 추가 페이로드 복호화에 사용되었던 아래 RC4 키를 재사용하였다.

후속 페이로드 복호화 RC4 키: #RsfsetraW#@EsfesgsgAJOPj4eml;

분석된 2종의 spyInster.dll이 설정 데이터를 복호화하기 위해 사용한 아래 RC4 키 또한 2025년 5월 HttpSpy 보고 사례와 동일한 키가 사용되었다.

설정 데이터 복호화 RC4 키: RGdcsedfd@#%dg9ser3$#$^@34sdfxl

또한 engine.dat에서 확인된 XOR 기반 문자열 난독화 알고리즘과 API 해싱 기법은 HttpTroy 사례에서도 동일하게 확인되었다.

caption - engine.dat 문자열 난독화 해제 루틴

caption - HttpTroy의 문자열 난독화 해제 루틴 (사진 출처: https://www.gendigital.com/blog/insights/research/dprk-kimsuky-lazarus-analysis)

마지막으로 보안프로그램 위장 공격의 추가 페이로드와 Webex 사칭 공격의 HttpSpy 메인 모듈의 hello Export 함수명은 과거 유포된 HttpTroy 악성코드와 Kaspersky의 Hellodoor 관련 보고 사례에서 확인된 Kimsuky 악성코드의 공통 특징이다.

6.2. 인프라 연관성

6.2.1. HTTPS 인증서 및 ASN

엔키화이트햇 위협연구팀은 최근 Kimsuky가 XAMPP 기본 HTTPS 인증서를 인프라 전반에 반복적으로 사용하는 패턴을 추적해 왔다. Appleseed, HttpTroy C&C 서버부터 피싱 페이지, 악성코드 유포 서버까지 동일한 인증서 사용이 확인되었으며, 본 글에서 분석된 모든 인프라에서도 같은 인증서가 확인되었다. 해당 인증서의 상세 정보는 아래 표와 같다.

| Fingerprint | Subject DN | Names |
| --- | --- | --- |
| 9de541b039cfdb96c7810df49efd958b28cc2df73e314f67c1a91469a2b19796 | C=DE, ST=Berlin, L=Berlin, O=Apache Friends, CN=localhost | localhost

| Fingerprint | Subject DN | Names |
| --- | --- | --- |
| 9de541b039cfdb96c7810df49efd958b28cc2df73e314f67c1a91469a2b19796 | C=DE, ST=Berlin, L=Berlin, O=Apache Friends, CN=localhost | localhost

| Fingerprint | Subject DN | Names |
| --- | --- | --- |
| 9de541b039cfdb96c7810df49efd958b28cc2df73e314f67c1a91469a2b19796 | C=DE, ST=Berlin, L=Berlin, O=Apache Friends, CN=localhost | localhost

caption - Kimsuky 인프라에 사용된 XAMPP 기본 HTTPS 인증서

IP 측면에서도 Kimsuky가 선호하는 ASN과의 일치가 확인되었다. 본 글의 C&C 서버 IP 중 27.102.113[.]106을 제외한 전부가 Kimsuky가 반복적으로 사용해 온 아래 두 ASN에 속한다.

ASN: 19318, 26666

XAMPP 기본 인증서와 특정 ASN은 개별적으로는 Kimsuky만의 고유한 지표가 될 수 없으나, 두 요소가 동시에 나타날 경우 Kimsuky 인프라를 식별하는 유효한 근거가 된다.

6.2.2. 피싱 페이지의 callback 확인 루틴

Kimsuky는 2025년부터 유포 페이지에서의 로컬호스트 서버 요청 및 콜백 등록 루틴을 사회공학적 유포 기법에 적극 활용해 왔다. 2025년 11월 VirusTotal에 업로드된 recaptcha.html은 당시 Kimsuky의 인프라로 확인되어 모니터링하던 157.250.202[.]123에서 사용되었으며, 분석된 보안프로그램 확인.html과 비교한 내용은 아래 표와 같다.

| 파일명 | MD5 | 파라미터 | 로컬 서버 포트 |
| --- | --- | --- | --- |
| recaptcha.html | 02897faac6e41781152f480565e5d572 | callback-n_  | 62001 |
| 보안프로그램 확인.html | a2547836564b0732c6d02a78702da7e6 | callback-ndata-n_ | 16106

| 파일명 | MD5 | 파라미터 | 로컬 서버 포트 |
| --- | --- | --- | --- |
| recaptcha.html | 02897faac6e41781152f480565e5d572 | callback-n_  | 62001 |
| 보안프로그램 확인.html | a2547836564b0732c6d02a78702da7e6 | callback-ndata-n_ | 16106

| 파일명 | MD5 | 파라미터 | 로컬 서버 포트 |
| --- | --- | --- | --- |
| recaptcha.html | 02897faac6e41781152f480565e5d572 | callback-n_  | 62001 |
| 보안프로그램 확인.html | a2547836564b0732c6d02a78702da7e6 | callback-ndata-n_ | 16106

caption - JSONPing 루틴 비교

caption - 보안프로그램 확인.html의 콜백 루틴

caption - recaptcha.html의 콜백 루틴

추가로 recaptcha.html에는 일반적인 악성 html 코드보다 훨씬 더 상세한 한글 주석 및 디버깅 로그 출력 코드가 포함되어 있어, 한글을 사용하는 공격자가 LLM을 적극 이용해 해당 html 코드를 제작했을 가능성이 높다.

7. 대응 방안

7.1. 정상 URL 여부 확인

공격자는 피해자가 링크를 의심하지 않도록 정상 도메인과 유사한 형태의 도메인이나, 같은 카테고리의 키워드가 포함된 도메인을 공격에 활용한다. 공격자가 초기 접근 시 활용한 도메인은 아래 표와 같다.

| 정상 서비스 도메인 | 피싱 도메인 |
| --- | --- |
| ibizplus[.]co[.]kr | ibizplus[.]n-e[.]kr |
| meet1754245389211-9925[.]webex[.]com | conference[.]birdriver[.]org

| 정상 서비스 도메인 | 피싱 도메인 |
| --- | --- |
| ibizplus[.]co[.]kr | ibizplus[.]n-e[.]kr |
| meet1754245389211-9925[.]webex[.]com | conference[.]birdriver[.]org

| 정상 서비스 도메인 | 피싱 도메인 |
| --- | --- |
| ibizplus[.]co[.]kr | ibizplus[.]n-e[.]kr |
| meet1754245389211-9925[.]webex[.]com | conference[.]birdriver[.]org

caption - 정상 도메인과 피싱 도메인 비교

특히 Kimsuky는 한국의 무료 도메인 발급 서비스인 내도메인.한국에서 발급받은 도메인을 자주 사용하기 때문에, 아래 도메인들이 포함된 경우 더 주의할 필요가 있다.

p-e[.]kr
o-r[.]kr
n-e[.]kr
r-e[.]kr
kro[.]kr

또한 정상 서비스는 추가 프로그램 설치가 필요한 경우 공식 다운로드 페이지를 안내하는 것이 일반적이다. 비공식 페이지에서 보안 프로그램이나 패치 파일의 즉시 설치를 요구하는 경우, 해당 페이지의 도메인이 서비스 공식 도메인과 일치하는지 반드시 확인해야 한다.

caption - Webex 공식 다운로드 센터

7.2. 검증되지 않은 설치파일 실행 금지

lnk 확장자를 제외한 대부분의 실행 파일 확장자는 "파일 확장명" 옵션을 켜두면 파일 탐색기에서 직접적으로 확장명을 확인할 수 있다. 반드시 파일 탐색기의 "파일 확장명" 옵션을 활성화하고, 웹이나 네트워크를 통해 설치한 파일은 아이콘과 확장명을 더욱 꼼꼼히 확인해야 한다.

caption - 윈도우 파일 탐색기에서 확인되는 jse 파일

본 보고서에서 분석된 보안프로그램 위장 악성코드는 정상 보안프로그램의 아이콘을 그대로 사용하였고, 파일 확장명도 동일해 일반 사용자가 파일의 겉모습만을 보고 악성 여부를 판단하기 매우 어렵다. 웹에서 설치한 파일을 실행해야 한다면 실행 전 반드시 백신 검사나 virustotal 조회, 배포 업체 자체 무결성 검사와 같은 검증 과정을 거치는 습관을 들여야 한다.

caption - 악성 프로그램

caption - 정상 설치 프로그램

8. 마치며

본 글은 2026년 4월까지 확인된 Kimsuky의 한국 군·기업 관계자 대상 공격 사례를 분석하였다. Kimsuky는 단순한 악성코드 유포를 넘어, JSONPing을 통한 실시간 감염 여부 확인, 탈취한 미팅 일정을 활용한 가짜 페이지 제작 등 악성코드 감염 성공률을 극대화하기 위한 정교한 메커니즘을 도입하였다.

악성코드 측면에서는 HttpSpy의 실행 체인이 인스톨러 - 로더 - 메인 모듈 3단계로 분리되고, Go 기반 scr 드로퍼 대신 난독화된 jse 드로퍼가 채택되는 등 구조적 변화가 나타났다. 이 가운데 RC4 키, hello Export 함수명, XOR 기반 문자열 난독화, HTTPS 인증서 등 핵심 코드 특징과 인프라 패턴은 과거 캠페인과 일관되게 유지되고 있다. 이러한 일관된 특징은 Kimsuky의 TTP가 변화하더라도 이를 추적할 수 있는 유효한 기반이 된다.

엔키화이트햇 위협연구팀은 Kimsuky를 포함한 주요 위협 행위자를 지속적으로 추적하고, 위협 인텔리전스를 선제적으로 공유할 것이다.

9. 부록

부록 A. MITRE ATT&CK

| Tactics | Techniques |
| --- | --- |
| Initial Access | T1566: Phishing |
| Execution | T1059.003: Command and Scripting Interpreter: Windows Command Shell-nT1059.007: Command and Scripting Interpreter: JavaScript-nT1204.002: User Execution: Malicious File |
| Persistence | T1547.001: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder-nT1053.005: Scheduled Task/Job: Scheduled Task |
| Privilege Escalation | T1134.002: Access Token Manipulation: Create Process with Token |
| Defense Evasion | T1027.009: Obfuscated Files or Information: Embedded Payloads-nT1027.010: Obfuscated Files or Information: Command Obfuscation-nT1027.013: Obfuscated Files or Information: Encrypted/Encoded File-nT1036.004: Masquerading: Masquerade Task or Service-nT1140: Deobfuscate/Decode Files or Information-nT1620: Reflective Code Loading-nT1497.001: Virtualization/Sandbox Evasion: System Checks-nT1055.001: Process Injection: Dynamic-link Library Injection-nT1070.004: Indicator Removal: File Deletion-nT1070.006: Indicator Removal: Timestomp-nT1070.009: Indicator Removal: Clear Persistence |
| Discovery | T1057: Process Discovery-nT1010: Application Window Discovery-nT1012: Query Registry-nT1082: System Information Discovery-nT1083: File and Directory Discovery |
| Collection | T1113: Screen Capture-nT1005: Data from Local System |
| Command and Control | T1071.001: Application Layer Protocol: Web Protocols-nT1132.001: Data Encoding: Standard Encoding-nT1573.001: Encrypted Channel: Symmetric Cryptography-nT1090: Proxy |
| Exfiltration | T1041: Exfiltration Over C2 Channel

| Tactics | Techniques |
| --- | --- |
| Initial Access | T1566: Phishing |
| Execution | T1059.003: Command and Scripting Interpreter: Windows Command Shell-nT1059.007: Command and Scripting Interpreter: JavaScript-nT1204.002: User Execution: Malicious File |
| Persistence | T1547.001: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder-nT1053.005: Scheduled Task/Job: Scheduled Task |
| Privilege Escalation | T1134.002: Access Token Manipulation: Create Process with Token |
| Defense Evasion | T1027.009: Obfuscated Files or Information: Embedded Payloads-nT1027.010: Obfuscated Files or Information: Command Obfuscation-nT1027.013: Obfuscated Files or Information: Encrypted/Encoded File-nT1036.004: Masquerading: Masquerade Task or Service-nT1140: Deobfuscate/Decode Files or Information-nT1620: Reflective Code Loading-nT1497.001: Virtualization/Sandbox Evasion: System Checks-nT1055.001: Process Injection: Dynamic-link Library Injection-nT1070.004: Indicator Removal: File Deletion-nT1070.006: Indicator Removal: Timestomp-nT1070.009: Indicator Removal: Clear Persistence |
| Discovery | T1057: Process Discovery-nT1010: Application Window Discovery-nT1012: Query Registry-nT1082: System Information Discovery-nT1083: File and Directory Discovery |
| Collection | T1113: Screen Capture-nT1005: Data from Local System |
| Command and Control | T1071.001: Application Layer Protocol: Web Protocols-nT1132.001: Data Encoding: Standard Encoding-nT1573.001: Encrypted Channel: Symmetric Cryptography-nT1090: Proxy |
| Exfiltration | T1041: Exfiltration Over C2 Channel

| Tactics | Techniques |
| --- | --- |
| Initial Access | T1566: Phishing |
| Execution | T1059.003: Command and Scripting Interpreter: Windows Command Shell-nT1059.007: Command and Scripting Interpreter: JavaScript-nT1204.002: User Execution: Malicious File |
| Persistence | T1547.001: Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder-nT1053.005: Scheduled Task/Job: Scheduled Task |
| Privilege Escalation | T1134.002: Access Token Manipulation: Create Process with Token |
| Defense Evasion | T1027.009: Obfuscated Files or Information: Embedded Payloads-nT1027.010: Obfuscated Files or Information: Command Obfuscation-nT1027.013: Obfuscated Files or Information: Encrypted/Encoded File-nT1036.004: Masquerading: Masquerade Task or Service-nT1140: Deobfuscate/Decode Files or Information-nT1620: Reflective Code Loading-nT1497.001: Virtualization/Sandbox Evasion: System Checks-nT1055.001: Process Injection: Dynamic-link Library Injection-nT1070.004: Indicator Removal: File Deletion-nT1070.006: Indicator Removal: Timestomp-nT1070.009: Indicator Removal: Clear Persistence |
| Discovery | T1057: Process Discovery-nT1010: Application Window Discovery-nT1012: Query Registry-nT1082: System Information Discovery-nT1083: File and Directory Discovery |
| Collection | T1113: Screen Capture-nT1005: Data from Local System |
| Command and Control | T1071.001: Application Layer Protocol: Web Protocols-nT1132.001: Data Encoding: Standard Encoding-nT1573.001: Encrypted Channel: Symmetric Cryptography-nT1090: Proxy |
| Exfiltration | T1041: Exfiltration Over C2 Channel

caption - MITRE ATT&CK

부록 B. IOCs

MD5

| MD5 | 파일명 |
| --- | --- |
| 4a476abcf741323b367eda0ec49f8c38 | nos-setup.exe |
| 00f957b7dafd8d210e717041add02eab  | nos_setup.exe |
| cc837d2b2af4bd9c1c3faf61cefeb848  | astx-setup.exe |
| 97b4c2e67e5e18b70949690a69820c2a  | astx_setup.exe |
| bea602695d58cbf25fff058834e36c1d  | MemLoader.dll |
| ea5f32e1273ec93d43ee09a337fb60e1  | calc.exe |
| 0d07fb6d1a3736ea543ab8364115e435 | install.html |
| 6d2dfd7ca77530afec000a197d6b8677 | fix-camera.zip |
| b4dd4c76d7deef4cf532e240b7f84c9d | fix-camera.jse |
| be31a38bab026f229afd5e3174c363f7 | meeting.html |
| c61a6efe1a169c6c1d8595af3ff0dd74 | mTSTCv8.mdxm (loadDll.dll) |
| c6de1be41dcfbad9cae76c58eae7f5a3 | engine.dat (spyInster.dll) |
| 50f619aaba1d28882022ced135b13a07 | cacheMon.dat (spyLoader.dll) |
| a581fdea0970f8a5b6cfec4853c802d7 | httpSpy.dll |
| 9df5ca76ac085b89c1ddcb3963e9fe97 | Webex 사칭 페이지 |
| be978477fe7c179cb9607a6e08a05dff | 보안 검사.html |
| 8833a270ddef0f464d5916958b6778e6 | 보안프로그램 확인.html |
| d09c0744273355b6da719fdb62923bed | Screenshot 2026-02-24 085012.scr |
| fcaf03060e34a73fe499b906492d9f13 | Screenshot 2026-02-24 085012.png |
| dd47c97b44408e0a5ecd8f482fcd0dbc | MemLoader.dll (png) |
| f57a9e973e1cecd6b361467041e464f4 | hwp 미끼파일 사용 악성코드 |
| 3369b911cf3706a2660d2af9b3c35f9a | 엑셀데이터베이스활용설문지_성명.hwp |
| 39e091e981d9daab56e680927508bd1f | MemLoader.dll (hwp) |
| 00fd7272f9a3044b5f62680d9e576e55 | 420109_최종본_수정요청2차_반영.egg |
| bd8e948a6e61436532cd2ed2b62db3f3 | 420109_최종본_수정요청2차_반영.jse |
| 3315229011b2fa2b05bd4c7b4fbb58e3 | d5HaQHe.bt6L |
| a87cd5fd8fe223816005e81e0da70b21 | 420109_최종본_수정요청2차_반영.hwp |
| c05f074c70a6cacb0e6f05578aab3c9d | 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.egg |
| 1efaf988fded55cd3b974c66f4ca8f7e | 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse |
| 50e89a4e50392e4235822e9e92df4c32 | h3ZYBzb.dbei |
| 7b9484d719f39faa71abd90f57525cc8 | 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf |
| 91d1a7153606dedef92502553962cf67 | cache.db (spyInster.dll) |
| 02897faac6e41781152f480565e5d572 | recaptcha.html

| MD5 | 파일명 |
| --- | --- |
| 4a476abcf741323b367eda0ec49f8c38 | nos-setup.exe |
| 00f957b7dafd8d210e717041add02eab  | nos_setup.exe |
| cc837d2b2af4bd9c1c3faf61cefeb848  | astx-setup.exe |
| 97b4c2e67e5e18b70949690a69820c2a  | astx_setup.exe |
| bea602695d58cbf25fff058834e36c1d  | MemLoader.dll |
| ea5f32e1273ec93d43ee09a337fb60e1  | calc.exe |
| 0d07fb6d1a3736ea543ab8364115e435 | install.html |
| 6d2dfd7ca77530afec000a197d6b8677 | fix-camera.zip |
| b4dd4c76d7deef4cf532e240b7f84c9d | fix-camera.jse |
| be31a38bab026f229afd5e3174c363f7 | meeting.html |
| c61a6efe1a169c6c1d8595af3ff0dd74 | mTSTCv8.mdxm (loadDll.dll) |
| c6de1be41dcfbad9cae76c58eae7f5a3 | engine.dat (spyInster.dll) |
| 50f619aaba1d28882022ced135b13a07 | cacheMon.dat (spyLoader.dll) |
| a581fdea0970f8a5b6cfec4853c802d7 | httpSpy.dll |
| 9df5ca76ac085b89c1ddcb3963e9fe97 | Webex 사칭 페이지 |
| be978477fe7c179cb9607a6e08a05dff | 보안 검사.html |
| 8833a270ddef0f464d5916958b6778e6 | 보안프로그램 확인.html |
| d09c0744273355b6da719fdb62923bed | Screenshot 2026-02-24 085012.scr |
| fcaf03060e34a73fe499b906492d9f13 | Screenshot 2026-02-24 085012.png |
| dd47c97b44408e0a5ecd8f482fcd0dbc | MemLoader.dll (png) |
| f57a9e973e1cecd6b361467041e464f4 | hwp 미끼파일 사용 악성코드 |
| 3369b911cf3706a2660d2af9b3c35f9a | 엑셀데이터베이스활용설문지_성명.hwp |
| 39e091e981d9daab56e680927508bd1f | MemLoader.dll (hwp) |
| 00fd7272f9a3044b5f62680d9e576e55 | 420109_최종본_수정요청2차_반영.egg |
| bd8e948a6e61436532cd2ed2b62db3f3 | 420109_최종본_수정요청2차_반영.jse |
| 3315229011b2fa2b05bd4c7b4fbb58e3 | d5HaQHe.bt6L |
| a87cd5fd8fe223816005e81e0da70b21 | 420109_최종본_수정요청2차_반영.hwp |
| c05f074c70a6cacb0e6f05578aab3c9d | 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.egg |
| 1efaf988fded55cd3b974c66f4ca8f7e | 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse |
| 50e89a4e50392e4235822e9e92df4c32 | h3ZYBzb.dbei |
| 7b9484d719f39faa71abd90f57525cc8 | 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf |
| 91d1a7153606dedef92502553962cf67 | cache.db (spyInster.dll) |
| 02897faac6e41781152f480565e5d572 | recaptcha.html

| MD5 | 파일명 |
| --- | --- |
| 4a476abcf741323b367eda0ec49f8c38 | nos-setup.exe |
| 00f957b7dafd8d210e717041add02eab  | nos_setup.exe |
| cc837d2b2af4bd9c1c3faf61cefeb848  | astx-setup.exe |
| 97b4c2e67e5e18b70949690a69820c2a  | astx_setup.exe |
| bea602695d58cbf25fff058834e36c1d  | MemLoader.dll |
| ea5f32e1273ec93d43ee09a337fb60e1  | calc.exe |
| 0d07fb6d1a3736ea543ab8364115e435 | install.html |
| 6d2dfd7ca77530afec000a197d6b8677 | fix-camera.zip |
| b4dd4c76d7deef4cf532e240b7f84c9d | fix-camera.jse |
| be31a38bab026f229afd5e3174c363f7 | meeting.html |
| c61a6efe1a169c6c1d8595af3ff0dd74 | mTSTCv8.mdxm (loadDll.dll) |
| c6de1be41dcfbad9cae76c58eae7f5a3 | engine.dat (spyInster.dll) |
| 50f619aaba1d28882022ced135b13a07 | cacheMon.dat (spyLoader.dll) |
| a581fdea0970f8a5b6cfec4853c802d7 | httpSpy.dll |
| 9df5ca76ac085b89c1ddcb3963e9fe97 | Webex 사칭 페이지 |
| be978477fe7c179cb9607a6e08a05dff | 보안 검사.html |
| 8833a270ddef0f464d5916958b6778e6 | 보안프로그램 확인.html |
| d09c0744273355b6da719fdb62923bed | Screenshot 2026-02-24 085012.scr |
| fcaf03060e34a73fe499b906492d9f13 | Screenshot 2026-02-24 085012.png |
| dd47c97b44408e0a5ecd8f482fcd0dbc | MemLoader.dll (png) |
| f57a9e973e1cecd6b361467041e464f4 | hwp 미끼파일 사용 악성코드 |
| 3369b911cf3706a2660d2af9b3c35f9a | 엑셀데이터베이스활용설문지_성명.hwp |
| 39e091e981d9daab56e680927508bd1f | MemLoader.dll (hwp) |
| 00fd7272f9a3044b5f62680d9e576e55 | 420109_최종본_수정요청2차_반영.egg |
| bd8e948a6e61436532cd2ed2b62db3f3 | 420109_최종본_수정요청2차_반영.jse |
| 3315229011b2fa2b05bd4c7b4fbb58e3 | d5HaQHe.bt6L |
| a87cd5fd8fe223816005e81e0da70b21 | 420109_최종본_수정요청2차_반영.hwp |
| c05f074c70a6cacb0e6f05578aab3c9d | 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.egg |
| 1efaf988fded55cd3b974c66f4ca8f7e | 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf.jse |
| 50e89a4e50392e4235822e9e92df4c32 | h3ZYBzb.dbei |
| 7b9484d719f39faa71abd90f57525cc8 | 2026-0146-에스큐아이소프트-망연계시스템 유지보수 발주.pdf |
| 91d1a7153606dedef92502553962cf67 | cache.db (spyInster.dll) |
| 02897faac6e41781152f480565e5d572 | recaptcha.html

caption - MD5

IP

163.245.221[.]218
163.245.215[.]46
27.102.113[.]106
157.250.202[.]123

URL

hxxps://www.ibizplus.n-e[.]kr/install.html
hxxps://load.serverpit[.]com/fwrite.php
hxxps://load[.]erasecloud[.]n-e[.]kr/login.php
hxxps://conference.birdriver[.]org/
hxxps://download.birdriver[.]org/download.php?id=425623
hxxps://download[.]birdriver[.]org/download.php?id=393156
hxxp://hdrgdrfes[.]chickenkiller[.]com/index.php
hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=gateless
hxxps://appview[.]imagetemplate[.]com/gateless_icon<카운터>.png
hxxps://pipeline[.]embeddedonline[.]org/download3.php?sessid=54126&user-token=babymetalsave
hxxps://pipeline[.]embeddedonline[.]org/check.php?x-csrf-token=babymetalsave
hxxps://appview[.]imagetemplate[.]com/babymetalsave_icon<카운터>.png
hxxps://meet1754245389211-9925[.]webex[.]com/meet1754245389211-9925/j.php?MTID=mb755b0b9133ae8f9e3608b0b519d6a35
hxxps://bigfile[.]crabdance[.]com/recaptcha.html

PDB 경로

C:\Users\jira\Documents\My_Received_Files\loadDll\x64\Release\loadDll.pdb

User-Agent

Mozilla / 5.0 (Windows NT 10.0; Win64; x64) AppleWebKit / 537.36 (KHTML, like Gecko) Chrome / 120.0.0.0 Safari / 537.36

부록 C. Metadata

RC4 키

#RsfsetraW#@EsfesgsgAJOPj4eml;
%^fseRW#r3qwrwfsddREfGEgse)(14);
RGdcsedfd@#%dg9ser3$#$^@34sdfxl

사용자명

jira

부록 D. 분석 도구 탐지 목록

프로세스명

| 목록 | 목록 |
| --- | --- |
| ollydbg | ProcessHacker |
| tcpview | autoruns |
| filemon | procmon |
| regmon | procexp |
| idaq | ImmunityDebugger |
| Wireshark | dumpcap |
| HookExplorer | ImportREC |
| PETools | LordPE |
| SysInspector | proc_analyzer |
| sysAnalyzer | sniff_hit |
| windbg | joeboxcontrol |
| joeboxserver | x32dbg |
| x64dbg | Fiddler |
| httpdebugger | cheatengine |
| frida-helper | systemexplorer |
| dbgview | vmtoolsd |
| vm3dservice

| 목록 | 목록 |
| --- | --- |
| ollydbg | ProcessHacker |
| tcpview | autoruns |
| filemon | procmon |
| regmon | procexp |
| idaq | ImmunityDebugger |
| Wireshark | dumpcap |
| HookExplorer | ImportREC |
| PETools | LordPE |
| SysInspector | proc_analyzer |
| sysAnalyzer | sniff_hit |
| windbg | joeboxcontrol |
| joeboxserver | x32dbg |
| x64dbg | Fiddler |
| httpdebugger | cheatengine |
| frida-helper | systemexplorer |
| dbgview | vmtoolsd |
| vm3dservice

| 목록 | 목록 |
| --- | --- |
| ollydbg | ProcessHacker |
| tcpview | autoruns |
| filemon | procmon |
| regmon | procexp |
| idaq | ImmunityDebugger |
| Wireshark | dumpcap |
| HookExplorer | ImportREC |
| PETools | LordPE |
| SysInspector | proc_analyzer |
| sysAnalyzer | sniff_hit |
| windbg | joeboxcontrol |
| joeboxserver | x32dbg |
| x64dbg | Fiddler |
| httpdebugger | cheatengine |
| frida-helper | systemexplorer |
| dbgview | vmtoolsd |
| vm3dservice

caption - 프로세스명

창 제목

| 목록 | 목록 |
| --- | --- |
| debugview | sysinternals |
| ida | Process Hacker |
| Immunity Debugger

| 목록 | 목록 |
| --- | --- |
| debugview | sysinternals |
| ida | Process Hacker |
| Immunity Debugger

| 목록 | 목록 |
| --- | --- |
| debugview | sysinternals |
| ida | Process Hacker |
| Immunity Debugger

caption - 창 제목

엔키화이트햇

ENKI Whitehat

오펜시브 시큐리티 전문 기업, 공격자 관점으로 깊이가 다른 보안을 제시합니다.