목차 :
- 소개 :
- 주요 목표:
- 감염 사슬:
- 캠페인에 대한 초기 조사 결과:
- 미끼 이메일 및 스피어 피싱 이메일 분석:
- 기술적 분석 :
- 1단계: LNK 파일 분석.
- 2단계: VBS 분석.
- 3단계: DLL 측면 로딩.
- 인프라 구조물 및 위협 행위자 식별.
- 결론: 드래곤 휘슬 작전?
- Seqrite 적용 범위:
- IOC:
- 미터 공격:
소개 :
Seqrite Labs는 전 세계적으로 확산되고 있는 표적 스피어 피싱 캠페인을 적극적으로 모니터링해 왔으며, 그 과정에서 중국 교육 부문을 표적으로 삼은 캠페인을 확인했습니다. 분석 결과, 공격자들은 특히 창저우대학교(常州大学)의 학생과 교직원을 표적으로 삼고 있으며, 해당 대학의 2026년도 국가 학생 체력 및 건강 기준(《国家学生体质健康标准》) 시험 주기와 연관된 맥락적 미끼를 악용하고 있는 것으로 나타났습니다.
피싱 이메일에는 다음과 같은 이름의 ZIP 첨부 파일이 포함되어 있습니다.
常州 대학2026年 《국가족학생체质健康标准》测试communication最终版.zip
(창저우대학교 2026년 "전국 학생 체력 대회")
"보건 기준" 시험 공지 - 최종 버전
이 공격이 특히 효과적인 이유는 사회공학적 기법의 정교함 때문입니다. 공격자는 일반적인 미끼를 사용하지 않고, 창저우 대학교에서 매년 의무적으로 실시하는 체력 검사에서 불합격 시 졸업 자격이 박탈된다는 점을 구체적으로 파악했습니다. 이는 긴급성과 규정 준수에 대한 압박감을 조성하여 피해자가 공격에 넘어갈 확률을 크게 높입니다.
주요 목표:
- 교육 부문 — 대학교 및 고등교육기관
- 정부 산하 학술 기관 — 국가 교육부 지침에 따라 운영되는 기관
- 스포츠 및 체육학과 — 체력 평가 및 운동 프로그램 관리자
- 학생 인구 — 필수 준수 요건을 충족해야 하는 학부 재학생
- 학술 행정 — 기관 시험 프로그램을 관리하는 교수진 및 학과 담당자
감염 사슬:
캠페인에 대한 초기 조사 결과:
스피어 피싱 이메일을 조사한 결과, 해당 이메일은 대학 공식 행정 메일을 사칭하여 제작되었으며, 2026년도 의무 체력 검사 일정과 직접적으로 연관된 내용을 담고 있었습니다. 이메일 본문은 수신자가 첨부된 ZIP 파일을 다운로드하고 실행하도록 유도하기 위해, 체력 검사가 졸업에 필수적이라는 점을 주요 압박 수단으로 활용했습니다.
미끼 이메일 및 스피어 피싱 이메일 분석:
Seqrite 연구소는 초기 공격 경로를 조사한 결과, 발신자 "牛牛 (소 고양이)" 18115820617@163.com에서 발송된 스피어 피싱 이메일을 확인했으며, 이 이메일은 NetEase의 무료 메일 서비스인 163.com을 통해 전송되었습니다. 이는 일반적으로 알려지지 않은 외부 도메인에 적용되는 기업 메일 보안 검사를 의도적으로 회피하기 위해 선택된 것입니다.
자세히 조사해본 결과, 미끼가 이곳에 있는 것을 발견했습니다.
악성 ZIP을 실행하면 위협 행위자는 합법적으로 보이는 미끼 문서를 피해자에게 제시합니다. 이는 공식 Changzhou University 2026 National Student Physical Fitness and Health Standards Testing Notice(常州大school2026年 《國家school生体质健康标准》测试communication)의 완전한 복사본입니다.
플랫폼별 참조, QQ 그룹 협업, 3단계 병원 문서화 요건 등을 포함한 것은 공격자가 중국 대학 행정 문화에 대해 깊이 이해하고 있음을 보여줍니다. 이러한 수준의 제도적 세부 사항은 단순한 표면적 모방을 넘어 내부자 정보 또는 대상 환경에 대한 광범위한 공개 정보 수집을 반영합니다.
실제 직원 이름, 직통 전화번호, 활성화된 QQ 그룹 ID, 그리고 공식 기관 인장까지 추가한 것은 이번 캠페인에서 관찰된 사회공학적 기법 중 가장 높은 수준의 정교함을 보여줍니다. 수신자가 이러한 세부 정보를 교차 확인해 보면 대학의 공개 채널을 통해 검증이 가능하다는 것을 알 수 있어 의심의 여지가 더욱 줄어듭니다.
기술적 분석 :
"常州大school2026年 《國家school生体质健康标准》测试通知最终版.zip"이라는 이메일에서 ZIP 파일을 다운로드하면 다음 파일이 포함되어 있습니다.
예상되는 PDF 문서로 위장한 이중 확장자 LNK 파일입니다. 아카이브의 최상위에 위치하며, 피해자가 상호 작용하는 유일한 파일입니다. 이 파일을 클릭하면 전체 실행 과정이 시작됩니다.
macOS 메타데이터 디렉터리 명명 규칙을 모방한 4단계 중첩 폴더 구조입니다. 이 구조는 자동화된 아카이브 스캔과 일반적인 수동 검사를 피할 수 있도록 실제 페이로드 파일을 깊숙이 숨기는 단 하나의 목적을 가지고 있습니다.
1단계: LNK 파일 분석:
LNK 파일 코드를 분석한 결과, 해당 파일에는 VBS 파일의 다음 레이어를 실행하는 트리거 포인트가 포함되어 있는 것으로 확인되었습니다.
이 공격은 정상적인 explorer.exe 바이너리를 악용하여 4개 폴더 깊숙이 숨겨진 VBScript 페이로드를 실행합니다. 이는 EDR 솔루션에서 일반적으로 탐지되는 wscript.exe 또는 cscript.exe를 직접 실행하지 않는 '지역 환경 활용(Living-off-the-Land, LOtL)' 기법입니다.
LNK 파일은 피해자와의 상호 작용 시작점이자 전체 실행 체인의 방아쇠 역할을 합니다. PDF 아이콘이 표시되고 파일 이름이 .pdf로 되어 있지만, 그 속성을 살펴보면 완전한 기만 행위가 드러납니다.
2단계: VBS 분석:
VBScript 파일은 실행 체인의 중심 조정자 역할을 합니다. 크기는 1KB에 불과하지만, 기만 행위와 악의적인 실행을 동시에 조율하는 책임을 맡고 있습니다.
LNK 파일 실행 후, "chromedo.vbs"라는 VBS 파일이 실행되었으며, 이 파일에는 다음과 같은 코드가 포함되어 있습니다.
이 프로그램은 실행 중에 가짜 PDF 파일과 악성 Bandizip 실행 파일 모두에 대한 절대 경로를 동적으로 생성하여, 시스템이나 압축 해제 위치에 따라 오류가 발생할 수 있는 하드코딩된 경로를 사용하지 않습니다.
또한, 악성 프로그램은 즉시 가짜 PDF 파일을 열어 피해자의 주의를 대학 문서처럼 보이는 가짜 파일에 집중시키는 동안 동시에 실행됩니다.
두 트랙 사이에 800ms의 간격을 두는 것은 Bandizip이 실행되기 전에 PDF가 화면에 표시되도록 하여 콘솔에 깜빡임이나 타이밍 오류가 발생하는 것을 방지하는 데 충분합니다.
fso.FileExists(bandizipPath)이면
shellApp.ShellExecute bandizipPath, “”, “”, “open”, 1
END IF
Bandizip.exe를 창이나 프롬프트, 사용자 상호 작용 없이 조용히 실행합니다. "open" 동사와 창 스타일 1의 조합으로 프로세스가 백그라운드에서 실행되어 피해자에게 보이지 않게 됩니다.
3단계: DLL 측면 로딩:
VBScript가 다음 단계 바이너리를 실행한 후, 감염 과정은 악성 활동을 정상적인 애플리케이션 동작과 위장하도록 설계된 은밀한 DLL 사이드 로딩 단계로 전환되었습니다.
대본이 출시되었습니다 반디집.exe 숨겨진 디렉터리에서 발견되었습니다. 특히, 악성 구성 요소는 가시성을 낮추고 실행 중 사용자의 주의를 끌지 않도록 동일한 숨겨진 폴더 구조 내에 저장되었습니다. 이 디렉터리 내에 공격자는 악성 DLL 파일을 배치했습니다. ark.x64.dll 정식 실행 파일과 함께.
실행 시, 반디집.exe 표준 Windows DLL 검색 순서를 따랐으며 공격자가 제어하는 DLL을 로드했습니다. ark.x64.dll 로컬 디렉터리에서 먼저 확인한 후 신뢰할 수 있는 시스템 경로를 확인하므로 악성 DLL이 정상적인 프로세스 컨텍스트에서 메모리에 로드됩니다.
DLL을 분석한 결과, 내보낸 함수는 다음과 같습니다. CreateArk 타이밍 기반 검사를 포함한 여러 안티 디버깅 기법을 구현하는 것이 관찰되었습니다. GetTickCount 실행 지연을 측정하기 위해 CheckRemoteDebuggerPresent예산 및 디버거 존재 여부또한 역공학 및 동적 분석을 방해하기 위한 추가적인 디버거 및 분석 회피 검사 기능도 포함되어 있습니다.
The CreateArk export는 처음에 런타임 시에 할당된 메모리 영역을 사용하여 대상 프로세스 이름을 확인합니다. 가상 할당이 기법은 사용자 지정 복호화 루프와 결합되어 프로세스 이름, API 참조, 분석 관련 지표와 같은 민감한 문자열이 바이너리 내의 평문으로 나타나는 것을 방지함으로써 정적 분석 및 시그니처 기반 탐지를 어렵게 합니다. 복호화 후, 악성코드는 디버깅, 모니터링 및 네트워크 분석 도구와 관련된 대상 프로세스 이름 목록을 생성합니다.
분석 환경을 식별하기 위해 해당 DLL은 CreateToolhelp32Snapshot, Process32First, Process32Next 등의 Windows API를 사용하여 실행 중인 프로세스를 열거합니다. 악성 프로그램은 루프를 돌면서 활성 프로세스를 순회하고 각 프로세스 이름을 자체적으로 재구성한 블랙리스트와 비교합니다. 블랙리스트 대상에는 wireshark.exe, procmon.exe, tcpview.exe, dumpcap.exe, fiddler.exe, charles.exe 등의 도구와 여러 추가적인 리버스 엔지니어링 및 모니터링 유틸리티가 포함됩니다.
일치하는 프로세스가 감지되면 악성 프로그램은 실행을 자체 분석 방지 루틴으로 전환하고 실행을 종료하여 모니터링 환경이나 연구자가 제어하는 환경에서 실행되는 것을 방지합니다. 이러한 동작은 디버깅 방지 및 샌드박스 회피 메커니즘 역할을 하여 동적 분석 및 동작 관찰의 성공 가능성을 낮춥니다.
SFX 기반 페이로드 압축 해제 및 비콘 실행:
환경 검증 절차가 완료된 후, 악성코드는 단계별 페이로드 실행 단계로 전환되었습니다. 정상 실행 파일과 동일한 위치에 있는 SFX 모듈은 디버깅 인터페이스, 샌드박스 아티팩트 또는 엔드포인트 모니터링 프로세스가 활성화되어 있지 않다는 것이 성공적으로 확인된 후에만 메모리에 로드되었습니다.
DLL은 런타임에 난독화된 SFX 페이로드를 복호화합니다. 복호화 후, 페이로드는 프로세스 메모리에 동적으로 로드되어 디스크에 저장되지 않고 직접 실행됩니다. 이 메모리 내 로더 단계는 후속 페이로드 체인을 위한 기본 실행 컨텍스트를 설정합니다.
실행 중에 압축 해제된 SFX 구성 요소는 AMSI(Antimalware Scan Interface) 및 ETW(Event Tracing for Windows)와 같은 Windows 보안 메커니즘과 상호 작용하여 회피 기술을 사용합니다. 런타임 검사, 로깅 및 원격 측정 데이터 생성을 방해함으로써 악성코드는 안티바이러스 및 엔드포인트 탐지 솔루션의 효과를 저하시켜 실행 및 메모리 검사 중 가시성을 낮춥니다.
이러한 보안 우회를 통해 SFX 페이로드는 최종 단계 구성 요소를 메모리에서 완전히 복호화하여 궁극적으로 코발트 스트라이크 비콘을 드러냈습니다. 이러한 단계별 복호화 방식은 비콘 페이로드가 초기 실행 단계에서 숨겨진 상태로 유지되도록 보장했으며, 정적 탐지 또는 시그니처 기반 식별 가능성을 크게 줄였습니다.
암호 해독 후, 코발트 스트라이크 비콘은 기존의 디스크 실행 파일 드롭 방식 없이 메모리에 직접 로드되었습니다. 비콘은 사용자 에이전트 구성을 초기화하고 외부 네트워크 연결을 위한 명령 및 제어(C2) 통신을 시도했습니다. 페이로드를 메모리에서 완전히 실행함으로써, 악성코드는 디스크에 남는 흔적을 최소화하고 실행 중 포렌식 가능성을 줄였습니다.
인프라 구조물 및 위협 행위자 식별:
이 섹션에서는 간단한 아티팩트를 활용하여 추가 캠페인을 어떻게 발견했는지 설명하겠습니다. 공격자는 Bandizip이라는 합법적이고 널리 사용되는 한국 기업 Bandisoft의 압축 관리 애플리케이션을 사용했습니다. 그 자체로는 신뢰할 수 있고 안전한 유틸리티이지만, 이 캠페인에서 공격자는 이를 의도적으로 LOtL(Living off the Land, 땅에서 먹고 사는 것) 도구로 악용했습니다. 이를 바탕으로 유사한 파일을 20개 발견했습니다.
이 위협 행위자를 추적하는 과정에서 사용한 또 다른 단서는 여러 LNK에 공통적으로 존재하는 머신 ID였습니다. 이러한 ID는 여러 공격 캠페인에서 공통적으로 나타났습니다. 이를 바탕으로 유사성을 보이는 아래 파일들을 식별했습니다.
이러한 유사한 임플란트들의 비콘을 기반으로 분석한 결과, 해당 샘플들은 아래와 같이 항저우 알리바바 광고에 등록된 AS 37963이라는 유사한 명령 및 제어 서버에 연결되는 것을 확인했습니다.
Seqrite Labs는 Operation Dragon Whistle이 이전에 기록된 Operation Cobalt Whisper 캠페인과의 높은 공격-기술-절차(TTP) 중복을 바탕으로 위협 행위자 UNG0002의 소행이라고 중상급 확신을 가지고 판단합니다.
코발트 위스퍼 작전에서, Seqrite 랩스는 악성 LNK 파일과 난독화된 VBScript를 주요 전달 메커니즘으로 적극적으로 활용하는 캠페인을 발견했는데, 이는 현재 캠페인에서 관찰된 것과 동일한 기본적인 전술, 기술 및 절차(TTP)입니다. 두 작전의 구조적 일관성이 이번 분석의 핵심 근거가 됩니다.
C2: 60[.]205[.]186[.]162에서 추가로 피벗을 수행한 결과, 이 IP가 확인되는 도메인을 아래에서 확인했습니다.
이는 예상했던 대로 공격자가 중국 최대 클라우드 제공업체인 알리바바 클라우드에 C2 인프라를 구축하고 있음을 확인시켜 줍니다. 이는 UNG0002가 이전에 중국 클라우드 인프라를 선호했던 사실과 일치합니다. 코발트 위스퍼 작전 당시에는 텐센트 클라우드(AS45090)를 활용했지만, 이번에는 알리바바 클라우드(AS37963)로 전환했습니다. 이는 ASN 기반 차단을 회피하기 위한 의도적인 인프라 변경입니다.
lysander[.]asia의 60[.]205[.]186[.]162(AS37963 — Alibaba Cloud)로 확인되는 C2 인프라는 2026년 04월 06일부터 활성화되었으며 이 보고서 작성일(2026년 05월 19일) 현재에도 계속 운영 중입니다.
Feishu(飞书) MX 레코드의 존재는 중요한 어트리뷰션 신호입니다. Feishu는 바이트댄스의 기업용 플랫폼으로 주로 중국 내에서 사용되며, 중국 이외 지역의 사업자가 운영하는 인프라에서는 거의 찾아볼 수 없습니다.
두 네임서버 모두 알리바바 클라우드의 자회사로 중국 내수 시장을 전문으로 하는 하이차이나(万网) 소유입니다. 하이차이나를 통한 도메인 등록 및 DNS 관리는 대부분의 경우 중국인 신원 인증을 요구하며, 이는 해당 공격 주체의 운영 기반이 중국에 더욱 확고히 자리 잡고 있음을 보여줍니다.
타임라인을 보면 이것이 기회주의적으로 구축된 인프라가 아니라, 캠페인의 운영 기간에 맞춰 체계적으로 구축, 검증 및 유지 관리된 것임을 알 수 있습니다.
결론: 드래곤 휘슬 작전?
드래곤 휘슬 작전은 위협 행위자 UNG0002가 의도적으로 공격 대상을 확대해 온 사실을 폭로합니다. 이들은 기존에 알려진 피해자를 넘어 중국 본토의 대학생들을 대상으로 공격 범위를 넓혔으며, 국가적으로 의무화된 체력 평가를 높은 준수율을 미끼로 삼아 피해자들을 대상으로 공격을 감행했습니다.
이 캠페인의 이름은 두 가지 핵심 특징을 반영합니다. '드래곤'은 정확한 지리적, 문화적 타겟팅을 나타냅니다. 즉, 중국 본토의 교육 기관, 중국 국가 교육 정책, 중국어를 사용하는 피해자 집단을 대상으로 한다는 의미입니다. '휘슬'은 캠페인의 조용한 운영 방식을 나타냅니다. 마치 심판의 휘슬처럼 주의를 끄는 미끼 역할을 하지만, 악성 소프트웨어는 소리 없이 실행되고, 지속되며, 운영자에게 신호를 보냅니다.
제도적 권위를 내세운 캠페인. 결코 소음을 내지 않는 메시지.
Seqrite 적용 범위:
- Trojan.LoaderCiR
- 트로이목마.코발트스트라이크CiR
- 링크.트로얀.50718
- 스크립트.트로이.50719
IOC:
| 사진이름 | SHA256 |
| 常州大school2026年 《국가족학생체质健康标准》测试가요지最终版.zip | e7aff6a55a7866776272d9913dfbf9d7db33fc9de6aced22f2a195feebb0e85f |
| 常州大school2026年 《국제학생체质健康标准》测试communication.pdf | fe11b199ada23d5ac25efc4215e67f4ff617ccb4d429eb64412072687367ca1c |
| 常州大school2026年 《국가족학생체质健康标准》测试communication.pdf.lnk | cd99e83d241cfbb41bfcd0bc622a87d16268e710ca7d736d0c5f44774e0056e2 |
| 이메일 | eb14d9e35a3bf0a933297f861bee0be9e6b9061fe4573a81ac92b71d55b6474f |
| 반디집.exe | c937eca7c4c9b98df9257d986e666d25411aac5fa39d21f7018dd2e1663f0c76 |
| ark.x64.dll | 35a478f53f64bd412f374c65360fdba0518749537193669a8fe08d14bed65a2a |
| 코발트 스트라이크 신호기 | ed7087e3afba4b320bdf04f32d3a6c567effd3d18a97682968e567000e70b335 |
C2 :
60 [.] 205 [.] 186 [.] 162
미터 공격:
| 술책 | 기술명 | 기술 ID |
| 초기 액세스 | 스피어피싱 첨부 파일 | T1566.001 |
| 실행 | 사용자 실행: 악성 파일 | T1204.002 |
| 명령 및 스크립팅 인터프리터: Visual Basic | T1059.005 | |
| 공유 모듈 | T1129 | |
| 방어 회피 | 위장 | T1036 |
| 숨겨진 파일 및 디렉터리 | T1564.001 | |
| DLL 사이드 로딩 | T1574.002 | |
| 난독화된 파일 또는 정보 | T1027 | |
| 디버거 회피 | T1622 | |
| 가상화/샌드박스 회피 | T1497 | |
| 반사 코드 로딩 | T1620 | |
| 땅에서 자급자족하며 살기 | T1218 | |
| 네이티브 API | T1106 | |
| 발견 | 프로세스 발견 | T1057 |
| 시스템 검사 | T1497.001 | |
| 명령 및 제어 | 애플리케이션 계층 프로토콜: 웹 프로토콜 | T1071.001 |
| 인그레스 도구 전송 | T1105 | |
| 방어 회피 | 서명된 바이너리 프록시 실행 | T1218 |
| 네이티브 API | T1106 | |
| 수집 | 로컬 시스템의 데이터 | T1005 |
저자 :
- 딕시트 판찰
- 카르틱 지바니
- 바이바브 크루슈나 빌라데
