공격자들은 연결 시작 시 FTP 서버가 표시하는 환영 메시지를 악용해 Windows 시스템에서 새로운 원격 액세스 악성 프로그램 두 가지인 E4del과 PINHOLE을 전달하는 데 사용되는 악성 명령을 숨기고 있다. MalwareHunterTeam은 2026년 7월에 나타난 공격에서 이 기법을 포착했으며, 이후 위협 인텔리전스 플랫폼 SOCRadar가 조사를 확대해 8월까지 이 기법이 계속 사용되고 있음을 확인했다.
FTP 환영 메시지는 서버가 로그인 전에 연결된 장치로 보내는 텍스트다. 이 캠페인에서는 침해된 시스템이 수신하는 초기 응답에 명령이 포함되며, 이를 통해 초기 프로그램이 원격 서버에서 지시를 가져온다. 이는 일반적인 웹 서비스가 아니라 FTP 채널을 통해 서버를 데드 드롭 리졸버(Dead-Drop Resolver)로 활용하는 것과 유사하다.
감염은 어떻게 시작되는가?
SOCRadar 보고서에 따르면 이 공격 체인은 ZIP 파일로 시작하며, 연구원들은 최초 유입이 피싱을 통해 이뤄지는 것으로 추정한다. 압축 파일을 열면 .LNK 바로 가기 파일에 의존하는 감염 체인이 실행되고, E4del 또는 PINHOLE을 설치하기 위해 서로 다른 두 경로를 따른다. 두 경로 모두 FTP 서버의 환영 메시지에서 PowerShell 프로그램을 추출한다.
E4del과 PINHOLE의 기능
E4del은 디지털 서명이 적용된 Electron 애플리케이션 내부의 Node.js로 구축되었으며 Discord 애플리케이션으로 위장한다. 임시 또는 지속적인 Shell 세션을 통한 명령 실행, 스크린샷 캡처, WebSockets를 통한 데스크톱 스트리밍, 추가 페이로드 다운로드 및 실행을 지원한다. 연구원들은 권한 상승을 시도하는 crypto32.node라는 Node.js 모듈도 언급했지만, 분석을 위해 이를 확보하지는 못했다.
PINHOLE은 Pinterest 게시물과 SurveyMonkey 설문 질문에서 명령 및 제어 연결 설정을 추출한다. 이 방식은 소스를 변경할 때 유연성을 제공하고 차단을 더 어렵게 만든다. 이 프로그램은 내장된 셸코드의 변동(Shellcode Fluctuation)으로 알려진 기법을 사용한다. 따라서 한 번에 4킬로바이트 크기의 페이로드 일부만 메모리에 유지한 뒤, Early Bird APC Injection 기법을 통해 최종 조합물을 ApplicationFrameHost.exe라는 일시 중단된 프로세스에 주입한다.
PINHOLE은 파일 열거, 파일 업로드 및 다운로드, 명령 실행, 프로세스 관리, 화면 캡처, 브라우저에 저장된 자격 증명을 훔치는 모듈 배포를 포함해 14가지 명령을 지원한다. 분석 시점까지 이 프로그램에서는 실행 이벤트가 11건만 기록되어 캠페인이 초기 단계였음을 시사했다.
이 기법이 중요한 이유는 무엇인가?
FTP 메시지를 사용한 명령 전달은 이례적인 대안이지만 X, GitHub, YouTube와 같은 웹 서비스에 의존하는 것보다 반드시 더 은밀한 것은 아니다. 특히 네트워크 내부의 일반적인 사용 패턴과 일치하지 않을 때, 알려지지 않은 FTP 서버와의 통신은 방어팀에 더 명확하게 드러날 수 있다. 연구원들은 이 기법이 ClickFix 유형의 사회공학 캠페인에 맞게 조정될 수 있다고 본다.
SOCRadar는 FOFA를 사용한 조사에서 이 기법이 2026년 7월 초부터 무기화되었으며 8월에 새로운 인프라가 등장한 것으로 나타났다고 밝혔다. SOCRadar의 보고서에는 네트워크 내부의 악성 서버와 감염된 장치를 식별하는 데 사용할 수 있는 침해 지표가 포함되어 있다.