14/03/2026
2026년 3월, eSentire의 위협 대응팀(TRU)은 이란 정부의 지원을 받는 APT 그룹인 MuddyWater와 관련된 오픈 디렉토리 웹 서버를 조사했습니다. MuddyWater는 적어도 2017년부터 활동해 왔으며 전 세계 조직을 대상으로 사이버 스파이 활동을 벌인 것으로 알려져 있습니다. 조사 과정에서 TRU는 지속성을 확보하고 Tsundere 봇넷 악성코드를 배포하는 파일을 발견했습니다.
Tsundere는 피해자 시스템에서 임의 명령 실행을 가능하게 하는 봇넷으로, "EtherHiding"이라는 기술을 사용하여 이더리움 블록체인의 스마트 계약에 저장된 C2 서버를 탈취합니다. 이 악성코드는 러시아산 MaaS(Malware-as-a-Service) 형태로 제공될 가능성이 높으며, TRU의 분석 결과 감염된 호스트가 CIS 국가(우크라이나 포함)에 있는지 확인하고 해당 국가에 있는 경우 실행을 종료하는 로직이 발견되어 이를 뒷받침합니다. MuddyWater가 Tsundere를 배포한 것은 러시아 위협 행위자가 개발한 MaaS를 포함하여 이러한 MaaS 서비스를 활용하여 작전 목표를 달성하고 있음을 보여줍니다.
https://www.esentire.com/blog/muddywater-apt-tsundere-botnet-etherhiding-the-c2
