카스퍼스키, 스파이웨어 'Operation ForumTroll' 분석 보고서 발표

글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)는 오늘, 2025년 3월 발견된 구글 크롬의 제로데이 취약점을 악용한 대규모 표적형 스파이웨어 공격인 ‘Operation ForumTroll’의 전체 공격 흐름과 이를 통해 확인된 이탈리아 상업용 스파이웨어 ‘단테(Dante)’의 정체를 상세 분석한 연구 보고서를 공개했다.

이번 캠페인은 사용자가 개인화된 피싱 이메일 속 링크를 클릭하는 ‘단 한 번의 방문’만으로 감염이 시작되는 고도화된 공격 방식으로 이루어졌다. 사용자가 악성 링크를 클릭해 웹사이트에 접속하기만 해도, 별도의 추가 동작은 필요하지 않았으며, Google Chrome 또는 Chromium 기반 브라우저의 샌드박스를 무력화하는 제로데이 취약점이 자동 실행되는 구조였다.

이 링크들은 극단적으로 짧은 수명을 갖도록 설계되어 탐지를 회피했지만, 카스퍼스키 기술은 Google Chrome 샌드박스를 탈출하는 정교한 제로데이 익스플로잇을 식별해냈다. 신속한 분석 후 Google 보안팀에 해당 취약점을 보고했고, 이는 CVE-2025-2783으로 패치되었다.

발견 경위: CVE-2025-2783 (Chrome 134.0.6998.177/.178에 포함된 보안 수정 사항 발췌)

Operation ForumTroll 공격은 러시아의 주요 학술·언론·정부·금융기관 종사자들을 대상으로 ‘Primakov Readings’ 포럼 초청장을 사칭한 고도로 정교한 피싱 이메일로 시작되었다. 이메일은 러시아어 사용에 능숙한 공격자의 특징이 반영되어 자연스럽게 작성됐으며, 각 수신자에게 맞춘 개인화된 링크를 포함해 감염 여부 추적 또한 가능했다.

카스퍼스키 연구진은 이 공격 활동을 분석하는 과정에서, 동일 위협행위자 그룹이 2022년 이후 러시아·벨라루스 내 여러 조직을 상대로 유사한 공격을 수행한 기록을 추적해냈다. 또한 분석 과정에서 정체가 밝혀지지 않았던 고급형 상업용 스파이웨어가 발견되었고, 이는 이탈리아 업체 메멘토 랩스(Memento Labs, 구 Hacking Team)가 개발한 상업용 스파이웨어 ‘단테’로 식별되었다.

공격 체인 분석

Operation ForumTroll의 모든 확인된 사례에서 감염은 피해자가 스피어 피싱 이메일 내 링크를 클릭해 악성 웹사이트로 이동하면서 시작됐다. 해당 웹사이트는 방문자를 검증한 뒤 익스플로잇을 실행했다. 캠페인을 처음 발견해 분석을 시작했을 때, 악성 웹사이트는 이미 감염 코드를 제거한 상태였으며 방문자를 공식 Primakov Readings 사이트로 리디렉션만 시키고 있었다. 이 때문에 카스퍼스키는 첫 번째 감염 사례에서 확보된 공격 아티팩트만으로 분석을 진행해야 했다. 다행히 카스퍼스키 기술이 공격의 거의 모든 주요 단계를 탐지해 Operation ForumTroll 공격 체인을 재구성하는 데 성공했다.

Operation ForumTroll은 스피어 피싱을 통한 초기 침투 → WebGPU 기반 Validator 검증 → Chrome 샌드박스 제로데이(CVE-2025-2783) 익스플로잇 → COM Hijacking 기반 지속성 → LeetAgent 스파이웨어 설치의 순서로 진행된 고도화된 공격 캠페인이다. 구체적인 내용은 다음과 같다:**

1) 스피어 피싱을 통한 초기 침투

공격은 피해자에게 ‘Primakov Readings’ 포럼 초청장으로 위장한 스피어 피싱 이메일을 보내는 방식으로 시작됐다.

이메일에는 각 피해자별로 개인화된 단축 링크가 포함돼 있어 감염 상황을 추적하기 용이하며, 러시아어 문장·초청장 형식까지 정교하게 모방해 높은 신뢰도를 형성했다.

링크 클릭 시 악성 웹사이트로 이동하며, 사이트는 처음 분석 당시 이미 코드가 제거된 상태였지만 카스퍼스키는 초기 감염 사례에서 남은 아티팩트로 공격 체인을 재구성했다.

2) Validator 스크립트를 통한 사용자 검증 및 암호화 키 교환

Validator는 브라우저에서 실행되는 작은 스크립트로, 피해자를 검증한 후 공격의 다음 단계를 안전하게 다운로드 및 실행한다. Validator는 서버에서 전달된 랜덤 데이터의 SHA-256 값을 WebGPU API로 계산하고, 오픈소스 프로젝트인 Marco Ciaramella의 sha256-gpu 코드를 활용해 이를 검증한다. 이 검증 과정은 실제 사용자가 실제 브라우저로 링크를 클릭한 것인지, 또는 메일 서버가 자동으로 링크를 따라와 스크립트를 실행·익스플로잇을 다운로드하려는 것인지를 판별하기 위한 것으로 보인다. 또 다른 가능성은 익스플로잇이 WebGPU API의 취약점을 악용하거나 WebGPU에 의존해 실행되기 때문일 수도 있다.

Validator는 감염 식별자, WebGPU 검증 결과, 새로 생성된 공개키를 C2 서버로 전송해 타원곡선 디피-헬만(ECDH) 방식으로 키 교환을 수행한다. 검증이 통과되면 서버는 AES-GCM 키를 전달하며, 이 키는 bootstrap.bundle.min.js 및 .woff2 폰트 파일 요청에 숨겨진 다음 단계를 복호화하는 데 사용된다. 감염 단계와 동작 논리에 따르면 다음 단계는 Google Chrome의 원격 코드 실행(RCE) 익스플로잇이어야 하지만, 실제 공격 과정에서는 이를 확보하지 못했다.

3) Chrome 샌드박스 탈출 - 제로데이(CVE-2025-2783)

이번 캠페인의 핵심은 Windows OS pseudo-handle 처리 방식의 논리적 결함을 악용한 Chrome 샌드박스 탈출 제로데이(CVE-2025-2783)다. 과거 Kaspersky가 발견한 사례 중에서도 가장 독특하고 고급화된 논리 오류 기반 익스플로잇으로 평가된다.

Chrome은 브라우저 프로세스(UI)와 렌더러 프로세스(웹 콘텐츠 처리)로 분리된 멀티프로세스 아키텍처를 사용하며, 두 프로세스 간 통신은 Mojo와 ipcz 기반 IPC로 처리된다. 공격자는 Chrome IPC 구조를 정밀 이해하고, 공식 소스에서 빌드한 자체 Mojo 및 ipcz 라이브러리를 포함해 IPC 브로커와 직접 통신할 수 있었다. 이는 분석 난도를 크게 높였다.

익스플로잇의 흐름은 다음과 같다:

1. renderer 프로세스가 pseudo-handle(-2) 값을 포함한 메시지를 RelayMessage로 브라우저 프로세스에 전달

2. DuplicateHandle API가 -2를 실제 브라우저 스레드 핸들로 잘못 변환

3. renderer 프로세스가 브라우저 스레드를 제어할 수 있는 실제 핸들을 획득

4. SetThreadContext 등을 사용해 브라우저 프로세스에서 shellcode 실행

5. Chrome 샌드박스 탈출 및 브라우저 프로세스 탈취 성공

근본 원인은 Windows API GetCurrentThread·GetCurrentProcess가 실제 핸들이 아닌 pseudo handle(-2)을 반환함에도 Chrome IPC 코드가 -1만 검사하고 -2는 검사하지 않은 데 있다. 동일한 취약점은 Firefox에서도 발견되어 CVE-2025-2857로 패치되었다. 역사적으로 성능 최적화용 pseudo handle 구조가 시간이 지나 공격 벡터로 악용된 대표 사례다.

4) COM Hijacking을 이용해 장기간 지속성 확보**

공격자는 COM 하이재킹(COM hijacking)을 이용해 지속성을 확보했다. Windows는 CLSID(128-bit GUID)에 대응하는 DLL·EXE 위치를 HKLM에 저장하지만, HKCU가 이를 우선할 수 있다. 공격자는 twinapi.dll의 CLSID {AA509086-5Ca9-4C25-8F95-589D3C07B48A}를 오버라이드해 시스템 프로세스와 브라우저가 악성 DLL을 로드하도록 구성했다. 이 악성 DLL은 메인 멀웨어를 복호화·실행하는 로더이며, Metasploit 유사 인코딩과 OLLVM 난독화가 적용되어 있다. 특정 프로세스에서만 멀웨어를 실행하도록 프로세스 이름 검사도 수행한다. 주요 페이로드는 수정된 ChaCha20 알고리즘으로 복호화되며, BIOS UUID 기반 재암호화 기능으로 감염 장비에 바인딩된다.

5) LeetAgent — 고급 스파이웨어 페이로드

LeetAgent는 Operation ForumTroll에 사용된 주요 스파이웨어로서, 모든 명령이 리트스픽(leetspeak) 형태인 점이 특징이다. 이 멀웨어는 C2 서버에 HTTPS로 접속해 cmd.exe 명령 실행(COMMAND), 프로세스 실행(EXEC), 작업 조회(GETTASKS), 작업 종료(KILL), 파일 읽기/쓰기(FILE), 셸코드 인젝션(INJECT), 설정 변경(CONF), 종료(DIE), 디렉토리 이동(CD), 키로거·파일 스틸러 설정(JOB) 등 다양한 기능을 수행한다. 기본적으로 .doc, .xls, .ppt, .pdf 등 문서 파일을 수집하며, 설정 데이터는 TLV 구조와 XOR 암호화를 사용한다. 대부분 Fastly.net 인프라가 C2로 활용되었다. 많은 난독화 옵션을 기반으로 LeetAgent는 상업용 툴일 가능성이 있으며, 확인된 사용자는 ForumTroll APT뿐이다.

단테 발견

카스퍼스키는 침해 지표(IOC)와 전술·기술·절차를 기반으로 유사한 공격을 찾아 조사하고, 인프라·코드 등의 유사성을 식별하고 있다. 즉, 공격자를 특정하기 위해 가능한 모든 증거를 모아 하나의 그림을 완성해간다.

카스퍼스키는 LeetAgent의 최초 사용을 2022년으로 추적했으며, 러시아와 벨라루스의 조직 및 개인을 대상으로 수행된 추가적인 ForumTroll APT 공격을 발견했다. 많은 사례에서 감염은 다음 이름의 악성 첨부파일이 포함된 피싱 이메일로 시작되었다.

• Baltic_Vector_2023.iso (러시아어에서 번역됨)

• DRIVE.GOOGLE.COM (실행 파일)

• Invitation_Russia-Belarus_strong_partnership_2024.lnk (러시아어에서 번역됨)

• 특정 개인 및 회사를 언급한 다양한 파일명

또한, LeetAgent 대신 더 정교한 스파이웨어가 사용된 또 다른 공격 클러스터도 발견했다. 이 스파이웨어 역시 최초 사용 시점이 2022년으로 확인되었다. 해당 클러스터에서도 감염은 다음과 같은 악성 첨부파일이 포함된 피싱 이메일로 시작되었다.

• SCAN_XXXX_.pdf.lnk

• winscanto_pdf.pdf.lnk

• Rostelecom.pdf.lnk (러시아어에서 번역됨)

• 기타 다수

이 활동을 수행한 공격자는 LeetAgent 클러스터와 유사한 파일 시스템 경로와 동일한 지속성 기법을 사용했다. 우리는 두 클러스터 간 연관성을 의심했고, 결국 LeetAgent가 이 더욱 정교한 스파이웨어를 실행하는 공격을 발견하며 직접적인 연결점을 확인했다.

LeetAgent와 ‘Dante’라는 상업용 스파이웨어 간의 연결**

카스퍼스키가 기존에 알려지지 않았던 고도화된 스파이웨어를 분석한 결과, 이는 이탈리아 기업 Memento Labs가 개발한 상업용 스파이웨어 ‘Dante’로 식별되었다.

최근 Atlantic Council의 Cyber Statecraft Initiative는 “Mythical Beasts and where to find them: Mapping the global spyware market and its threats to national security and human rights”라는 흥미로운 보고서를 발표했다. 우리는 상업용 스파이웨어를 ‘신화 속 괴물’에 비유한 설명이 매우 적절하다고 판단된다. 업계는 스파이웨어 벤더의 존재를 알고 있지만, 그 “제품”은 거의 발견되거나 식별되지 않았다.

한편 상업용 스파이웨어를 개발하는 기업의 목록은 매우 방대하다. 대표적으로는 NSO Group, Intellexa, Paragon Solutions, Saito Tech(구 Candiru), Vilicius Holding(구 FinFisher), Quadream, Memento Labs(구 Hacking Team), negg Group, RCS Labs 등이 있다. 일부는 항상 헤드라인을 차지하고, 일부는 우리가 이미 보고한 바 있으며, 또 일부는 거의 사람들의 기억에서 사라졌다. 이 중 후자에 속하는 기업이 바로 Memento Labs(구 Hacking Team)다.

Hacking Team(또는 HackingTeam)은 가장 오래되고 잘 알려진 스파이웨어 벤더 중 하나다. 2003년에 설립된 이 회사는 전 세계 정부 기관이 사용한 Remote Control Systems(RCS) 스파이웨어와 이를 둘러싼 수많은 논란으로 유명해졌다.

그 흐름은 2015년 해킹으로 인해 400GB 이상의 내부 데이터가 유출되면서 급격히 변했다.

2019년, 회사는 InTheCyber Group에 인수되며 Memento Labs라는 새 이름을 갖게 되었다. 당시 Memento Labs의 소유자는 Motherboard와의 인터뷰에서 “우리는 모든 것을 완전히 바꿀 것이다. 처음부터 다시 시작할 것”이라고 말했다.

4년 뒤, 법집행기관 및 정보기관을 위한 ISS World MEA 2023 컨퍼런스에서 Memento Labs는 새로운 감시 도구의 이름 ‘DANTE’를 공개했습니다. 그러나 지금까지 이 악성코드의 기능은 거의 알려지지 않았고, 실제 공격에서 사용된 정황도 발견되지 않았다.

ISS World MEA 2023 컨퍼런스 의제 발췌문 (오타는 컨퍼런스 웹사이트에 게재된 내용)

상업용 스파이웨어 탐지의 어려움과 Dante의 식별

상업용 스파이웨어는 식별 정보가 숨겨져 탐지가 어렵지만, Dante는 VMProtect 난독화를 제거한 뒤 발견된 ‘Dante’ 문자열과 ‘2.0’ 버전 참조, 그리고 RCS 스파이웨어와의 구조적 유사성 등을 통해 높은 확신으로 귀속이 가능했다. Dante는 난독화, 문자열 암호화, API 후킹 회피, 디버거·가상환경 탐지, 이벤트 로그 기반 환경 점검, 샌드박스 회피 등 다양한 분석 방해 기법을 사용하며, 점검 후 구성 파일·오케스트레이터를 복호화해 로드한다. 오케스트레이터는 HTTPS 기반 C2 통신, 모듈·구성 관리, 자체 보호·삭제를 수행하고, 모듈은 GUID 기반 경로 도출 구조와 AES-256-CBC 암호화를 사용한다. Dante는 일정 기간 명령을 받지 않으면 스스로 삭제하며, 현재 활성 감염은 없지만 향후 모듈 확보 시 분석이 가능하다. Operation ForumTroll 캠페인과 직접적 사용 정황은 없으나, 지속성 방식, 경로 구조, 폰트 파일 위장, 로더·익스플로잇과의 코드 유사성 등을 근거로 동일한 도구 생태계를 공유했을 가능성이 높다.

일반적으로 상업용 스파이웨어 탐지는 매우 어렵다. 대부분의 벤더는 공격 코드에 저작권 정보 또는 제품명을 포함하지 않기 때문이다. 그러나 Dante의 경우, 우리는 VMProtect 난독화를 제거한 뒤 코드 내에서 ‘Dante’라는 문자열을 발견하며 식별할 수 있었다.

물론 우리의 귀속은 코드 내 문자열 하나만으로 이루어진 것이 아니다. 우리는 추가 분석을 통해 해당 악성코드의 ‘2.0’ 버전을 나타내는 참조를 발견했는데, 이는 앞서 언급한 컨퍼런스 발표 제목과 일치한다.

이후 Hacking Team의 최신 RCS 스파이웨어 샘플을 찾아 비교한 결과, Memento Labs는 이 코드베이스를 2022년까지 지속적으로 개선하다 이후 Dante로 전환한 것으로 확인되었다.

또한 새로운 악성코드 도입 후에도 모든 것이 완전히 재작성된 것은 아니며, 후기 RCS 샘플과 Dante 간 상당한 유사성이 존재한다.

이 모든 근거로 우리는 Dante에 대한 귀속에 매우 확신을 가지고 있다.

‘Dante’라는 이름은 RCS 스파이웨어가 ‘Da Vinci’로 불렸던 전통을 따르는 것일 수도 있고, 단테(Dante)의 「신곡(Divine Comedy)」을 연상시켜 수많은 “지옥의 고리” 같은 분석 난관을 의미하는 것일 수도 있다.

우선, 이 스파이웨어는 VMProtect로 압축되어 있다. 제어 흐름을 난독화하고, 임포트된 함수를 숨기며, 디버깅 방지 검사를 추가한다. 게다가 거의 모든 문자열이 암호화되어 있다.

VMProtect 디버깅 방지 기법

동적 분석으로부터 보호하기 위해 Dante는 다음과 같은 안티 후킹 기법을 사용합니다: 코드가 API 함수를 실행해야 할 때, 해당 주소는 해시를 통해 해결되고, 본문이 파싱되어 시스템 호출 번호를 추출한 후, 새로운 시스템 호출 스텁이 생성되어 사용됩니다.

단테(Dante) 안티 후킹 기법 (간략화)

VMProtect의 디버깅 방지 기법 외에도 단테는 디버거를 탐지하기 위해 몇 가지 일반적인 방법을 사용합니다. 구체적으로 NtGetContextThread를 사용하여 디버그 레지스터(Dr0–Dr7)를 확인하고, KUSER_SHARED_DATA 구조체의 KdDebuggerEnabled 필드를 검사하며, NtQueryInformationProcess를 통해 ProcessDebugFlags, ProcessDebugPort, ProcessDebugObjectHandle, ProcessTlsInformation 클래스를 조회하여 디버깅을 탐지합니다.

탐지를 피하기 위해 Dante는 작업 지속 여부를 판단하는 환경 점검 방식을 사용합니다. 악성코드 분석 도구나 가상 머신(게스트/호스트) 사용을 암시할 수 있는 이벤트를 Windows 이벤트 로그에서 조회합니다.

Dante가 이벤트 로그에서 검색하는 문자열**

또한 여러 가지 샌드박스 회피 검사를 수행한다. “유해한” 라이브러리를 검색하고, sleep() 함수와 cpuid 명령어의 실행 시간을 측정하며, 파일 시스템을 검사한다.

이러한 분석 회피 기법 중 일부는 다소 성가실 수 있지만, 실제로 효과가 있거나 전문 악성코드 분석가를 막을 수 있는 것은 없다. 우리는 거의 매일 이런 기법들을 다루고 있다.

모든 검사를 수행한 후, Dante는 다음과 같은 작업을 수행한다: 구성 파일과 오케스트레이터를 복호화하고, 오케스트레이터 내에서 “DANTEMARKER” 문자열을 찾아 이를 구성 파일로 덮어쓴 다음 오케스트레이터를 로드한다.

구성 파일은 단순한 XOR 암호화를 사용하여 악성코드의 데이터 섹션에서 복호화된다. 오케스트레이터는 리소스 섹션에서 복호화되며 폰트 파일로 위장한다. 최신 업데이트 버전이 존재할 경우, 단테는 파일 시스템에서 오케스트레이터를 로드 및 복호화할 수도 있다.

오케스트레이터는 상용 제품 수준의 코드 품질을 보이지만 특별히 흥미로운 점은 없다. HTTPs 프로토콜을 통한 C2 통신, 모듈 및 구성 관리, 자체 보호, 자체 제거 기능을 담당한다.

모듈은 파일 시스템에서 저장 및 로드되거나 메모리에서 직접 로드될 수 있다. 감염 식별자(GUID)는 Base64로 인코딩됩니다. 결과 문자열의 일부는 모듈이 저장된 폴더 경로와 레지스트리에 저장된 추가 설정 경로를 도출하는 데 사용된다.

모듈은 파일 시스템에서 저장 및 불러오거나 메모리에서 직접 불러올 수 있다. 감염 식별자(GUID)는 Base64로 인코딩된다. 결과 문자열의 일부는 모듈이 포함된 폴더 경로와 레지스트리에 저장된 추가 설정 경로를 도출하는 데 사용된다.

Dante 경로 도출 예시

모듈이 포함된 폴더에는 다운로드된 모든 모듈의 버전 및 파일명을 포함한 정보를 저장하는 바이너리 파일이 포함된다. 이 메타데이터 파일은 간단한 XOR 암호로 암호화되며, 모듈 자체는 AES-256-CBC로 암호화된다. 이때 모듈 파일의 첫 0x10바이트를 IV로 사용하고, 머신에 바인딩된 키를 암호화 키로 사용한다. 이 키는 CPU 식별자와 Windows 제품 ID를 포함한 버퍼의 SHA-256 해시 값과 동일하다.

오케스트레이터는 자체 보호를 위해 동일한 분석 방지 기법 다수와 함께 특정 프로세스 이름 및 드라이버에 대한 추가 검사를 사용한다.

Dante는 구성에 지정된 일수 내에 명령을 수신하지 못하면 자체 및 모든 활동 흔적을 삭제한다.

본 보고서 작성 시점에는 사용자들 사이에서 현재 활동 중인 Dante 감염 사례가 없어 추가 모듈을 분석할 수 없었다. 다만 해당 모듈이 확보된다면 기꺼이 분석할 예정이다. 이 스파이웨어에 대한 정보가 공개되고 개발자가 확인된 만큼, 추가 모듈이 발견되어 조사되기까지 오래 걸리지 않기를 바한. 이를 지원하기 위해, 활성 Dante 스파이웨어 감염을 식별하는 데 활용 가능한 방법을 공유한다(침해 지표 섹션 참조).

Operation ForumTroll에서 ForumTroll APT 그룹이 Dante를 사용한 사례는 확인되지 않았으나, 해당 그룹과 연계된 다른 공격에서는 Dante 사용이 관찰되었다. 특히, 유사한 파일 시스템 경로, 동일한 지속성 메커니즘, 폰트 파일에 숨겨진 데이터 등 Dante가 관련된 다른 공격들과 이 공격 사이에 몇 가지 사소한 유사점을 발견했다. 가장 중요한 것은, 익스플로잇, 로더, Dante가 공유하는 유사한 코드를 발견했다는 점이다. 이러한 발견 사항들을 종합해 볼 때, Operation ForumTroll 캠페인 역시 Dante 스파이웨어와 함께 제공되는 동일한 도구 세트를 사용하여 수행되었다고 결론지을 수 있다.

결론 – 메멘토랩의 활동 재개 확인, 복합적 공격 체계 갖춰

Operation ForumTroll은 단순 피싱 캠페인을 넘어, 제로데이 샌드박스 탈출 → 고도화된 지속성 확보 → LeetAgent → Dante 툴체인으로 이어지는 복합적 공격 체계를 가지고 있었다.

특히 Dante 스파이웨어의 발견은 Memento Labs(구 Hacking Team)가 다시 활동 중임을 보여주는 중요한 증거이며, 이번 분석을 통해 그 존재가 실제 공격에서 활용되고 있었음이 최초로 확인되었다. 카스퍼스키는 향후 추가 모듈 및 변종 확보 시 더 심층적 분석을 수행할 예정이다.

이번 분석에서 얻은 결론은 다음 세 가지다.

1. DuplicateHandle은 매우 위험한 API다. 특권 프로세스가 가짜 핸들(pseudo-handle)을 전달받을 경우, 반드시 오류를 반환해야 한다.

2. 귀속(attribution)은 어렵지만 가장 보람 있는 분야다. 퍼즐 조각이 정확히 맞아떨어질 때의 성취감은 매우 크다. 어린 시절 셜록 홈즈, 미스 마플, 콜롬보, 스쿠비 두 같은 탐정에 매료된 적이 있다면, 위협 인텔리전스(Threat Intelligence) 분야는 당신에게 잘 맞는 직업일 수 있다.

3. Hacking Team은 모든 것을 “처음부터 다시 시작”하려 했다. 2022년까지 거의 모든 것이 새롭게 재작성되었고, 이제 Dante가 발견된 만큼 또다시 처음부터 시작할 시점일지도 모른다.

본 연구의 전체 내용과 ForumTroll APT 및 Dante 관련 향후 업데이트는 Threat Intelligence Portal의 APT 보고 서비스 고객에게 제공된다. Contact: intelreports@kaspersky.com

*원문 보도자료: https://securelist.com/forumtroll-apt-hacking-team-dante-spyware/117851/