1. 개요

 AhnLab SEcurity intelligence Center(ASEC)은 최근 Kimsuky 그룹이 이력서로 위장한 악성 한글 문서를 통해 최종적으로 Funhouse 랜섬웨어를 유포한 사례를 확인하였다. Funhouse 랜섬웨어는 기존에 공개된 Endpoint 랜섬웨어의 변종으로 확인되었으며, 이번 공격에 사용된 Quasar RAT 등의 도구와 전반적인 공격 체인은 2026년 상반기부터 확인되는 Kimsuky의 Endpoint 랜섬웨어 유포 사례와 다수의 공통점을 보였다. 이번 블로그에서는 최근 확인된 Funhouse 랜섬웨어 유포 사례를 분석하고, 기존 Kimsuky의 Endpoint 랜섬웨어 유포 사례와의 연관성을 정리한다.

 

[그림 1] 공격에 사용된 디코이 문서

 

2. 초기 침투

 초기 침투에 사용된 이력서.hwp 파일 내부에는 악성 OLE 데이터가 삽입되어 있다. 해당 HWP 문서 실행 시 한글 프로세스가 OLE 객체에 포함된 pdf.exe와 pdf.exe.manifest를 사용자 개입 없이 %TEMP% 경로에 생성한다. pdf.exe는 VbsEdit 스크립트 실행기이며, pdf.exe.manifest는 %TEMP% 경로에 lpe{랜덤값}.bat 파일을 생성하는 악성 스크립트이다. 또한 문서에는 이력서_{성명}.pdf 파일 열람을 유도하는 하이퍼링크가 포함되어 있으며, 사용자가 해당 링크 클릭 시 %TEMP% 경로에 생성된 pdf.exe가 pdf.exe.manifest를 실행하며 후속 악성 행위가 수행된다. 한편 이번 사례에서 사용된 VbsEdit 스크립트 실행기(pdf.exe)는 [그림 4]의 과거 자사 TI 콘텐츠에서 다룬 기업의 서버 리스트 문서를 위장한 악성 LNK 유포 (Kimsuky 그룹) 사례에서 동일한 방식으로 악용된 바 있다.

 

[그림 2] 악성 HWP 파일

 

[그림 3] %TEMP% 경로에 생성된 악성 파일

 

[그림 4] 과거 악성코드 유포 사례의 ms.exe 및 ms.exe.manifest 파일

 

3. Funhouse 랜섬웨어 감염 체인

 악성 HWP 문서가 실행된 이후 Batch, VBS, Powershell 등 다수의 스크립트가 순차적으로 실행되는 다단계 공격 흐름이 확인되었다. 해당 공격 과정에서 Quasar RAT이 설치되며, 공격자는 이를 통해 최종적으로 Funhouse 랜섬웨어를 실행하였다. 전체 공격 체인에 대한 자세한 내용은 자사 TI 콘텐츠에서 공개한 Endpoint에서 Funhouse로: 랜섬웨어 계열의 변화와 Kimsuky 연관 유포 사례에서 확인 가능하다.

 

Funhouse 랜섬웨어 감염 체인
이력서.hwp 실행 ↓ 다단계 스크립트 실행      (Batch, VBS, PowerShell 등)      ↓ 파이썬 기반 백도어 실행 ↓ Quasar RAT 설치 ↓ Funhouse 랜섬웨어 실행

[표 1] 전체 실행 흐름

 

4. 과거 Kimsuky 사례 비교

4.1 Batch 스크립트

 이번 사례에서 사용된 Batch 파일의 경우 과거 공개한 파이썬 기반 백도어를 유포하는 악성 LNK 및 유포 방식의 변화 (Kimsuky 그룹)에서 확인된 Batch 파일과 유사한 코드 특징이 확인되었다. 해당 Batch 파일은 공격자에 의해 주기적으로 업데이트 되는 파일로, 지속성 유지의 보조 수단으로써 활용되었다.

 

과거 공격 사례의 bat 파일	현재 공격 사례의 bat 파일

[그림 5] 유사한 Batch 파일 코드

 

4.2 Quasar RAT

 최종 랜섬웨어를 실행하는 Quasar RAT은 과거 Endpoint 랜섬웨어 유포 사례에서 확인된 Quasar RAT의 변종으로 확인되었다. 해당 샘플은 과거 사례와 동일하게 .dwg 확장자의 설정 파일을 사용하며, 설정 파일에는 C2 주소, 감염 대상 식별 값(TAG), 뮤텍스명 등의 정보가 저장되어 있다. 특히 뮤텍스명의 경우 과거 사례와 동일한 값이 사용되었으며, 세부 비교 내용은 [표 2]와 같다.

 

사례	Endpoint 랜섬웨어 사례 (2026년 2월)	Endpoint 랜섬웨어 사례 (2026년 6월)	Funhouse 랜섬웨어 사례 (2026년 9월)
파일명	se.dwg	se.dwg	dog.dwg
VERSION	1.1.8	1.1.8	4.4.3
HOSTS	45.95.186[.]232:80	45.43.60[.]53:80	70.36.97[.]236:443
TAG	{특정 식별자}	{피해 기업명}	{피해 기업명}_it1
MUTEX	_QQ_XCZ_VCXZ	_QQ_XCZ_VCXZ	_QQ_XCZ_VCXZ

[표 2] Quasar RAT 설정 파일 비교

 

4.3 랜섬웨어: Endpoint에서 Funhouse로

 최종 단계에서 실행되는 Funhouse 랜섬웨어는 과거 공개된 Endpoint 랜섬웨어의 변종으로 확인되었다. 해당 Funhouse 랜섬웨어는 최근 6월 확인된 Endpoint 랜섬웨어와 동일한 암호화 확장자, 랜섬노트 파일명, 뮤텍스, 키 생성 및 암호화 방식, 암호화 푸터 크기와 표식 등을 사용한다. 다만 공격자 연락처는 서로 다른 것으로 확인되었으며, 세부 비교 내용은 [표 3] 및 [그림 6]과 같다.

 

사례	Endpoint 랜섬웨어 사례 (2026년 2월)	Endpoint 랜섬웨어 사례 (2026년 6월)	Funhouse 랜섬웨어 사례 (2026년 9월)
암호화 확장자	.endpoint	.funhouse	.funhouse
랜섬노트	How To Restore Your Files.txt	How To Restore Your Files.txt	How To Restore Your Files.txt
뮤텍스	Mutexisfunnylocal	DoYouWantToHaveSexWithCuongDong	DoYouWantToHaveSexWithCuongDong
연락처	schipkealfred@gmail.com	FunhouseRaaS@proton.me	funhouse8764@tutamail.com
키 생성 방식	난수 + SHA-256	CryptGenRandom + Curve25519 + SHA-512	CryptGenRandom + Curve25519 + SHA-512
암호화 방식	ChaCha20	HC-128	HC-128
암호화 푸터	1,592 bytes (일반 모드)	72 bytes	72 bytes
푸터 표식	X	choung dong looks like hot dog!!	choung dong looks like hot dog!!

[표 3] 랜섬웨어 비교

 

EndPoint 랜섬웨어 사례 (2026년 2월)	EndPoint 랜섬웨어 사례 (2026년 6월)	funhouse 랜섬웨어 사례 (2026년 9월)

[그림 6] 각 랜섬웨어의 랜섬노트 생성 코드

 

5. 결론

 이번 Funhouse 랜섬웨어 유포 사례는 다단계 스크립트를 거쳐 Quasar RAT으로 랜섬웨어를 실행하는 등 2026년 상반기부터 관측된 Kimsuky 그룹의 Endpoint 랜섬웨어 유포 사례와 유사한 공격 체인을 보였다. Quasar RAT과 Funhouse 랜섬웨어는 기존 계열의 주요 특징을 유지하면서도 버전, C2 주소, 식별 정보 및 공격자 연락처 등을 변경하는 등 공격 인프라와 도구를 지속적으로 갱신한 것으로 확인되었다.

한편 최근 Kimsuky 그룹이 주로 사용해 온 LNK 파일 대신 HWP 문서를 초기 유포 수단으로 활용한 변화도 확인되었다. 이는 이력서로 위장한 친숙한 문서 형식을 통해 사용자의 의심을 낮추고, 문서 내 링크 클릭을 유도하여 공격 성공 가능성을 높이려는 시도로 추정된다. 실제로 이번 사례에서는 사용자가 문서 내 링크를 클릭한 이후 후속 악성 행위가 수행되므로 문서 열람 과정에서 각별한 주의가 필요하다. 

사용자는 이력서 등 업무 관련 문서에 포함된 하이퍼링크의 출처와 신뢰성을 확인하고 의심스러운 링크에 대한 접근을 자제해야 한다. 또한 한글 프로그램을 비롯한 소프트웨어 및 운영체제에 최신 보안 패치를 적용하고, V3를 최신 버전으로 유지하여 악성코드 감염을 예방해야 한다.

MD5

17d97e3ee3185d82812a4014444c36f3

327617e977eefd15708568f43140e595

3d802ceaf891ea57ecd7d1d786d96a0d

5be7578bfe633fb268ad97a520abb4e1

78c219a6bec5fc30f43b62e4934646eb

URL

http[:]//daejin[.]makeway2017[.]gethompy[.]com/lib/Cache/adminer/logo[.]php?au=tt

http[:]//daejin[.]makeway2017[.]gethompy[.]com/lib/Cache/enter/logo[.]php

http[:]//kgbrazing[.]makeway2017[.]gethompy[.]com/skin/board/pym/logo-man[.]php

http[:]//koocpt[.]site/meta/logo[.]php

http[:]//masonparkpg[.]dothome[.]co[.]kr/Gorg04/a/logo-man[.]php

IP

45[.]43[.]60[.]53

45[.]95[.]186[.]232

70[.]36[.]97[.]236