BlueDelta (APT28) 자격 증명 피싱: 무료 호스팅 및 Ngrok 사용

“graph TB %% Class Definitions classDef action fill:#99ccff classDef service fill:#ffcc99 classDef tool fill:#cccccc %% Nodes u2013 Reconnaissance recon_info[“<b>동작</b> – <b>T1591 피해자 조직 정보 수집</b>: 대상 연구원의 공개 이메일 주소 및 조직 세부 정보 수집.”] class recon_info action recon_roles[“<b>동작</b> – <b>T1591.004 역할 식별</b>: 에너지 분석가, 싱크탱크 연구원, 보안 직원 등의 특정 직무 식별.”] class recon_roles action %% Nodes u2013 Resource Development resource_dev[“<b>동작</b> – <b>T1583.006 인프라 웹 서비스 획득</b>: 일회용 도메인을 등록하고 무료 호스팅/터널링 서비스(Webhook.site, InfinityFree, Byet, ngrok, shorturl.at) 사용.”] class resource_dev service %% Nodes u2013 Phishing phishing[“<b>동작</b> – <b>T1566.001 스피어피싱 첨부파일</b>: 여러 URL을 거쳐 리디렉션 되는 짧은 악성 링크를 포함한 이메일 전송.”] class phishing action %% Nodes u2013 Obfuscation html_smuggling[“<b>동작</b> – <b>T1027.006 HTML 스멀링</b>: 처음 리디렉션 시 합법적인 PDF 유인책을 메타 리프레쉬를 통해 잠깐 삽입하는 HTML 제공.”] class html_smuggling action %% Nodes u2013 자격 증명 수확 credential_forge[“<b>동작</b> – <b>T1606 웹 자격 증명 위조 / T1056.003 웹 포털 캡처</b>: OWA, Google, Sophos VPN의 스푸핑된 로그인 페이지가 JavaScript로 자격 증명을 캡처합니다.”] class credential_forge tool %% Nodes u2013 입력 캡처 비콘 web_capture_beacon[“<b>동작</b> – <b>T1056.003 웹 포털 캡처</b>: JavaScript가 페이지 열림 비콘 및 입력한 자격 증명을 공격자 웹훅으로 전송합니다.”] class web_capture_beacon tool %% Nodes u2013 유출 exfil_webhook[“<b>동작</b> – <b>T1567.004 웹훅을 통한 유출</b>: 캡처된 데이터를 JSON으로 공격자 제어 웹훅(webhook.site, ngroku2011free.app)으로 POST합니다.”] class exfil_webhook service %% Nodes u2013 명령 및 제어 c2_webprotocol[“<b>동작</b> – <b>T1071.001 애플리케이션 계층 프로토콜 웹 프로토콜</b>: C2 통신에 표준 웹 트래픽 사용.”] class c2_webprotocol service c2_webservice[“<b>동작</b> – <b>T1102.002 웹 서비스 양방향 통신</b>: 웹훅 서비스를 통해 지속적 양방향 채널 유지.”] class c2_webservice service %% Nodes u2013 터널링 protocol_tunnel[“<b>동작</b> – <b>T1572 프로토콜 터널링</b>: ngrok 터널을 사용하여 로컬 유출 엔드포인트를 인터넷에 노출시킵니다.”] class protocol_tunnel tool %% Nodes u2013 유출 후 리디렉션 post_redirect[“<b>동작</b> – 유출 후 리디렉션: 데이터 캡처 후 피해자는 의심을 피하기 위해 원래의 합법적인 문서나 VPN 포털로 전송됩니다.”] class post_redirect action %% Connections u2013 흐름 recon_info u002du002d>|leads_to| recon_roles recon_roles u002du002d>|leads_to| resource_dev resource_dev u002du002d>|enables| phishing phishing u002du002d>|triggers| html_smuggling html_smuggling u002du002d>|delivers| credential_forge credential_forge u002du002d>|captures| web_capture_beacon web_capture_beacon u002du002d>|sends_to| exfil_webhook exfil_webhook u002du002d>|supports| c2_webprotocol c2_webprotocol u002du002d>|uses| c2_webservice c2_webservice u002du002d>|relies_on| protocol_tunnel protocol_tunnel u002du002d>|facilitates| post_redirect “

공격 흐름