실제 소프트웨어 다운로드가 원격 백도어를 감출 수 있는 방법

“graph TB %% 클래스 정의 classDef action fill:#99ccff classDef technique fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ffdd99 classDef tool fill:#cccccc classDef operator fill:#ff9900 %% 노드 action_initial_access[“<b>활동</b> – 초기 접근<br/><b>기술</b>: T1204 사용자 실행”] class action_initial_access action tech_user_execution[“<b>기술</b> – T1204 사용자 실행<br/>피해자가 악성 콘텐츠 실행”] class tech_user_execution technique tech_malicious_link[“<b>기술</b> – T1204.001 악성 링크<br/>링크가 악성 설치 프로그램 다운로드로 유도”] class tech_malicious_link technique tech_trojanized_installer[“<b>기술</b> – T1204.002 트로이 목마 설치 프로그램<br/>설치 프로그램이 합법적으로 보이지만 페이로드 포함”] class tech_trojanized_installer technique malware_logger_exe[“<b>악성 소프트웨어</b> – logger.exe<br/>입력을 캡처하고 특권 작업 수행”] class malware_logger_exe malware tech_process_masquerade[“<b>기술</b> – T1036.011 가장<br/>프로세스 이름이 합법적으로 보이도록 위장됨”] class tech_process_masquerade technique tech_argument_spoof[“<b>기술</b> – T1564.010 인수 위장<br/>명령줄 인수가 허위로 작성됨”] class tech_argument_spoof technique tech_tls_injection[“<b>기술</b> – T1055.005 지역 저장소 주입<br/>TLS를 통한 코드 주입”] class tech_tls_injection technique tech_appcert_dll[“<b>기술</b> – T1546.009 AppCert DLL 실행<br/>AppCert DLLs를 사용하여 자동 실행”] class tech_appcert_dll technique tech_permission_hijack[“<b>기술</b> – T1574.005 실행 흐름 하이재킹<br/>설치 파일 권한 약점을 악용”] class tech_permission_hijack technique action_defense_evasion[“<b>활동</b> – 방어 회피<br/>탐지를 피하기 위한 여러 기술들”] class action_defense_evasion action action_persistence[“<b>활동</b> – 지속성<br/>장기적인 거점 확립”] class action_persistence action tech_registry_rc[“<b>기술</b> – T1037.004 레지스트리 RC 스크립트<br/>레지스트리를 통한 스크립트 실행”] class tech_registry_rc technique tech_active_setup[“<b>기술</b> – T1547.014 액티브 설정<br/>액티브 설정을 통한 자동 시작”] class tech_active_setup technique tech_preos_boot[“<b>기술</b> – T1542 운영 체제 이전 부팅<br/>부팅 프로세스에 훅”] class tech_preos_boot technique action_credential_access[“<b>활동</b> – 자격증명 액세스<br/>사용자 자격증명 탈취”] class action_credential_access action tech_keylogging[“<b>기술</b> – T1056.001 키로깅<br/>키 입력 기록”] class tech_keylogging technique tech_credential_dump[“<b>기술</b> – T1003 운영 체제 자격증명 덤핑<br/>암호 해시 추출”] class tech_credential_dump technique action_collection[“<b>활동</b> – 수집<br/>사용자 데이터 수집”] class action_collection action tech_screen_capture[“<b>기술</b> – T1113 스크린 캡처<br/>스크린샷 찍기”] class tech_screen_capture technique tech_video_capture[“<b>기술</b> – T1125 비디오 캡처<br/>비디오 녹화”] class tech_video_capture technique tech_audio_capture[“<b>기술</b> – T1123 오디오 캡처<br/>오디오 녹음”] class tech_audio_capture technique action_c2[“<b>활동</b> – 명령 및 제어<br/>원격 서버와 통신”] class action_c2 action tech_nonstandard_port[“<b>기술</b> – T1571 비표준 포트<br/>TCP 포트 5666 사용”] class tech_nonstandard_port technique tech_ftp_style[“<b>기술</b> – T1071.002 FTP 스타일 프로토콜<br/>FTP처럼 트래픽 인코딩”] class tech_ftp_style technique tech_port_knocking[“<b>기술</b> – T1205.001 포트 노킹<br/>포트 시퀀스를 통해 C2 신호 전송”] class tech_port_knocking technique malware_memory_resident[“<b>악성 소프트웨어</b> – 메모리 내 레지던트 페이로드<br/>RAM에 직접 로드”] class malware_memory_resident malware tech_registry_hide[“<b>기술</b> – 레지스트리 숨김 설정<br/>레지스트리에 설정 저장”] class tech_registry_hide technique %% 연결 action_initial_access u002du002d>|사용| tech_user_execution tech_user_execution u002du002d>|포함| tech_malicious_link tech_user_execution u002du002d>|포함| tech_trojanized_installer tech_malicious_link u002du002d>|배달| malware_logger_exe tech_trojanized_installer u002du002d>|번들| malware_logger_exe malware_logger_exe u002du002d>|수행| tech_process_masquerade malware_logger_exe u002du002d>|수행| tech_argument_spoof malware_logger_exe u002du002d>|TLS 주입| tech_tls_injection malware_logger_exe u002du002d>|사용| tech_appcert_dll malware_logger_exe u002du002d>|악용| tech_permission_hijack malware_logger_exe u002du002d>|활성화| action_defense_evasion action_defense_evasion u002du002d>|확립| action_persistence action_persistence u002du002d>|사용| tech_registry_rc action_persistence u002du002d>|사용| tech_active_setup action_persistence u002du002d>|사용| tech_preos_boot action_defense_evasion u002du002d>|활성화| action_credential_access action_credential_access u002du002d>|사용| tech_keylogging action_credential_access u002du002d>|사용| tech_credential_dump action_defense_evasion u002du002d>|활성화| action_collection action_collection u002du002d>|캡처| tech_screen_capture action_collection u002du002d>|캡처| tech_video_capture action_collection u002du002d>|캡처| tech_audio_capture action_defense_evasion u002du002d>|활성화| action_c2 action_c2 u002du002d>|비표준 포트를 통한 통신| tech_nonstandard_port tech_nonstandard_port u002du002d>|프로토콜 사용| tech_ftp_style action_c2 u002du002d>|사용| tech_port_knocking malware_logger_exe u002du002d>|거주 중| malware_memory_resident malware_memory_resident u002du002d>|레지스트리 설정 저장| tech_registry_hide “

공격 흐름