GlassWorm, Mac으로 진출: 신선한 인프라, 새로운 트릭

graph TB %% Class Definitions classDef action fill:#99ccff classDef technique fill:#ffcc99 classDef operator fill:#ff9900 classDef tool fill:#cccccc %% Nodes action_initial_access[“<b>행동</b> – 초기 접근”] class action_initial_access action technique_vs_code_ext[“<b>기법</b> – T1176.002: 악성 VS Code IDE 확장<br/><b>설명</b>: 공격자가 Visual Studio Code용 악성 확장을 배포하여 피해자 시스템에서 코드를 실행한다.”] class technique_vs_code_ext technique technique_delay[“<b>기법</b> – T1497.003: 실행 지연<br/><b>설명</b>: 악성코드가 분석 회피를 위해 일정 시간(예: 15분) 대기한 후 페이로드를 실행한다.”] class technique_delay technique technique_decrypt[“<b>기법</b> – T1027.009 / T1027.004: AES-256-CBC 페이로드 복호화<br/><b>설명</b>: 암호화된 페이로드가 메모리 내에서 256비트 키를 사용한 AES-CBC 방식으로 복호화된다.”] class technique_decrypt technique technique_c2_retrieve[“<b>기법</b> – T1573.001: 솔라나 블록체인에서 엔드포인트 조회<br/><b>설명</b>: C2 서버 주소가 공개 블록체인에 저장되며 악성코드가 이를 가져온다.”] class technique_c2_retrieve technique technique_c2_fetch[“<b>기법</b> – T1048.003: 비암호화 프로토콜 데이터 전송<br/><b>설명</b>: 악성코드가 비암호화된 프로토콜(예: HTTP)을 사용하여 C2 엔드포인트에 연결한다.”] class technique_c2_fetch technique technique_persistence_agent[“<b>기법</b> – T1543.001: LaunchAgent 설치<br/><b>설명</b>: 지속성을 위해 사용자 LaunchAgents 디렉터리에 LaunchAgent plist 파일이 배치된다.”] class technique_persistence_agent technique technique_persistence_daemon[“<b>기법</b> – T1543.004: LaunchDaemon 설치<br/><b>설명</b>: 지속성을 위해 시스템 LaunchDaemons 디렉터리에 LaunchDaemon plist 파일이 배치된다.”] class technique_persistence_daemon technique technique_modify_plist[“<b>기법</b> – T1647: PLIST 파일 수정<br/><b>설명</b>: 공격자가 plist 파일을 편집하여 실행 동작을 변경하거나 악성 명령을 추가한다.”] class technique_modify_plist technique technique_dump_keychain[“<b>기법</b> – T1555.001 / T1555.002: 키체인 덤프<br/><b>설명</b>: macOS 키체인에서 자격 증명 자료가 추출된다.”] class technique_dump_keychain technique technique_steal_keys[“<b>기법</b> – T1552.001 / T1552.004: 개인 키 및 토큰 탈취<br/><b>설명</b>: 암호화폐 개인 키와 인증 토큰이 수집된다.”] class technique_steal_keys technique technique_stage_data[“<b>기법</b> – T1074: 데이터 스테이징<br/><b>설명</b>: 수집된 파일이 이후 유출을 위해 /tmp/ijewf로 복사된다.”] class technique_stage_data technique technique_archive[“<b>기법</b> – T1560.001 / T1560.003: 수집 데이터 압축<br/><b>설명</b>: 데이터가 ZIP과 같은 아카이브 형식으로 압축된다.”] class technique_archive technique technique_exfil[“<b>기법</b> – T1048.003: 비암호화 비-C2 채널을 통한 유출<br/><b>설명</b>: 스테이징된 아카이브가 주요 C2와 연결되지 않은 비암호화 채널을 통해 전송된다.”] class technique_exfil technique technique_priv_esc[“<b>기법</b> – T1548.006: TCC 조작<br/><b>설명</b>: macOS TCC(투명성, 동의 및 제어) 데이터베이스를 수정하여 더 높은 권한을 획득한다.”] class technique_priv_esc technique technique_impact[“<b>기법</b> – T1496.002: Ledger Live / Trezor Suite 교체<br/><b>설명</b>: 합법적인 암호화폐 지갑 애플리케이션이 트로이 목마 버전으로 교체되어 사용자 자산이 탈취된다.”] class technique_impact technique %% Connections action_initial_access –>|uses| technique_vs_code_ext technique_vs_code_ext –>|triggers| technique_delay technique_delay –>|leads to| technique_decrypt technique_decrypt –>|establishes| technique_c2_retrieve technique_c2_retrieve –>|contacts| technique_c2_fetch technique_c2_fetch –>|installs| technique_persistence_agent technique_c2_fetch –>|installs| technique_persistence_daemon technique_persistence_agent –>|modifies| technique_modify_plist technique_persistence_daemon –>|modifies| technique_modify_plist technique_modify_plist –>|enables| technique_dump_keychain technique_dump_keychain –>|enables| technique_steal_keys technique_steal_keys –>|stores in| technique_stage_data technique_stage_data –>|archives| technique_archive technique_archive –>|exfiltrates via| technique_exfil technique_exfil –>|facilitates| technique_priv_esc technique_priv_esc –>|enables| technique_impact

공격 흐름