인증서 디코딩 착각: Blank Grabber Stealer가 로더를 숨기는 방법

"그래프 TB %% 클래스 정의 classDef 기술 채우기:#e6f7ff classDef 연산자 채우기:#ffcc66 classDef 데이터 채우기:#d9ead3 %% 노드 – 기술 init_exec["<b>기술</b> – T1059.003: Windows 명령 셸<br/><b>설명</b>: 배치 스크립트가 certutil을 실행하여 내장된 Rust 스테이저를 디코딩합니다"] class init_exec 기술 evasion_vm["<b>기술</b> – T1497: 가상화/샌드박스 회피<br/><b>설명</b>: 드라이버, 사용자 이름 및 UUID를 확인하여 분석 환경을 감지합니다"] class evasion_vm 기술 obfuscation["<b>기술</b> – T1027: 모호화된 파일 또는 정보<br/><b>설명</b>: Rust 실행 파일이 인증서 파일로 위장된 것입니다"] class obfuscation 기술 decode["<b>기술</b> – T1140: 파일 또는 정보의 암호 해독/디코딩<br/><b>설명</b>: 암호화된 페이로드(blank.aes)의 AES-CTR/GCM 해독"] class decode 기술 load_stager["<b>기술</b> – T1105: 도구 전송<br/><b>설명</b>: 무작위로 이름이 지정된 실행 파일을 %TEMP%에 드롭하고 실행합니다"] class load_stager 기술 pers_startup["<b>기술</b> – T1037.005: 부트 또는 로그인 초기화 스크립트 (시작 폴더)"] class pers_startup 기술 elev_uac["<b>기술</b> – T1548.002: 권한 상승 제어 메커니즘 악용 (레지스트리 UAC 우회)"] class elev_uac 기술 impair_def["<b>기술</b> – T1562.004: 방어 무력화 (Windows Defender 비활성화, 예외 추가)"] class impair_def 기술 hide_hosts["<b>기술</b> – T1564.012: 아티팩트 숨기기 (보안 사이트 차단을 위한 hosts 파일 수정)"] class hide_hosts 기술 data_collection["<b>기술</b> – T1082: 시스템 정보 발견 및 관련 수집"] class data_collection 데이터 sysinfo["<b>기술</b> – T1082: 시스템 정보 발견"] class sysinfo 기술 browser_info["<b>기술</b> – T1217: 브라우저 정보 발견"] class browser_info 기술 clipboard["<b>기술</b> – T1115: 클립보드 데이터"] class clipboard 기술 video_capture["<b>기술</b> – T1125: 비디오 캡처"] class video_capture 기술 wifi_passwords["<b>기술</b> – T1016: 시스템 네트워크 구성 발견 (Wi‑Fi 비밀번호)"] class wifi_passwords 기술 product_key["<b>기술</b> – T1012: 레지스트리 조회 (Windows 제품 키)"] class product_key 기술 removable_media["<b>기술</b> – T1025: 이동식 미디어에서 데이터 수집"] class removable_media 기술 wmi_queries["<b>기술</b> – T1047: Windows 관리 도구 쿼리 (시스템 쿼리)"] class wmi_queries 기술 archive_data["<b>기술</b> – T1560.001: 수집된 데이터 아카이브 (RAR 유틸리티)"] class archive_data 기술 exfil_telegram["<b>기술</b> – T1041: C2 채널을 통한 데이터 유출 (Telegram 봇 API)"] class exfil_telegram 기술 exfil_public["<b>기술</b> – T1048: 대체 프로토콜을 통한 데이터 유출 (공공 파일 공유 서비스)"] class exfil_public 기술 self_delete["<b>기술</b> – T1070: 지표 제거 (데이터 유출 후 자체 삭제)"] class self_delete 기술 %% 흐름 연결 init_exec –>|leads_to| evasion_vm evasion_vm –>|leads_to| obfuscation obfuscation –>|leads_to| decode decode –>|leads_to| load_stager load_stager –>|enables| pers_startup load_stager –>|enables| elev_uac load_stager –>|enables| impair_def load_stager –>|enables| hide_hosts load_stager –>|starts| data_collection data_collection –>|includes| sysinfo data_collection –>|includes| browser_info data_collection –>|includes| clipboard data_collection –>|includes| video_capture data_collection –>|includes| wifi_passwords data_collection –>|includes| product_key data_collection –>|includes| removable_media data_collection –>|includes| wmi_queries data_collection –>|leads_to| archive_data archive_data –>|uses| exfil_telegram archive_data –>|uses| exfil_public exfil_telegram –>|followed_by| self_delete exfil_public –>|followed_by| self_delete "

공격 흐름