Void Dokkaebi, Cython으로 컴파일된 InvisibleFerret 악성 코드 사용

시뮬레이션 실행

전제 조건: 텔레메트리 및 기준선 프리플라이트 점검이 통과해야 합니다.

근거: 이 섹션은 탐지 규칙을 트리거하도록 설계된 적 기법(TTP)의 정확한 실행을 설명합니다. 명령어 및 설명은 식별된 TTP를 직접 반영해야 하며 탐지 로직이 기대하는 바로 그 텔레메트리를 생성해야 합니다. 추상적이거나 관련 없는 예시는 오진으로 이어질 것입니다.

• 공격 내러티브 및 명령어:
  공격자는 자격증명을 수집하고 C2 통신을 구현하는 Cython으로 컴파일된 모듈 세트(mod.pyd, pad.pyd, brw.pyd)를 획득했습니다. 지속성을 확보하기 위해 공격자는 이러한 모듈을 현재 사용자의 VS Code 구성 디렉토리(%USERPROFILE%.vscode)에 복사합니다. VS Code는 주기적으로 이 폴더를 스캔하여 확장을 검색하고, 이로 인해 악성 파이썬 스크립트에 의해 악성 모듈이 로드됩니다. 복사 작업은 Sigma 규칙과 일치하는 Sysmon FileCreate 이벤트를 생성합니다.

• 회귀 테스트 스크립트:

  # -------------------------------------------------
  # InvisibleFerret Cython 모듈 드롭 시뮬레이션
  # -------------------------------------------------
  $vscodePath = "$env:USERPROFILE.vscode"
  # 대상 폴더가 존재하는지 확인
  if (-not (Test-Path -Path $vscodePath)) {
      New-Item -ItemType Directory -Path $vscodePath | Out-Null
  }
  
  # 시뮬레이션된 악성 바이너리 (임의의 쓰레기 콘텐츠)
  $modules = @("mod.pyd","pad.pyd","brw.pyd")
  foreach ($mod in $modules) {
      $dest = Join-Path -Path $vscodePath -ChildPath $mod
      # 컴파일된 확장을 가장하도록 1 KB의 임의 바이트 작성
      $bytes = New-Object byte[] 1024
      (New-Object System.Random).NextBytes($bytes)
      [System.IO.File]::WriteAllBytes($dest, $bytes)
      Write-Host "Created $dest"
  }

• 정리 명령어:

  # -------------------------------------------------
  # 시뮬레이션된 악성 파일 정리
  # -------------------------------------------------
  $vscodePath = "$env:USERPROFILE.vscode"
  $modules = @("mod.pyd","pad.pyd","brw.pyd")
  foreach ($mod in $modules) {
      $file = Join-Path -Path $vscodePath -ChildPath $mod
      if (Test-Path $file) {
          Remove-Item -Path $file -Force
          Write-Host "Removed $file"
      }
  }