스테가노그래피 비밀: 평범한 곳에 숨겨진 멀웨어

시뮬레이션 실행

선행 조건: 텔레메트리 & 베이스라인 프리플라이트 체크가 통과되어야 함.

목적: 이 섹션은 탐지 규칙을 트리거하도록 설계된 적수 기술(TTP)의 정확한 실행을 자세히 설명합니다. 명령과 내러티브는 식별된 TTP를 직접 반영하고 탐지 로직에 의해 기대되는 정확한 텔레메트리를 생성해야 합니다.

• 공격 내러티브 & 명령:

  1. 준비 – 스테가노그래픽 페이로드:
     공격자는 맞춤형 도구를 사용하여 무해한 JPEG에 컴파일된 Remcos RAT DLL을 임베드합니다 (StegoEmbed.exe). 결과 파일 (malicious.jpg)은 픽셀 데이터에 악성 페이로드를 탑재합니다.

  2. 전달 – DotNET 로더의 실행:
     공격자는 스테고 이미지와 인수dotnet.exe을 참조하는 .NET 기반 로더 ( Loader)를 실행합니다. 로더는 이미지를 읽어 임베드된 DLL을 추출하고 디스크에 쓰지 않고 메모리에 직접 로드하여 (인 메모리 실행) Exploit (T1068) 통해 특권 상승을 달성합니다.

  3. 결과 – RAT 비콘:
     메모리에 들어가면, Remcos RAT은 C2 서버에 네트워크 연결을 설정합니다.

  생성된 중요한 텔레메트리는 프로세스 생성 이벤트 이며:

  • 이미지 (프로세스 이름)은 DotNET (dotnet.exe).
  • 명령줄 에 포함된 문자렬 Loader.

  이 Sigma 룰의 선택_dotnet_loader.

• 회귀 테스트 스크립트:

  # ---------------------------------------------------------
  # 시뮬레이션 스크립트 – 스테가노그래피를 사용한 DotNET 로더 (T1027.003)
  # ---------------------------------------------------------
  # 1. 더미 스테고 이미지를 생성 (실제 임베드 필요 없음)
  $stegoPath = "$env:TEMPmalicious.jpg"
  Copy-Item "$env:SystemRootWebWallpaperWindowsimg0.jpg" $stegoPath -Force
  
  # 2. 요구 플래그를 사용하여 .NET 로더 실행
  #    “DotNET” 이미지 이름을 모방하기 위해 합법적인 dotnet.exe를 사용.
  #    Sigma 규칙을 트리거하는 인수 “Loader”.
  $loaderArgs = "`"$stegoPath`" Loader"
  Write-Host "[*] 인수와 함께 dotnet 로더를 실행: $loaderArgs"
  
  Start-Process -FilePath "dotnet.exe" -ArgumentList $loaderArgs -NoNewWindow
  
  # 3. 프로세스가 Sysmon에 의해 캡쳐되도록 잠시 대기
  Start-Sleep -Seconds 5
  
  # 4. 옵션: RAT 비콘 시뮬레이션 (네트워크 트래픽) – 규칙 테스트에는 필요 없음
  # ---------------------------------------------------------
  Write-Host "[*] 시뮬레이션 완료. SIEM에서 경고 확인."

• 정리 명령:

  # ---------------------------------------------------------
  # 정리 – 임시 스테고 이미지 제거 및 남아있는 로더 프로세스 중지
  # ---------------------------------------------------------
  $stegoPath = "$env:TEMPmalicious.jpg"
  
  # 임시 이미지 제거
  if (Test-Path $stegoPath) {
      Remove-Item $stegoPath -Force
      Write-Host "[*] $stegoPath 삭제됨"
  }
  
  # 이 스크립트에 의해 시작된 모든 dotnet 프로세스 중지 ("Loader" 인수로 식별)
  Get-Process -Name dotnet -ErrorAction SilentlyContinue |
      Where-Object { $_.Path -like "*dotnet.exe*" -and $_.StartInfo.Arguments -match "Loader" } |
      ForEach-Object {
          $_.Kill()
          Write-Host "[*] 프로세스 ID $($_.Id) 종료됨"
      }
  # ---------------------------------------------------------