AI를 통해 생성된 ClickFix 캠페인이 SmartRAT 제공합니다

“graph TB %% 클래스 정의 섹션 classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef technique fill:#ccffcc %% 초기 접근 및 실행 단계 action_phishing[“액션 – T1566 피싱
위협 행위자가 타이포스쿼팅 도메인과 AI 생성 웹사이트를 이용하여 피해자를 유도합니다.”] class action_phishing action action_clickfix[“액션 – T1204.004 사용자 실행: 악성 복사 및 붙여넣기
사용자에게 악성 PowerShell 명령을 Windows 실행 상자에 붙여 넣도록 속입니다.”] class action_clickfix action action_ingress[“액션 – T1105 인그레스 도구 전송
원격 IP 64.95.13.238에서 st.txt라는 은밀한 드롭퍼를 다운로드합니다.”] class action_ingress action tool_dropper[“도구 – 이름: st.txt
설명: 주요 악성 소프트웨어 전달을 용이하게 하기 위해 사용되는 은밀한 드롭퍼.”] class tool_dropper tool %% 악성 소프트웨어 실행 및 지속성 단계 malware_smartrat[“악성 소프트웨어 – 이름: SmartRAT
설명: 감시 및 금융 데이터 도난을 위해 사용되는 주요 RAT.”] class malware_smartrat malware action_user_exec_file[“액션 – T1204.002 사용자 실행: 악성 파일
주요 SmartRAT 악성 소프트웨어를 실행합니다.”] class action_user_exec_file action action_gather_info[“액션 – T1592.001/002 피해자 호스트 정보 수집
하드웨어, 소프트웨어 및 OS 세부 정보를 수집하여 고유 ID 토큰을 생성합니다.”] class action_gather_info action action_persistence_service[“액션 – T1543.003 시스템 프로세스 생성 또는 수정: Windows 서비스
MicrosoftEdgeUpdateCore라는 Windows 서비스를 생성하여 지속성을 유지합니다.”] class action_persistence_service action action_persistence_registry[“액션 – 레지스트리 실행 키를 통한 지속성
접근을 유지하기 위해 레지스트리 실행 키를 사용합니다.”] class action_persistence_registry action action_priv_esc[“액션 – T1548 권한 상승
서비스를 SYSTEM 권한으로 실행하도록 UAC 상승을 요청합니다.”] class action_priv_esc action %% 명령 및 제어 및 데이터 추출 단계 action_c2[“액션 – T1071 명령 및 제어
비표준 포트 51888에서 통신을 위해 원시 TCP 소켓을 사용합니다.”] class action_c2 action action_exfiltrate[“액션 – T1041 C2 채널을 통한 데이터 추출
설정된 C2 연결을 통해 금융 데이터를 도난합니다.”] class action_exfiltrate action %% 사후 착취 및 회피 단계 action_video_capture[“액션 – T1125 비디오 캡처
감시를 위해 화면 스트리밍을 수행합니다.”] class action_video_capture action action_input_tracking[“액션 – T1056 입력 추적
키로깅을 사용하여 사용자 입력을 모니터링합니다.”] class action_input_tracking action action_mfa_interception[“액션 – T1111 다중 인증 차단
브랜드로 만들어진 가짜 오버레이를 사용하여 MFA 토큰을 도난합니다.”] class action_mfa_interception action action_masquerading[“액션 – T1036 위장
탐지를 피하기 위해 msedge.txt와 같은 미끼 파일 이름을 사용합니다.”] class action_masquerading action action_file_deletion[“액션 – T1070.004 지표 제거: 파일 삭제
포렌식 흔적을 줄이기 위해 제거 명령을 사용합니다.”] class action_file_deletion action %% 연결 흐름 action_phishing –>|leads_to| action_clickfix action_clickfix –>|leads_to| action_ingress action_ingress –>|downloads| tool_dropper tool_dropper –>|executes| action_user_exec_file action_user_exec_file –>|launches| malware_smartrat malware_smartrat –>|performs| action_gather_info malware_smartrat –>|establishes| action_persistence_service malware_smartrat –>|establishes| action_persistence_registry malware_smartrat –>|attempts| action_priv_esc action_priv_esc –>|enables| action_c2 action_c2 –>|used_for| action_exfiltrate action_c2 –>|used_for| action_video_capture action_c2 –>|used_for| action_input_tracking action_c2 –>|used_for| action_mfa_interception malware_smartrat –>|uses| action_masquerading malware_smartrat –>|performs| action_file_deletion “

공격 흐름