꼬불꼬불 동지들: 비정상적인 Hyper-V 활성화

mermaid graph TB %% 클래스 정의 classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#ccccff %% 노드 – 행동 action_initial_setup[“<b>행동</b> – 초기 설정<br/><b>기법</b>: T1564.006 숨겨진 아티팩트: 가상 인스턴스 실행, T1497 가상화/샌드박스 회피, T1059.012 하이퍼바이저 CLI<br/>DISM을 통해 Hyper-V 활성화 및 관리 클라이언트 비활성화”] class action_initial_setup action action_vm_deployment[“<b>행동</b> – VM 배포<br/><b>기법</b>: T1059.012 하이퍼바이저 CLI<br/>curl을 사용하여 Alpine Linux VHDX 다운로드, WinRAR로 추출, PowerShell을 통해 VM 가져오기 및 시작”] class action_vm_deployment action action_vm_persistence[“<b>행동</b> – VM에서의 지속성<br/><b>기법</b>: T1037.004 RC 스크립트, T1543 시스템 프로세스 생성/수정<br/>4시간마다 /bin/alpine_init을 시작하는 cron 작업 생성하여 CurlyShell 실행”] class action_vm_persistence action action_c2_communication[“<b>행동</b> – C2 통신<br/><b>기법</b>: T1071.001 웹 프로토콜, T1102.002 양방향 웹 서비스<br/>CurlyShell은 libcurl을 사용하여 HTTPS 엔드포인트에 접속(GET/POST)”] class action_c2_communication action action_proxy_tunneling[“<b>행동</b> – 프록시 및 터널링<br/><b>기법</b>: T1090.001 내부 프록시, T1090.003 다중 홉 프록시<br/>ProxyCommand 설정을 통해 SSH 역방향 프록시 구성, 로컬 SOCKS 프록시로 트래픽 전달”] class action_proxy_tunneling action action_credential_abuse[“<b>행동</b> – 인증 정보 남용<br/><b>기법</b>: T1550.003 티켓 전달, T1059.001 PowerShell<br/>PowerShell 스크립트 kb_upd.ps1은 제작된 Kerberos 티켓을 LSASS에 주입”] class action_credential_abuse action action_lateral_movement[“<b>행동</b> – 횡적 이동<br/><b>기법</b>: T1021.002 SMB/Windows 관리자 공유, T1135 네트워크 공유 발견<br/>주입된 티켓을 net use 및 SMB 명령어와 함께 사용하여 공유 목록 작성 및 원격 명령어 실행”] class action_lateral_movement action action_persistence_accounts[“<b>행동</b> – 로컬 계정 통한 지속성<br/><b>기법</b>: T1136.001 로컬 계정 생성, T1037.003 네트워크 로그인 스크립트<br/>그룹-정책 스크립트는 지속적인 액세스를 위해 로컬 계정을 생성하거나 리셋합니다 (예: camera)”] class action_persistence_accounts action action_defense_evasion[“<b>행동</b> – 방어 회피<br/><b>기법</b>: T1059.003 Windows 명령 셸, T1202 간접 명령 실행, T1001.003 프로토콜 가장, T1599 네트워크 경계 브리징<br/>숨겨진 VM 내에서 모든 악성 바이너리 실행, 커스텀 Base64 인코딩을 사용하여 포렌식 흔적 감소”] class action_defense_evasion action %% 노드 – 도구 / 프로세스 / 악성코드 tool_dism[“<b>도구</b> – DISM<br/><b>설명</b>: Hyper-V와 같은 Windows 기능을 배포”] class tool_dism tool tool_powershell[“<b>도구</b> – PowerShell<br/><b>설명</b>: VM 가져오기, 티켓 주입 및 기타 자동화를 위한 스크립팅 환경”] class tool_powershell tool process_curl[“<b>프로세스</b> – curl<br/><b>설명</b>: Alpine VHDX 다운로드 및 HTTPS C2 요청 수행”] class process_curl process process_winrar[“<b>프로세스</b> – WinRAR<br/><b>설명</b>: 다운로드한 VHDX 아카이브 추출”] class process_winrar process malware_curlyshell[“<b>악성코드</b> – CurlyShell<br/><b>설명</b>: 숨겨진 Alpine VM 내에서 실행되는 커스텀 백도어”] class malware_curlyshell malware malware_ssh_reverse[“<b>악성코드</b> – SSH 역방향 프록시<br/><b>설명</b>: ~/.ssh/config를 통해 SOCKS로 트래픽을 터널링하도록 구성”] class malware_ssh_reverse malware script_kb_upd[“<b>악성코드</b> – kb_upd.ps1<br/><b>설명</b>: Kerberos 티켓을 제작하는 PowerShell 스크립트로 LSASS에 주입”] class script_kb_upd malware %% 연결 – 흐름 action_initial_setup u002du002d>|도구 사용| tool_dism action_initial_setup u002du002d>|도구 사용| tool_powershell action_vm_deployment u002du002d>|다운로드 수행| process_curl action_vm_deployment u002du002d>|추출 수행| process_winrar action_vm_deployment u002du002d>|가져오기/시작| tool_powershell action_vm_persistence u002du002d>|cron 작업 생성| malware_curlyshell action_c2_communication u002du002d>|통신 수행| process_curl action_c2_communication u002du002d>|백도어 실행| malware_curlyshell action_proxy_tunneling u002du002d>|설치| malware_ssh_reverse action_credential_abuse u002du002d>|실행| script_kb_upd action_credential_abuse u002du002d>|도구 사용| tool_powershell action_lateral_movement u002du002d>|주입된 티켓 활용| script_kb_upd action_lateral_movement u002du002d>|SMB 명령어 사용| tool_powershell action_persistence_accounts u002du002d>|계정 생성/리셋| tool_powershell action_defense_evasion u002du002d>|바이너리 실행| action_vm_deployment action_defense_evasion u002du002d>|데이터 난독화| process_curl %% 다이어그램 끝

숨겨진 Hyper-V 가상 머신 공격 체인