페르시아의 왕자 APT 분석: 인피, 푸드르, 그리고 토네르 멀웨어

graph TB %% Class definitions classDef action fill:#99ccff classDef malware fill:#ffcc99 classDef tool fill:#cccccc classDef operator fill:#ff9900 %% Nodes for each step step1[“<b>행동</b> – <b>T1566.001 스피어피싱 첨부파일</b><br/>공격자는 매크로가 포함된 악성 Office 문서가 첨부된 표적 이메일을 전송한다.”] class step1 action step2[“<b>행동</b> – <b>T1059.005 Visual Basic</b><br/>매크로가 VBA 코드를 실행하여 Infy/Foudre 페이로드를 추출하고 실행한다.”] class step2 action malware_inf[“<b>악성코드</b> – <b>이름</b>: Infy/Foudre<br/><b>설명</b>: Office 매크로를 통해 전달되는 페이로드.”] class malware_inf malware step3[“<b>행동</b> – <b>T1204.001 악성 링크</b><br/>피해자가 링크를 클릭하거나 첨부파일을 열어 매크로 실행이 트리거된다.”] class step3 action step4[“<b>행동</b> – <b>T1574.010 약한 권한을 이용한 실행 흐름 하이재킹</b><br/>악성코드는 지속성을 위해 권한이 수정된 Windows 서비스를 생성한다.”] class step4 action step5[“<b>행동</b> – <b>T1027 난독화된 파일 또는 정보</b><br/>페이로드는 사용자 정의 인코딩이 적용된 암호 보호 자기압축 아카이브로 패키징된다.”] class step5 action step6[“<b>행동</b> – <b>T1036 위장</b><br/>악성 파일은 “Cyberlink” 또는 “SnailDriver”와 같은 정상 소프트웨어처럼 이름이 지정된다.”] class step6 action step7[“<b>행동</b> – <b>T1056.001 입력 캡처(키로깅)</b><br/>Windows API 후킹을 통해 사용자 자격 증명을 수집한다.”] class step7 action step8[“<b>행동</b> – <b>T1555.003 브라우저 자격 증명</b><br/>Chrome, Edge, Firefox 등에서 비밀번호, 쿠키, 검색 기록을 탈취한다.”] class step8 action step9[“<b>행동</b> – <b>T1012 레지스트리 쿼리</b><br/>HKLM\\SOFTWARE\\Microsoft\\Cryptography\\MachineGuid를 읽어 시스템 식별자를 획득한다.”] class step9 action step10[“<b>행동</b> – <b>T1518 소프트웨어 탐색</b> 및 <b>T1518.001 보안 소프트웨어 탐색</b><br/>설치된 프로그램을 열거하고 백신 존재 여부를 확인한다.”] class step10 action step11[“<b>행동</b> – <b>T1010 애플리케이션 창 탐색</b><br/>보안 도구나 분석 콘솔을 감지하기 위해 열린 창을 열거한다.”] class step11 action step12[“<b>행동</b> – <b>T1005 로컬 시스템 데이터</b><br/>사용자 폴더에서 문서, 이미지, 아카이브를 수집한다.”] class step12 action op_collect_methods((“AND”)) class op_collect_methods operator step13[“<b>행동</b> – <b>T1113 화면 캡처</b>, <b>T1123 오디오 캡처</b>, <b>T1125 비디오 캡처</b>, <b>T1115 클립보드 데이터</b><br/>화면, 마이크, 웹캠 및 클립보드 내용을 기록한다.”] class step13 action step14[“<b>행동</b> – <b>T1074.001 로컬 데이터 준비</b><br/>수집된 파일을 임시 위치에 ZIP 또는 RAR로 압축한다.”] class step14 action step15[“<b>행동</b> – <b>T1102.002 웹 서비스 양방향 통신</b><br/>Telegram 봇 또는 그룹을 사용해 C2 및 데이터 유출을 수행한다.”] class step15 action tool_telegram[“<b>도구</b> – <b>이름</b>: Telegram Bot<br/><b>설명</b>: Telegram을 통한 양방향 C2 통신을 가능하게 한다.”] class tool_telegram tool step16[“<b>행동</b> – <b>T1568.002 동적 도메인 생성 알고리즘</b><br/>시간 기반 값으로 C2 도메인을 생성한다.”] class step16 action step17[“<b>행동</b> – <b>T1497 가상화 샌드박스 회피</b><br/>Deep Freeze와 같은 분석 도구를 감지하면 실행을 종료한다.”] class step17 action step18[“<b>행동</b> – <b>T1564 아티팩트 은폐</b><br/>탐지를 피하기 위해 악성 프로세스와 파일을 종료하고 이름을 변경한다.”] class step18 action %% Connections showing the attack flow step1 –>|leads_to| step2 step2 –>|executes| malware_inf malware_inf –>|triggers| step3 step3 –>|leads_to| step4 step4 –>|establishes| step5 step5 –>|enables| step6 step6 –>|enables| step7 step7 –>|provides| step8 step8 –>|provides| step9 step9 –>|provides| step10 step10 –>|provides| step11 step11 –>|provides| step12 step12 –>|feeds| op_collect_methods op_collect_methods –>|combines| step13 step13 –>|feeds| step14 step14 –>|prepares| step15 step15 –>|uses| tool_telegram tool_telegram –>|supports| step16 step16 –>|supports| step17 step17 –>|supports| step18

공격 흐름