APT15 사이버 첩보: 캠페인 및 TTP 분석

시뮬레이션 실행

전제 조건: Telemetry & Baseline Pre‑flight Check가 통과되어야 합니다.

공격 내러티브 & 명령어:

1. 준비: 적은 이미 사용자 계정을 손상시키고 엔드포인트에 상륙했습니다.
2. 데이터 준비 (T1059.003): 정확한 xcopy 과거 APT15 활동에서 관찰된 구문을 사용하여 공격자는 피해자의 데스크톱 파일을 숨겨진 WMI 임시 폴더로 복사하며, 시스템 활동에 자연스럽게 어우러지도록 타임스탬프를 유지합니다 (/D:09-29-2021).
3. 페이로드 실행 (T1218.002): 그 후 공격자는 rundll32.exe 단명 경로 (C:DOCUME~1ALLUSE~1IEHelpermshtml.dll)를 사용하여 지속성을 키고자 악성 자바스크립트를 실행합니다.
4. 결과물: 두 명령은 모두 Sigma 규칙의 selection1 and selection2 와 각각 일치하는 구별되는 프로세스 생성 이벤트를 발생시키며 경고를 트리거합니다.

회귀 테스트 스크립트:

# -------------------------------------------------
# APT15 시뮬레이션 스크립트 – Sigma 규칙을 트리거
# -------------------------------------------------

# 1. 준비 디렉토리 및 더미 파일 생성
$src = "C:usersREDACTEDDesktop"
$dst = "C:windowstempwmi"
New-Item -Path $src -ItemType Directory -Force | Out-Null
New-Item -Path $dst -ItemType Directory -Force | Out-Null
Set-Content -Path "$srcsecret.txt" -Value "sensitive data" -Encoding UTF8

# 2. APT15에서 사용한 정확한 xcopy 명령어 실행
$xcopyCmd = "xcopy /D:09-29-2021 /S/Y/C c:usersREDACTEDDesktop c:windowstempwmi"
Invoke-Expression $xcopyCmd

# 3. 악성 DLL 배포 (합법적인 DLL 복제로 시뮬레이션)
$malDllSrc = "$env:SystemRootSystem32mshtml.dll"
$malDllDst = "C:DOCUME~1ALLUSE~1IEHelpermshtml.dll"
New-Item -Path (Split-Path $malDllDst) -ItemType Directory -Force | Out-Null
Copy-Item -Path $malDllSrc -Destination $malDllDst -Force

# 4. APT15 인수 패턴으로 rundll32 실행
$rundllCmd = "rundll32.exe C:DOCUME~1ALLUSE~1IEHelpermshtml.dll, IEHelper"
Invoke-Expression $rundllCmd

# -------------------------------------------------
# 시뮬레이션 종료
# -------------------------------------------------

정리 명령어:

# 준비 파일 및 디렉토리 제거
Remove-Item -Path "C:usersREDACTEDDesktopsecret.txt" -Force -ErrorAction SilentlyContinue
Remove-Item -Path "C:windowstempwmi" -Recurse -Force -ErrorAction SilentlyContinue

# 가짜 IEHelper 폴더 및 DLL 제거
Remove-Item -Path "C:DOCUME~1ALLUSE~1IEHelper" -Recurse -Force -ErrorAction SilentlyContinue

# 선택 사항: Sysmon 중지 (테스트에만 필요할 경우)
# & "$env:ProgramFilesSysinternalsSysmon.exe" -u