Gladinet CentreStack/Triofox의 취약 암호화 취약점에 대한 적극적 악용

graph TB %% Class definitions classDef action fill:#99ccff classDef data fill:#ffeb99 classDef process fill:#ffcc99 classDef tool fill:#cccccc classDef file fill:#c2f0c2 classDef network fill:#d9b3ff %% Nodes action_exploit_public_facing[“<b>행위</b> – <b>T1190 공개 노출 애플리케이션 악용</b><br/><b>설명</b>: Gladinet CentreStack/Triofox의 ViewState 역직렬화 취약점을 악용하여 web.config를 획득한다.”] class action_exploit_public_facing action data_webconfig[“<b>데이터</b> – web.config<br/><b>포함</b>: 정적 machineKey(AES 키 및 IV).”] class data_webconfig data action_data_from_config[“<b>행위</b> – <b>T1602 구성 저장소로부터 데이터 수집</b><br/><b>설명</b>: web.config에서 정적 machineKey를 추출한다.”] class action_data_from_config action action_obfuscation[“<b>행위</b> – <b>T1027 난독화된 파일 또는 정보</b><br/><b>설명</b>: 하드코딩된 키와 Base64로 인코딩된 PowerShell을 사용해 악성 활동을 은폐한다.”] class action_obfuscation action process_w3wp[“<b>프로세스</b> – w3wp.exe (IIS 워커)”] class process_w3wp process action_indirect_exec[“<b>행위</b> – <b>T1202 간접 명령 실행</b><br/><b>설명</b>: w3wp.exe가 cmd.exe를 실행하고 PowerShell을 구동한다.”] class action_indirect_exec action process_cmd[“<b>프로세스</b> – cmd.exe”] class process_cmd process action_powershell[“<b>행위</b> – <b>T1059.001 PowerShell</b><br/><b>설명</b>: Base64로 인코딩된 PowerShell을 실행하여 conqueror.exe를 다운로드한다.”] class action_powershell action tool_powershell[“<b>도구</b> – PowerShell”] class tool_powershell tool file_conqueror[“<b>파일</b> – C:\\Users\\Public\\conqueror.exe”] class file_conqueror file action_data_encoding[“<b>행위</b> – <b>T1132 데이터 인코딩</b><br/><b>설명</b>: 탐지 회피를 위해 PowerShell 페이로드를 Base64로 전송한다.”] class action_data_encoding action action_file_discovery[“<b>행위</b> – <b>T1083 파일 및 디렉터리 검색</b><br/><b>설명</b>: quser.exe를 사용하고 Huntress 디렉터리 및 기타 경로를 열거한다.”] class action_file_discovery action tool_quser[“<b>도구</b> – quser.exe”] class tool_quser tool action_remote_service[“<b>행위</b> – <b>T1210 원격 서비스 악용</b><br/><b>설명</b>: HTTP를 통해 185.196.11.207:8000에서 페이로드를 다운로드한다.”] class action_remote_service action network_endpoint[“<b>네트워크</b> – 185.196.11.207:8000”] class network_endpoint network %% Connections action_exploit_public_facing –>|leads_to| data_webconfig data_webconfig –>|enables| action_data_from_config action_data_from_config –>|leads_to| action_obfuscation action_obfuscation –>|used_by| process_w3wp process_w3wp –>|executes| action_indirect_exec action_indirect_exec –>|spawns| process_cmd process_cmd –>|executes| action_powershell action_powershell –>|uses| tool_powershell action_powershell –>|produces| file_conqueror action_powershell –>|relies_on| action_data_encoding action_data_encoding –>|applies_to| action_powershell action_powershell –>|triggers| action_remote_service action_remote_service –>|connects_to| network_endpoint action_remote_service –>|downloads| file_conqueror action_powershell –>|calls| action_file_discovery action_file_discovery –>|uses| tool_quser

공격 흐름