SHADOW-WATER-063의 Banana RAT: 빌드 서버에서 은행 사기로

시뮬레이션 실행

전제 조건: Telemetry & Baseline 예비 비행 검사에 합격해야 합니다.

이유: 이 섹션은 탐지 규칙을 트리거하도록 설계된 적대자 기술(C2 통신)의 정확한 실행 세부 정보를 설명합니다. 명령과 서사는 식별된 TTP를 직접 반영하며 탐지 로직이 예상하는 정확한 텔레메트리를 생성하는 것을 목표로 합니다.

• 공격 서사 및 명령:
  위협 행위자가 피해자 엔드포인트에 Banana RAT를 배포했습니다. 지속성을 유지하고 명령을 수신하기 위해, RAT는 하드코딩된 C2 인프라로 아웃바운드 통신을 시작합니다:

  1. HTTP 비콘 (IP 24.199.90.58:80): 로우 TCP 소켓을 열고 최소한의 HTTP GET 요청 전송.
  2. HTTPS 비콘 (IP 162.141.111.227:443): 를 사용하여 Invoke-WebRequest 로 C2 서버에 TLS를 사용하여 연결.
  3. 도메인 기반 비콘: 에 대한 DNS 조회 수행 c.windowsk-cdn.com, C2는 쿼리 볼륨을 모니터링합니다.

  세 가지 작업 모두 Sigma 규칙에서 최소한 하나의 선택에 타격을 극대화하기 위해 순차적으로 실행됩니다.

• 회귀 테스트 스크립트:

  # -------------------------------------------------
  # Banana RAT C2 통신 시뮬레이션 (TC-20260522-A1B2C)
  # -------------------------------------------------
  # 1. HTTP 비콘 24.199.90.58:80
  try {
      $httpClient = New-Object System.Net.Sockets.TcpClient("24.199.90.58",80)
      $stream = $httpClient.GetStream()
      $writer = New-Object System.IO.StreamWriter($stream)
      $writer.WriteLine("GET / HTTP/1.1")
      $writer.WriteLine("Host: 24.199.90.58")
      $writer.WriteLine("Connection: Close")
      $writer.WriteLine()
      $writer.Flush()
      $reader = New-Object System.IO.StreamReader($stream)
      $response = $reader.ReadToEnd()
      $writer.Dispose()
      $reader.Dispose()
      $httpClient.Close()
  } catch { Write-Error "HTTP 비콘 실패: $_" }
  
  # 2. HTTPS 비콘 162.141.111.227:443
  try {
      Invoke-WebRequest -Uri "https://162.141.111.227" -UseBasicParsing -TimeoutSec 10
  } catch { Write-Error "HTTPS 비콘 실패: $_" }
  
  # 3. 악성 도메인에 대한 DNS 쿼리
  try {
      Resolve-DnsName -Name "c.windowsk-cdn.com" -Type A -ErrorAction Stop
  } catch { Write-Error "DNS 쿼리 실패: $_" }
  
  # 시뮬레이션 종료

• 정리 명령:

  # -------------------------------------------------
  # 정리 – 남아 있는 소켓 또는 임시 파일 제거
  # -------------------------------------------------
  # 시뮬레이션으로 생성된 지속적 아티팩트는 없습니다.
  # 남아 있는 네트워크 연결이 없도록 하십시오:
  Get-NetTCPConnection -RemotePort 80,443 `
      | Where-Object {$_.RemoteAddress -in @("24.199.90.58","162.141.111.227")} `
      | ForEach-Object { Stop-Process -Id $_.OwningProcess -Force }
  # 후속 테스트에 영향을 미치지 않도록 DNS 캐시를 정리하세요
  Clear-DnsClientCache