이란의 사이버 패러독스: 저하된 APT, 증가하는 프록시 및 부트킷 와이퍼

graph TB %% 클래스 정의 classDef technique fill:#e6f7ff classDef tool fill:#ffeb99 classDef malware fill:#ffcccc %% 기술 노드 technique_valid_accounts[“<b>기술</b> – T1078 유효한 계정<br/><b>설명</b>: 탈취되거나 획득된 인증 정보를 사용하여 초기 접근을 수행함.”] class technique_valid_accounts technique technique_exploit_remote[“<b>기술</b> – T1210 원격 서비스 공격<br/><b>설명</b>: 취약한 서비스(CVE-2021-26868, CVE-2024-0012, CVE-2024-5591 등)를 악용하여 측면 이동 및 시스템 제어 수행.”] class technique_exploit_remote technique technique_persistence_registry[“<b>기술</b> – T1547.001 레지스트리 실행 키 / 시작 프로그램 폴더<br/><b>설명</b>: HKCU/HKLM Run 키 또는 시작 프로그램 폴더를 이용해 지속성 확보.”] class technique_persistence_registry technique technique_c2_external_proxy[“<b>기술</b> – T1090.002 외부 프록시<br/><b>설명</b>: C2 트래픽을 외부 프록시 서버를 통해 라우팅하여 인프라를 은폐함.”] class technique_c2_external_proxy technique technique_c2_web[“<b>기술</b> – T1071.001 웹 프로토콜(HTTP/S)<br/><b>설명</b>: HTTP/S(TCP/443)를 이용한 C2 통신.”] class technique_c2_web technique technique_execution_ps[“<b>기술</b> – T1059.001 PowerShell<br/><b>설명</b>: PowerShell을 사용하여 파일 다운로드, 시스템 조작 및 페이로드 실행 수행.”] class technique_execution_ps technique technique_remote_access[“<b>기술</b> – T1219 원격 접근 도구<br/><b>설명</b>: 대화형 원격 세션을 제공하는 백도어 배포.”] class technique_remote_access technique technique_credential_exploit[“<b>기술</b> – T1212 인증 정보 악용<br/><b>설명</b>: 탈취된 인증 정보를 사용하여 장치에 직접 인증 수행.”] class technique_credential_exploit technique technique_impact_preos[“<b>기술</b> – T1542 Pre-OS 부팅<br/><b>설명</b>: 운영체제 이전 단계에서 부팅 구성 요소를 변경하여 영향력 확보.”] class technique_impact_preos technique technique_impact_data_destruction[“<b>기술</b> – T1485 데이터 파괴<br/><b>설명</b>: 중요한 데이터를 손상 또는 삭제함.”] class technique_impact_data_destruction technique technique_impact_disk_wipe[“<b>기술</b> – T1561.001 디스크 삭제<br/><b>설명</b>: 디스크 섹터를 덮어써 시스템을 사용 불가능하게 만듦.”] class technique_impact_disk_wipe technique %% 도구 및 멀웨어 tool_dustyproxy[“<b>도구</b> – DUSTYPROXY<br/><b>설명</b>: Run 레지스트리 키를 통해 설치되는 C# 프록시 클라이언트. 외부 프록시로 트래픽 전달.”] class tool_dustyproxy tool malware_eriesnake_go[“<b>멀웨어</b> – ERIESNAKE.GO<br/><b>설명</b>: Go 기반 백도어. 인터랙티브 세션 제공, PowerShell 실행, HTTP/443 통신 수행.”] class malware_eriesnake_go malware malware_rusty_boots[“<b>멀웨어</b> – Rusty Boots<br/><b>설명</b>: OS 재설치 후에도 유지되는 부트킷 와이퍼로 부팅 영역 손상.”] class malware_rusty_boots malware malware_mokhargosh[“<b>멀웨어</b> – MoKhargosh<br/><b>설명</b>: 산업 시스템을 무력화하는 부트킷 기반 와이퍼.”] class malware_mokhargosh malware %% 흐름 technique_valid_accounts –>|다음| technique_exploit_remote technique_exploit_remote –>|가능하게 함| technique_persistence_registry technique_persistence_registry –>|사용| tool_dustyproxy tool_dustyproxy –>|설치| technique_persistence_registry tool_dustyproxy –>|프록시 라우팅| technique_c2_external_proxy technique_c2_external_proxy –>|통신| technique_c2_web technique_c2_web –>|실행 지원| technique_execution_ps technique_execution_ps –>|실행| malware_eriesnake_go malware_eriesnake_go –>|제공| technique_remote_access technique_remote_access –>|악용| technique_credential_exploit technique_credential_exploit –>|도달| technique_impact_preos technique_impact_preos –>|활성화| technique_impact_data_destruction technique_impact_data_destruction –>|파괴| technique_impact_disk_wipe technique_impact_preos –>|구현| malware_rusty_boots technique_impact_preos –>|구현| malware_mokhargosh %% 스타일 class technique_valid_accounts,technique_exploit_remote,technique_persistence_registry,technique_c2_external_proxy,technique_c2_web,technique_execution_ps,technique_remote_access,technique_credential_exploit,technique_impact_preos,technique_impact_data_destruction,technique_impact_disk_wipe technique class tool_dustyproxy tool class malware_eriesnake_go,malware_rusty_boots,malware_mokhargosh malware

공격 흐름