APT28 그룹의 악성 프로그램 CredoMap_v2를 이용한 사이버 공격 (CERT-UA#4622)

시뮬레이션 실행

전제 조건: 원격 측정 및 기준선 사전 점검(pre-flight check)이 완료되어야 합니다.

이유: 이 섹션은 탐지 규칙을 트리거하도록 설계된 적의 기술(전술, 기술, 절차)의 정확한 실행을 상세히 설명합니다. 명령 및 내러티브는 식별된 TTP를 직접 반영해야 하며 탐지 논리에 의해 예상되는 정확한 원격 측정값을 생성하는 것을 목표로 합니다. 추상적이거나 관련 없는 예제는 오진으로 이어질 수 있습니다.

• 공격 내러티브 및 명령:
  APT28 운영자가 암호로 보호된 RAR 아카이브를 포함하는 피싱 이메일을 받습니다. 내부에는 UkrScanner.exe라는 자동 압축 풀기(SFX) 실행 파일이 있습니다. UkrScanner.exe. 피해자 기기에서 아카이브를 추출한 후, 운영자는 SFX 스텁을 실행하여 CredoMap_v2 멀웨어를 드롭하고 실행합니다. 실행된 UkrScanner.exe 프로세스 생성 이벤트를 생성하는데, 이는 탐지 규칙과 일치합니다.

  시뮬레이션 단계(테스트 호스트에서 수행):

  1. 더미 실행 파일 생성 UkrScanner.exe (안전을 위해 powershell.exe 의 복사).
  2. 더미 실행 파일을 실행하여 공격자의 SFX 파일 실행을 흉내냅니다.

• 회귀 테스트 스크립트:

  # ==============================
  # SFX(UkrScanner.exe)에서 CredoMap_v2 실행 시뮬레이션
  # ==============================
  $tempPath = "$env:TEMPUkrScanner.exe"
  
  # 1. 무해한 대리 페이로드 준비(powershell.exe의 복사본)
  Copy-Item -Path "$env:SystemRootSystem32WindowsPowerShellv1.0powershell.exe" -Destination $tempPath -Force
  
  # 2. 파일이 실행 가능하도록 보장
  Unblock-File -Path $tempPath
  
  # 3. 더미 SFX 스텁 실행(공격자가 파일을 실행하는 것을 시뮬레이션)
  Write-Host "더미 SFX 실행 파일 실행 중..."
  Start-Process -FilePath $tempPath -ArgumentList "-NoProfile -WindowStyle Hidden" -PassThru
  
  # 4. SIEM 수집을 위해 일시 정지
  Start-Sleep -Seconds 5
  Write-Host "시뮬레이션 완료. 프로세스 생성이 'UkrScanner.exe'로 끝나는 탐지를 위해 SIEM을 확인하십시오."

• 정리 명령:

  # 더미 실행 파일(있을 경우)이 시작한 남아 있는 powershell 프로세스 중지
  Get-Process -Name "powershell" -ErrorAction SilentlyContinue | Where-Object {$_.Path -like "*UkrScanner.exe"} | Stop-Process -Force
  
  # 더미 실행 파일 제거
  $tempPath = "$env:TEMPUkrScanner.exe"
  if (Test-Path $tempPath) {
      Remove-Item -Path $tempPath -Force
      Write-Host "정리 완료: $tempPath 제거됨"
  }