Quick Assist 전체 제어 모드 활성화

요약

위협 행위자는 Microsoft Quick Assist를 악용하여 사회 공학적 수법과 가짜 헬프 데스크 운영을 지원하고 있습니다. 전체 제어 공유 모드가 활성화되면 공격자는 피해자의 장치에 완전한 대화형 접근 권한을 얻을 수 있습니다. 이 기술은 랜섬웨어 사건 및 기타 형태의 무단 원격 액세스 초기 단계에서 자주 사용됩니다.

조사

조사관은 Quick Assist 공급자와 관련된 Windows 애플리케이션 로그를 검토해야 합니다. 특히 setsharingmode 이 포함된 FullControl 매개변수에 주의해야 합니다. 이러한 이벤트는 QuickAssist.exe 프로세스 원격 측정, 포함된 부모 프로세스 및 명령줄 세부 사항과 상관관계가 있어야 합니다. 또한, 세션이 합법적인 IT 지원 요청 및 승인된 지원 인력과 일치하는지 확인하는 것도 중요합니다.

완화

조직은 Quick Assist가 환경 전체에서 계속 활성화되어야 하는지 또는 정책에 의해 제한되어야 하는지를 평가해야 하며, 특히 고가치 시스템에서는 더욱 그렇습니다. 원격 지원 도구에 대한 보다 엄격한 통제를 시행하면 공격 표면을 줄일 수 있습니다. 또한 전체 제어 공유 모드로의 무단 전환에 대한 애플리케이션 로그의 지속적인 모니터링도 권장됩니다.

대응

악의적인 사용이 확인된 경우, Quick Assist 세션을 즉시 종료하고 영향을 받은 호스트를 격리해야 합니다. 대화형 세션 중 노출되었을 수 있는 자격 증명을 재설정하십시오. 복구 작업을 시작하기 전에 포렌식 분석을 위해 애플리케이션 로그와 관련된 세션 원격 측정을 보존하십시오.

시뮬레이션 실행

전제 조건: 원격 측정 및 기본선 사전 비행 점검이 통과해야 합니다.

이유: 이 섹션은 탐지 규칙을 트리거하도록 설계된 적대적 기술(TTP)의 정확한 실행을 설명합니다. 명령 및 내러티브는 식별된 TTP를 직접 반영해야 하며 탐지 논리에 의해 예상되는 정확한 원격 측정을 생성하는 것을 목표로 해야 합니다. 추상적이거나 관련 없는 예는 오진으로 이어질 수 있습니다.

• 공격 내러티브 및 명령: 적대자는 사회 공학 공격을 시작하여 사용자를 설득하여 Microsoft Quick Assist를 열도록 합니다. 연결이 설정되면, 적대자는 “전체 제어” 모드를 요청하여 세션 내에서 권한을 상승시키려 시도합니다. 이 작업은 Windows 애플리케이션 로그의 Quick Assist 공급자 내에서 특정 이벤트를 트리거하며, 문자열 FullControl*setsharingmode*을 포함합니다. 이 시뮬레이션은 Windows 애플리케이션 로그에 특정 이벤트를 수동으로 주입하여 실제 UI 상호작용을 우회하여 탐지 논리가 param1 필드를 올바르게 구문 분석하는지 확인합니다.

• 회귀 테스트 스크립트:

  # 시뮬레이션 스크립트: Quick Assist 이벤트를 수동으로 주입하여 탐지를 트리거합니다
  # 참고: 애플리케이션 로그에 기록하려면 관리자 권한이 필요합니다.
  
  $provider = "Quick Assist"
  $eventId = 0
  $param1 = "FullControl*setsharingmode* - 사용자: Attacker"
  
  # EventCreate 유틸리티 또는 .NET을 사용하여 공급자 이벤트를 시뮬레이션합니다
  # CLI를 통해 특정 공급자를 쉽게 위조할 수 없으므로
  # 규칙에서 예상하는 로그 엔트리 구조를 시뮬레이션합니다.
  
  Write-EventLog -LogName Application -Source "Quick Assist" -EventId $eventId -EntryType Information -Message "Mode changed: $param1"
  
  Write-Host "시뮬레이션 이벤트가 애플리케이션 로그에 주입되었습니다."

• 정리 명령:

  # 이벤트 로그에 대한 직접적인 정리는 필요하지 않지만, 실제 환경에서는
  # 가능한 경우 특정 이벤트를 삭제하거나 주입 시간만 기록하면 됩니다.
  Write-Host "시뮬레이션이 완료되었습니다. OS 구성에 시스템 변경은 없습니다."