무기화된 RAR 아카이브, 태국 의료 부문 타겟팅에 사용

"graph TB %% 클래스 정의 섹션 classDef action fill:#99ccff classDef tool fill:#cccccc classDef malware fill:#ff9999 classDef persistence fill:#ccffcc classDef exfiltration fill:#ffccff %% 노드 정의 action_phishing["<b>행동</b> – <b>T1566.001 피싱: 스피어 피싱 첨부파일</b><br/>설명: 건강 관리 테마의 이메일에 포함된<br/>Health_Ministry_Approved_Equipment_2026.rar와 같은 악성 RAR 아카이브"] class action_phishing action action_user_exec["<b>행동</b> – <b>T1204.002 사용자 실행: 악성 파일</b><br/>설명: 희생자가 아카이브를 열고<br/>내장된 악성 배치 스크립트를 실행"] class action_user_exec action tool_powershell["<b/>도구 – <b/>이름: PowerShell<br/><b>기법</b> – T1059.001 명령 및 스크립팅 인터프리터: PowerShell<br/>설명: 내장된 콘텐츠를 디코딩하고<br/>다음 단계의 다운로드를 시작하는 데 사용됨"] class tool_powershell tool action_ingress["<b/>행동 – <b/>T1105 도구 전송 도입</b><br/>설명: PowerShell 및 curl을 사용하여 GitHub에 호스팅된 저장소에서 2차 페이로드를 다운로드"] class action_ingress action malware_persistence["<b/>행동 – <b>T1547.001 부팅 또는 로그인 자동 시작 실행: 레지스트리 실행 키 / 시작 폴더</b><br/>설명: 악성 배치 파일 WindowSecuryt.bat이<br/>지속성을 위해 Windows 시작 폴더에 배치됨"] class malware_persistence persistence action_elevation["<b/>행동 – <b/>T1548 권한 상승 메커니즘 남용</b><br/>설명: 2차 배치 페이로드 u-t2.bat이<br/>권한 상승으로 재실행을 시도"] class action_elevation action malware_stealer["<b/>악성 소프트웨어 – <b/>이름: sim.py<br/>설명: 민감한 데이터를 수확하도록 설계된 파이썬 기반 정보 탈취자"] class malware_stealer malware action_credentials["<b/>행동 – <b>T1555.003 웹 브라우저에서 자격 증명</b><br/>설명: 브라우저 프로세스를 종료하여<br/>자격 증명, 쿠키 및 세션 아티팩트를 수확"] class action_credentials action action_archive["<b/>행동 – <b>T1560 수집된 데이터 아카이브</b><br/>설명: 탈취한 데이터를 ZIP 아카이브로 압축하여<br/>효율적인 수집"] class action_archive action action_exfiltration["<b/>행동 – <b>T1567 웹 서비스를 통한 데이터 유출</b><br/>설명: 수확한 데이터를 공격자 제어 Telegram 채널로 전송하여<br/>Telegram Bot API를 통한 유출"] class action_exfiltration exfiltration %% 연결 섹션 %% 공격은 피싱으로 시작됨 action_phishing –>|이끄는 상호작용| action_user_exec %% 사용자 실행은 인터프리터를 트리거 action_user_exec –>|트리거| tool_powershell %% PowerShell은 도입 수행 tool_powershell –>|실행| action_ingress %% 도입은 지속성 메커니즘 도입 action_ingress –>|다운로드| malware_persistence %% 지속성은 권한 상승 시도를 리드 malware_persistence –>|시작| action_elevation %% 권한 상승은 탈취자 배포로 이어짐 action_elevation –>|배포| malware_stealer %% 탈취자는 자격 증명 수확 수행 malware_stealer –>|수행| action_credentials %% 수확은 아카이빙으로 연결 action_credentials –>|결과| action_archive %% 아카이빙은 최종 데이터 유출 촉진 action_archive –>|촉진| action_exfiltration "

공격 흐름