1. 최초침투
- 외부에서 침투할 수 있는 포트가 열려있으면 브루트포스 공격을 통해 들어온다.
- RDP(원격 데스크톱) 계정을 무작위 대입 공격으로 탈취하는 것이다.
이때 윈도우 이벤트로그 중 Security.evtx를 주목해서 볼 필요가 있다.
2. 방어회피
- dControl.exe를 사용해서 윈도우 디펜더를 무력화는 행위를 하거나
- 백신 소프트웨어를 제거하거나 동작을 못하게 핵심 .sys 파일을 삭제할 수도 있다.
- 이는 내부에서 정보를 수집하는 악성 도구가 백신에 탐지되지 않게 하기 위함이다.
3. 정찰(내부 정보 수집)
- 공격자는 처음 들어오는 내부이다. 내부망을 탐색하기 위해서 정찰을 수행한다.
- https://www.nirsoft.net/에서 제공하는 네트워크 스캔 도구, 비밀번호 도구들로 다양한 정보 수집을 진행한다.
- Mimikazt(미미카츠)도 굉장히 많이 사용하는 편이다.
lsass.exe나 rundll32.exe 프로세스를 사용한다면 주목해야한다. (TTPs)
4. 내부이동(레터럴 무브먼트)
- 수집한 정보를 기반으로 목적 시스템까지 이동한다.
5. 목적달성(랜섬웨어 실행)
- 목적지에 도착하면 랜섬웨어를 실행한다.
6. Hide Artifacts(아티팩트 숨기기)
- 공격자는 감지를 피하기 위해 자신의 행동과 관련된 아티팩트를 숨기려고 시도할 수 있다.
- 뛰어난 공격자라면 이걸 잘해낸다.
- 랜섬웨어 실행도 APT 공격에 대한 흔적과 관련된 파일들을 읽지 못하게 하기 위해 진행한 것일 수도 있다.
- 본인의 공인IP를 감추기 위해 다양한 가짜 정보를 흩뿌릴 수도 있다.
- 랜섬웨어 공격은 대부분 파일 삭제는 기본이다.
- 표준 시간대를 바꿔 타임라인 기반 분석을 어렵게 할 수도 있다.
