공격 기법 완전 분석
& 탐지 방법 가이드

• 1
  공격자가 ReflectiveLoader 함수가 포함된 특수 제작 .dll을 준비
• 2
  VirtualAllocEx → 타겟 프로세스 메모리에 충분한 공간 할당 (RWX)
• 3
  WriteProcessMemory → .dll 파일 내용 전체를 할당한 메모리에 직접 복사
• 4
  CreateRemoteThread → ReflectiveLoader 함수 주소부터 실행 시작
• 5
  ReflectiveLoader가 스스로 메모리에서 DLL을 파싱하고 재배치(relocation) 처리
• 6
  DllMain 호출 → 악성 코드 실행. 디스크에는 아무 파일도 없음.

• 1
  CreateProcess(CREATE_SUSPENDED) → 정상 프로세스를 일시 정지 상태로 생성
• 2
  NtQueryProcessInformation → 프로세스 베이스 주소 획득
• 3
  NtUnmapViewOfSection → 원본 실행 이미지를 메모리에서 제거 (껍데기만 남김)
• 4
  VirtualAllocEx → 악성 PE 이미지 크기만큼 메모리 새로 할당
• 5
  WriteProcessMemory → 악성 PE 헤더 + 섹션(.text, .data 등) 삽입
• 6
  SetThreadContext → 메인 스레드의 RCX(진입점 레지스터)를 악성 코드 EntryPoint로 변경
• 7
  ResumeThread → 실행 재개. 이제 svchost.exe는 악성 코드를 실행하는 프로세스.

• 1
  OpenProcess → 이미 실행 중인 타겟 프로세스 핸들 획득
• 2
  VirtualAllocEx → 악성 PE 이미지 크기만큼 RWX 메모리 할당
• 3
  WriteProcessMemory → PE 헤더 + 섹션 전체 복사
• 4
  삽입된 PE의 재배치(relocation) 처리 및 Import 테이블 수정
• 5
  CreateRemoteThread → 삽입된 PE의 EntryPoint에서 새 스레드 시작

• 1
  OpenProcess + OpenThread → 타겟 프로세스와 스레드 핸들 획득
• 2
  VirtualAllocEx → 타겟 프로세스에 RWX 메모리 할당
• 3
  WriteProcessMemory → 악성 shellcode/코드 삽입
• 4
  QueueUserAPC(악성함수주소, 타겟스레드) → APC 큐에 악성 함수 등록
• 5
  타겟 스레드가 SleepEx(ms, TRUE) 같은 Alertable 함수를 호출하는 순간 자동 실행

• 1
  CreateProcess(CREATE_SUSPENDED) → 새 프로세스를 일시 정지 상태로 생성
• 2
  프로세스는 일시 정지 상태. AV/EDR은 아직 이 프로세스에 훅을 설치하지 않은 상태.
• 3
  VirtualAllocEx + WriteProcessMemory → 악성 코드를 RWX 메모리에 삽입
• 4
  QueueUserAPC → 메인 스레드의 APC 큐에 악성 함수 등록
• 5
  ResumeThread → 프로세스 실행 재개
• 6
  프로세스 초기화(ntdll.dll LdrInitializeThunk) 과정에서 APC가 자동 실행
• 7
  AV/EDR 훅 설치 전에 악성 코드가 이미 실행 완료됨

• 1
  OpenProcess + OpenThread → 타겟 프로세스/스레드 핸들 획득
• 2
  SuspendThread → 타겟 스레드 강제 일시 정지
• 3
  GetThreadContext → 현재 스레드 레지스터 상태(RIP 포함) 전체 저장
• 4
  VirtualAllocEx + WriteProcessMemory → 악성 코드 + 복귀 코드 삽입
• 5
  SetThreadContext(RIP = 악성코드주소) → 다음 실행 위치를 악성 코드로 변조
• 6
  ResumeThread → 스레드 재개. 악성 코드부터 실행.
• 7
  (정교한 버전) 악성 코드 실행 완료 후 저장해둔 원래 RIP로 복귀 + 모든 레지스터 복원됨

• 1
  CreateTransaction → NTFS 트랜잭션 시작
• 2
  CreateFileTransacted → 트랜잭션 내에서 임시 파일 생성
• 3
  WriteFile → 악성 PE 코드를 임시 파일에 씀 (트랜잭션 내부 → 디스크에 아직 안 쓰임)
• 4
  NtCreateSection(임시파일) → 이 파일로부터 메모리 섹션 생성
• 5
  RollbackTransaction → 트랜잭션 롤백. 임시 파일이 디스크에서 완전히 사라짐.
• 6
  NtCreateProcessEx(섹션) → 방금 만든 섹션으로부터 프로세스 생성
• 7
  프로세스가 실행되지만, 원본 파일은 디스크에 존재하지 않음

• 1
  Doppelgänging 방식으로 트랜잭션 내에서 정상 실행 파일 기반 섹션 생성
• 2
  RollbackTransaction → 트랜잭션 롤백. 파일 흔적 제거.
• 3
  정상 섹션으로 SUSPENDED 프로세스 생성 (겉모습은 정상 프로세스)
• 4
  Hollowing 방식으로 프로세스 메모리 내용을 악성 PE로 교체
• 5
  SetThreadContext + ResumeThread → 악성 코드 실행 시작

• 1
  OpenProcess → 타겟 프로세스 핸들 획득
• 2
  VirtualAllocEx(PAGE_EXECUTE_READWRITE) → 타겟 프로세스에 RWX 메모리 할당
• 3
  WriteProcessMemory → shellcode 바이트 배열을 할당한 메모리에 직접 복사
• 4
  실행 트리거 선택: CreateRemoteThread / Thread Hijacking / APC / 콜백 기반

• 1
  자주 사용되는 COM 객체의 CLSID 식별 → explorer.exe, 시스템 서비스 등이 자동 로드하는 대상
• 2
  레지스트리 InprocServer32 키 변조:
  HKEY_CLASSES_ROOT\CLSID\{CLSID}\InprocServer32
• 3
  또는 HKCU 하이브에 동일 키 생성 (관리자 권한 불필요):
  HKCU\Software\Classes\CLSID\{CLSID}\InprocServer32
• 4
  이후 COM 객체를 사용하는 정상 프로세스가 실행될 때 악성 DLL이 해당 프로세스 메모리에 자동 로드됨

• 1
  타겟 프로그램이 로드하는 DLL 이름 파악 → 예: version.dll, winmm.dll
• 2
  해당 DLL 이름과 동일한 악성 DLL 제작
• 3
  프로그램 실행 폴더(검색 1순위)에 악성 DLL 배치
• 4
  프로그램 실행 시 System32의 정상 DLL 대신 악성 DLL이 먼저 발견되어 로드됨

• 1
  정상 DLL을 다른 이름으로 복사 → 예: version_orig.dll
• 2
  악성 DLL을 원래 이름으로 배치 → version.dll
• 3
  악성 DLL 내부에 "Export Forwarding" 설정 → 모든 정상 함수 호출을 version_orig.dll로 전달
• 4
  프로그램은 정상 동작 (실제 함수는 version_orig.dll에서 처리)
• 5
  악성 DLL은 DllMain에서 추가 악성 코드 실행

$wmi = [wmiclass]"Win32_Process"
$wmi.Create("powershell -Enc [Base64payload]")
# 프로세스 트리에서 부모가 WmiPrvSE.exe로 나타남

WMI 영속성 구성 요소 3가지:

• 1
  __EventFilter: 트리거 조건 (예: 부팅 후 60초)
• 2
  __EventConsumer: 실행할 명령 (예: PowerShell 악성 스크립트)
• 3
  __FilterToConsumerBinding: 필터-컨슈머 연결