MDSEC의 레드팀 홍보 페이지 중 (출처: https://www.mdsec.co.uk/our-services/adversary-simulation/red-team-operations/)
IBM X-Force의 오펜시브 시큐리티 서비스 중 레드팀 (출처: https://www.ibm.com/downloads/cas/JZ38L39E)
| 카테고리 | 설명 |
|---|---|
| 예시 위협 | 2025년 1분기 국내 IT 업계를 공격한 APT 1337 |
| 상세정보 | 낮은 수준의 공격자. 금전적인 이득을 목표로 한 랜섬웨어 갱. 오픈소스 C2 및 툴을 활용해 공격함 |
| 목표 | 소스 코드 탈취 및 공급망 공격으로 인한 추가 피해자 확보 |
| 공격자 위치 | 외부 공격자(Outsider). 인터넷을 통해 침투. |
| C2 정보 | AWS, Azure, GCP 등을 이용한 클라우드 C2 서버 오픈소스 C2 프레임워크 Sliver HTTPS 비컨 및 에이전트 AWS, Azure, GCP 등을 이용한 리다이렉터 공격자 도메인 |
| TTP 개요 | 초기 침투 - 피싱 이메일, 페이로드 정보 수집 - 블러드 하운드 및 사내 위키 서버 권한 상승 - 액티브 디렉토리 기반 공격 횡적 이동 - PSExec, WinRM 등의 기본적인 윈도우 기반 횡적 이동 지속성 유지 - 없음. 목표 달성 - 소스 코드 탈취 및 랜섬웨어 배포 |
| 익스플로잇 | 제로데이 및 N-Day 익스플로잇 사용하지 않음. 피싱을 통한 초기 침투 |
| 레퍼런스 | APT 1337 CTI 분석 보고서 (링크) |
.png?alt=media&token=1e94af9e-76f2-48f3-8e7a-f895471cdbc5)
If you see this page, the nginx web server is successfully installed and working. Further configuration is required.
For online documentation and support please refer to
nginx.org.
Commercial support is available at
nginx.com.
Thank you for using nginx.
``` 실습이 모두 끝난 뒤 생성한 모든 리소스들을 폐기하려면 다음의 명령어를 이용한다. ``` terraform destroy ``` ## 마치며 수동으로 인프라를 구축하는 것보다 훨씬 더 간편하고 작전보안적으로도 안전한 테라폼 스크립트를 만들어봤다. 이번 테라폼은 HTTPS 리다이렉터 1개만 설치하는 아주 간단한 스크립트지만, 추후 SMTP 서버나 페이로드 다운로드 서버 등까지 합쳐서 전반적인 레드팀 인프라를 Infrastructure as Code 로만 만들어낼 수 있을 것이다. # old-네뷸라를 이용한 인프라 구축 # 도메인과 리다이렉터 설정 팀 서버, 네뷸라, 그리고 클라우드가 설정됐으니 이제 도메인과 리다이렉터를 설정해주자. 먼저 구입한 도메인에서 A 레코드를 만들고, 서브도메인을 만들어준다. 이 서브도메인은 리다이렉터 서버를 가르킬 것이며, 동시에 C2 프레임워크 리스너의 도착 URL이 될것이다. 아래의 예시는 A 레코드에 info 라는 서브 도메인을 만든 뒤, 그 서브 도메인을 리다이렉터 서버의 공인 아이피주소를 가르키고 있다.  레코드를 생성 후 조금 기다려본다. 그 뒤 `info.<도메인>`을 DNS 요청해보면 리다이렉터의 아이피가 반환될것이다. ``` ┌──(root㉿kali)-[/opt] └─# nslookup > info.koreambtihealth.com Server: 192.168.40.2 Address: 192.168.40.2#53 Non-authoritative answer: Name: info.koreambtihealth.com Address: <리다이렉터-주소> > ``` ### TLS와 HTTPS 작전보안을 위해서 비컨과 C2 프레임워크, 그리고 리다이렉터는 모두 HTTPS로 소통할 것이다. 그러기 위해선 서버측에서 TLS 인증서가 필요하다. 도메인을 구입하고 DNS 설정이 모두 끝났으니 `certbot` 을 통해 TLS 인증서를 발급받자. 먼저 certbot을 설치한다. ``` sudo apt update -y sudo apt install certbot -y ``` 이후, 포트 80이 닫혀있는지 확인한다. 아마도 전에 실행중이던 socat이 계속 실행중일 것이기 때문에 `ps faux` 등으로 PID를 찾아낸 뒤 프로세스를 죽인다. ``` netstat -tulpna | grep -i 80 ps faux sudo kill -9
# git clone
cd /opt
git clone https://github.com/ChoiSG/CloudflarePagesRedirector.git
cd ./CloudflarePagesRedirector
# index.js, [[catchall]].js 모두 동일하게 업데이트
└─$ vim/emacs/nano/code/whatever... ./functions/index.js
└─$ vim/emacs/nano/code/whatever... './functions/[[catchall]].js'
# 예시 결과
└─$ cat ./functions/index.js| head -10
export async function onRequest(context) {
// !! UPDATE ME !! - HARDCODED SECRETS. Use wrangler.toml if you prefer more opsec.
const SLIVER_ENDPOINT = "https://resources-en.shealthinsurance.com";
const LIGOLO_ENDPOINT = "https://resources-li.shealthinsurance.com";
const SERVICE_CF_ID = "<REDACTED>.access";
const SERVICE_CF_SECRET = "<REDACTED>";
const SLIVER_HEADER_NAME = ["testo-XHeader", "redteam-Client"];
const SLIVER_HEADER_VALUE = ["testov2", "v1.0.0"];
const SLIVER_UA = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.3339.396 Safari/537.36";
const LIGOLO_UA = "ligolo-ua";
| 종류 | 프로젝트 | |
|---|---|---|
| C2 프레임워크 | Powershell Empire, PoshC2, FudgeC2 | |
| 정보 수집 | PowerView, Invoke-PortScan, Powershell-AD-Recon, PSRecon | |
| 계정 정보 탈취 | Invoke-Mimikatz, Get-Keystrokes, Get-MicrophoneAudio | |
| 코드 실행 | Invoke-DLLInjection, Invoke-Shellcode, PowerPick | |
| Reflective PE Injection | Invoke-ReflectivePEInjection | |
| 파워쉘 난독화 | Invoke-Obfuscation, Chameleon | |
| Post-Exploitation | PowerSpoit, PowerTools, Nishang, Powershell Suite |
ESC8 에 취약하다는 것을 [!] Vulnerabilities 섹션을 통해 알려준다
다양한 ESC 관련 커스텀 쿼리들이 왼쪽에 보인다. ESC1에 취약한 인증서 양식을 클릭해보니 오른쪽과 같이 2개가 나타난다. (SubCA 는 거짓양성 결과다)
CT-FLAG-ENROLLEE-SUPPLIES-SUBJECT 를 비활성화 한다
Certificate Manager Approval 을 활성화 한다
