> For the complete documentation index, see [llms.txt](https://h08.gitbook.io/undefined/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://h08.gitbook.io/undefined/undefined-1/1..md). # 1. 공격 시나리오 개요 ### 1. 인프라를 포함한 전체 구성도
**Threat Actor → Web Server → Public DB → Bastion Host → Admin DB → Ransomware** * 초기 진입 : 웹 애플리케이션 취약점으로 Web shell 업로드 * 내부 확장 : DB 자격 증명 탈취 및 Reverse Shell * 횡적 이동 : PEM 키를 통한 Bastion Host·Admin DB 침투 * 최종 파괴 : 랜섬웨어 실행 및 피해 발생 ### 2. 설명 #### **2.1. 초기 침투 – 웹 서버** * 공격자가 웹 서버의 파일 업로드 취약점을 악용 * 정상 이미지로 위장한 **Webshell.php.jpg** 업로드 * 웹 서버가 공격자의 명령을 실행할 수 있는 발판 확보 #### **2.2. 자격 증명 탈취 – Public DB 접근** * 웹쉘을 통해 서버 내부의 **db\_conn.php** 파일 등에서 DB 연결 계정 정보를 수집 * 확보한 자격 증명을 사용해 내부망1의 **Public DB**에 접근 #### **2.3. 권한 상승 및 원격 제어** * Public DB의 **UDF 기능, SUID 취약점**을 악용 * DB 서버에서 권한을 상승시키고 **Reverse Shell** 연결 * 공격자가 Public DB를 발판으로 내부망을 탐색 #### **2.4. PEM 키 탈취 – Lateral Movement** * Public DB 내부 또는 연결된 경로에서 **WHSkey.pem**(SSH 키) 파일을 확보 * 탈취한 키로 **Bastion Host**에 접근 * Bastion Host를 거점으로 내부망2로 이동 #### **2.5. Admin DB 침투** * Bastion Host를 통해 **Admin DB** 서버에 접근 * PEM 키 인증을 우회해 내부 민감 자산에 연결 * 기밀 및 민감 데이터를 수집 #### **2.6. 최종 공격 – 랜섬웨어 실행** * **Zamok 랜섬웨어**를 Admin DB 서버에 업로드 및 실행 * 데이터 암호화 및 시스템 마비 * 금전적 요구 단계로 진입 *** ### 3. (시간임의) 타임라인
*** ### 4. MITRE ATT\&CK 매핑
Number TID 기법 이름 Tactic (전술) 세부 설명
1 T1190 Exploit Public-Facing Application Initial Access 외부 노출된 취약점을 활용한 초기 접근 권한 확보
2 T1552.001 Unsecured Credentials:
Credentials in Files 		Credential Access 웹 루트 내에서 수동으로 DB 인증
정보 획득
3 T1059 Command and Scripting Interpreter Execution 리버스쉘 연결
4 T1071.001

Application Layer Protocol

Command and Control

리버스쉘 연결
5 T1505.003 Web Shell Execution 웹쉘 설치
6 T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid Privilege Escalation 잘못 권한 부여된 프로그램(SUID)
악용
7 T1552.004 Unsecured Credentials: Private Keys Credential Access 보호되지 않은 개인키 탈취
8 T1021.004 Remote Services: SSH Lateral Movement 탈취한 SSH 키로 베스천 호스트
침투
9 T1018 Remote System Discovery Discovery 정보수집을 통한 내부망 확인
10 T1133 External Remote Services Persistence,
Initial Access 		원격 접속 취약점
11 T1036.005 Masquerading:
Match Legitimate Name or Location 		Defense Evasion 확장자명 우회
12 T1059.004 Command and Scripting Interpreter Execution 쉘 명령어 실행
13 T1546.006 Event Triggered Execution: User Execution Privilege Escalation,
Persistence 		UDF 취약점
14 T1082 System Information Discovery Discovery 시스템 정보 수집
15 T1046 Network Service Discovery Discovery 포트스캔
16 T1485 Data Destruction Impact 데이터 삭제를 통한 자산 훼손
17 T1486 Data Encrypted for Impact Impact 데이터 암호화