침해사고 타임라인

• 2018. 12. 19
  PSEXEC.EXE 생성 (원격 접속, 명령어 전송 프로그램)
• 2019. 01. 08

  • 01.08 18:50
  • 01.09 09:20
  원격 접속 및 파일 다운로드

  • 21x.xxx.x.xx (KR)에서 defaultes 계정으로 RCP 접속 성공 (3회 접속)
  • archive.zip (이터널 블루 Tool 및 다수의 해킹 프로그램 다운로드)
• 2019. 04. 05

  • 04.05 11:33
  • 04.05 11:41
  • 04.05 11:45
  • 04.05 16:38
  1차 이터널 블루 취약점 공격

  • winlogon.exe, 악성파일 Dropper 생성 (연결 : 11x.xxx.xxx.xx (KR):xxxx)
  • 22x.xxx.xxx.xxx(KR)에서 dnsadmin 계정을 통하여 RDP, SMB 접속 (2회 접속)
  • 22x.xxx.xxx.xxx(KR)에서 Netuser 계정을 생성 및 접속 RDP, SMB 접속 (6회 접속)
  • EternalBlue 취약점 프로그램 실행, 내부 네트워크 대역 공격 시도(1차, 취약한 PC정보수집)
• 2019. 04. 06

  • 04.06 11:03
  • 04.08 10:34
  • 04.08 10:58
  2차 이터널 블루 취약점 공격

  • svchost.exe 생성 (IP 스캐너)
  • DiskCryptor console 파일 생성
  • EternalBlue 취약점 프로그램 실행, 내부 네트워크 대역 공격 시도(2차, 취약한 PC정보수집)
• 2019. 04. 09

  • 04.09 10:39
  • 04.09 15:09
  • 04.12 15:32
  • 04.15 09:50
  • 04.15 15:20
  악성파일 다운로드 및 DiskCrytor 서비스 등록

  • extemDC.zip (DiskCryptor 프로그램, PSEXEC 등 다운로드)
    (ftp://158.50.33.20(HK)/downloads/tmp/4/newfolder/extemDC.zip)
  • 취약점이 존재하는 PC에 대하여 PSEXEC 및 DiskCryptor 서비스 등록 진행
  • EternalBlue 취약점 프로그램 실행, 내부 네트워크 대역 공격 시도(3차, 취약한 PC정보수집)
  • EternalBlue 취약점 프로그램 실행, 내부 네트워크 대역 공격 시도(4차, 취약한 PC정보수집)
  • 대상 PC에 대한 Disk 암호화 및 shutdown 스케줄 등록 진행
• 2019. 04. 15

  • 04.15 19:50
  스케줄에 의한 시스템 종료