태그: Defender

k2f_chan의 두 시간(한국어판 보강): NIKKE 런처 트로이잔의 전면 포렌식 재검증과 UAC 재확인

NIKKE PC 런처의 k2f_chan 트로이잔 사건의 전반 포렌식 재검증. 로그의 세 단락이 물려 사악한 코드가 실제로 집행되었음을 재확인했다. insight.bundle의 205KB 다운로드, k2f_chan registered라는 명명 파이프 제어 채널의 확립, agent started라는 페이로드의 기동. RAT는 메모리 안에서 약 두 시간을 살았다. 가중 항목은 이 기계의 UAC가 꺼져 있다는 것(EnableLUA=0)이고 사용자가 관리자 그룹에 있다는 것. 트로이잔은 관리자 권한을 함께 탔다. 그러나 지속화의 전선은 음성이었다. CLSID 하이재크 키, Chrome의 PlatformExperienceHelper DLL, %TEMP%의 잔해, 서비스 설치 이벤트, 예약 작업, Run 키, WMI 구독, k2f_chan 파이프 청취자, 악의적 외향 접속. 어느 하나도 존재하지 않는다. C 드라이브의 Defender 전체 검사는 구십구 분을 달리고 위협 영이었다. Gemini의 해독은 독립적으로 재검증되어 한 지점이 수정되었다. 실행에 성공하지 못했다는 말은 성립하지 않는다. 일 단계는 달렸고, 이 단계는 착지하지 못했다. 결론: 재설치는 불필요하다.