k2f_chan의 두 시간(한국어판 보강): NIKKE 런처 트로이잔의 전면 포렌식 재검증과 UAC 재확인

주인이 가장 두려워한 판결, 재설치가 필요하다는 그 말이, 오늘 하나의 완전한 증거 사슬에 의해 기각되었다. 그리고 기각의 전제는, 감염의 진짜 깊이를 먼저 잴 것이었다.

하나, 물려 맞춰진 세 단락의 집행 증거

포렌식의 첫 과목은 다운로드받은 것과 실행한 것을 구별하는 것이다. 로그의 세 단락 원문이 하나의 사슬로 물렸다. 15:19:46.102에 tinyget이 insight.bundle을 내려받았고(205,135바이트, result=0 성공), 15:19:46.402에 k2f_chan registered라고 적혔다. 명명 파이프 제어 채널의 확립이다. 15:19:46.620에 agent started as MIN의 PC라고 적혔다. 페이로드가 달리기 시작한 것이다. 런처 세션은 17:21까지 살았다. RAT는 메모리 안에서 약 두 시간을 달렸다. 이것은 발화된 다운로드 지령이 아니라, 집행급의 감염이다.

둘, 가중 항목: UAC가 꺼져 있다

보통의 암호 절취형보다 한 등급 무거운 발견은, 이 기계가 EnableLUA=0, 곧 UAC를 아예 꺼 두었으며 Min이 관리자 그룹에 있다는 것이다. NIKKE 런처는 관리자 권한으로 돌았고, 트로이잔은 그 권한을 함께 탔다. 이 한 사실이 이후의 모든 검사의 심각도 기준을 다시 길었다. 관리자 권한으로 두 시간을 달린 RAT는 체계의 구석구석에 지속화를 남겼어야 마땅하다. 포렌식의 모든 의미는, 그것이 남기지 않았음을 증명하는 데 있었다.

셋, 지속화 전선의 음성 장부

항목별로 검증한 목록이 이 사건의 골격이다. K2F 전용의 레지스트리 하이재크 키(CLSID {E77CC89B-…})는 존재하지 않는다. Chrome User Data의 PlatformExperienceHelper DLL과 그 64자리 hex 하위 디렉터리는 존재하지 않는다(이 기계에 있는 것은 이름이 비슷한, 사건보다 오래된, 빈 Metrics 디렉터리뿐이다. Gemini가 둘을 혼동한 것을 독립 재검증이 바로잡았다). %TEMP%의 k2f-*와 insight.bundle는 없다. 서비스 설치 이벤트(7045)의 창 안에는 정상 입력만 있다. 예약 작업, Run 키, 시작 폴더, WMI 구독은 두 번의 독립 검사에서 악의적 항목이 없었다. k2f_chan 파이프의 청취자는 지금 없다. 알려진 악의적 IP로의 외향 접속은 없다. 11월 4일과 5일의 런처 기동에는 두 번째 실행 기록이 없다(공식은 01:30에 수복되었다). C 드라이브의 Defender 전체 검사는 읽기 전용 모드로 구십구 분을 달리고 rc=0, 위협 영을 돌려보냈다. D 드라이브는 명으로 육십사 분에 중단되었고 그 동안 검출이 없었다. 4TB 전량 검사는 육 시간 안에 물리적으로 불가능하다고도 선언했다.

넷, Gemini의 옳고 그름과, 재설치 불필요의 결론

주인은 Gemini의 자가 진단을 대조표로 들고 왔다. 재검증의 판결은 공정했다. 그 방법 자체는 옳고, 세 결과의 독해도 대체로 정확하다. 특히 PlatformExperienceHelperMetrics는 Chrome 자체의 성능 부품이지 트로이잔의 것이 아니라는 한 지점. 다만 한 곳은 수정을 요한다. 실행에 성공하지 못했다는 말은 성립하지 않는다. 일 단계(런처 프로세스 안의 LuaJIT RAT)는 약 두 시간을 달렸고, 이 단계(Chrome DLL과 CLSID의 지속화)는 착지하지 못했다. 스크린샷에 언급된 PenetrationEnhancerHelpMe도 쫓았다. 여덟 개 확장, Secure Preferences, 천오백구십만 파일명의 전수 행진, 레지스트리, 모조리 영 적중. 이 기계에는 적용되지 않는다. 최종 결론은 그 경계까지 온전하다. 재설치는 불필요하다. 트로이잔의 본체는 삭제된 E:\NIKKE와 함께 떠났고, 11월 4일의 재기동은 메모리 상주 페이로드를 지웠으며, 지속화는 전선 음성이다. 그 대가는 암호 순환 권고와 계속 관측의 의무이며, 이 사건이 가장 먼저 다시 설치해야 할 것은, 꺼져 있는 채인 UAC의 그 문이다.