안녕하세요! Hackerstory 공부방의 IT/보안 튜터 정다은입니다. 👋

지난 9강에서는 모의 공격 실행 중에 발생하는 수많은 기록을 관리하고, 방어팀(Blue Team)의 실제 침해 사고 조사와 충돌을 방지하는 **'오퍼레이터 로그 관리 및 디컨플릭션(Deconfliction)'**에 대해 알아보았습니다.

레드팀 오퍼레이션의 모든 공격 행위가 끝났다면, 이제 정말 철수할 시간입니다. 하지만 공격 목표를 달성했다고 해서 C2 에이전트를 그냥 종료하고 노트북을 닫아버리면 어떻게 될까요?

시스템에 남겨진 백도어나 악성 파일, 변경된 권한 설정은 실제 위협 주체(진짜 해커)가 침투할 수 있는 치명적인 고속도로가 되어 버립니다. 따라서 오퍼레이션의 진정한 마무리는 ** 완벽한 흔적 제거(Cleanup/Sanitization)와 검증**입니다.

오늘은 프로젝트 완료 후 대상 시스템을 안전하게 원상복구하는 방법론을 강의 노트로 정리해 드릴게요! 📝

10강. 오퍼레이션 정리, 흔적 제거 및 검증 (Cleanup, Sanitization & Verification)

1. 개념 설명: 왜 '흔적 제거'가 레드팀의 핵심 책임일까요?

실제 해커(위협 주체)는 침투 대상 시스템에 가능한 한 오래, 은밀하게 남아있기 위해 수많은 백도어와 지속성(Persistence) 메커니즘을 숨겨둡니다.

하지만 **전문적인 레드팀(Professional Red Team)**은 조직의 보안 태세를 강화하기 위한 '안전한 위협 에뮬레이션'을 수행합니다. 따라서 **"오퍼레이션 수행 이전의 상태로 시스템을 되돌리는 것(Restoration to Pre-assessment State)"**은 교전 수칙(ROE) 준수와 계약상 법적 책임 측면에서 매우 중요합니다.

[레드팀 오퍼레이션 정리 3단계 프로세스]

1. 식별 (Identify)   : 로그 및 실행 기록을 토대로 남겨진 흔적(IoC) 전수 조사
        │
2. 제거 (Sanitize)   : 백도어, 파일, 계정, 설정 변경 사항 안전하게 삭제/복구
        │
3. 검증 (Verify)     : 실제로 모든 흔적이 제거되었는지 재검증 및 고객사 공유

🎯 흔적 제거(Cleanup)의 3가지 주요 대상

1. 지속성 메커니즘 (Persistence Mechanisms)
   • 오퍼레이터가 권한 유지를 위해 등록한 스케줄러 작업(Task Scheduler), 레지스트리 Run 키, WMI 이벤트 구독, 서비스(Service) 등록 항목 등
2. 생성된 아티팩트 및 도구 (Artifacts & Files)
   • 메모리 덤프 파일(LSASS 덤프 등), 업로드한 스크립트/바이너리(Mimikatz, 툴킷 등), 임시 생성 폴더, C2 에이전트/페이로드
3. 설정 변경 및 계정 (Configurations & Accounts)
   • 테스트를 위해 임시로 생성한 로컬/도메인 계정, 변경한 그룹 정책(GPO), 방화벽 허용 규칙, 권한 상승을 위해 수정된 ACL(Access Control List)

2. 실전 예시: 흔적 제거 및 검증 시나리오

개념을 이해했다면, 실제 레드팀이 공격 종료 후 어떻게 흔적을 찾고 안전하게 제거하는지 시나리오를 통해 살펴보겠습니다.

📋 시나리오 상황

레드팀 오퍼레이터는 Active Directory 환경의 SERVER01에 침투하여 다음과 같은 작업(TTP)을 수행했습니다.

1. C:\Windows\Temp\stager.exe (C2 에이전트 실행)
2. C:\Users\Public\m.exe (Mimikatz 실행을 위한 바이너리 업로드)
3. 스케줄러 등록: BackdoorTask라는 이름으로 매일 오전 9시 실행하도록 설정
4. 임시 계정 생성: TempAdmin 도메인 계정 생성

STEP 1: 로그 기반의 흔적 식별 (Log-based Identification)

가장 먼저 해야 할 일은 지난 9강에서 작성했던 오퍼레이터 타임라인 로그를 기반으로 제거해야 할 대상 리스트(Sanitization Checklist)를 작성하는 것입니다.

• 로그 기록 확인:
  • [2023-10-25 10:15] Dropped file: C:\Users\Public\m.exe
  • [2023-10-25 10:30] Persistence created: Scheduled Task BackdoorTask
  • [2023-10-25 11:00] User created: TempAdmin

STEP 2: 순차적 정리 스크립트 실행 (Execution)

지속성 메커니즘과 생성된 자산을 하나씩 안전하게 제거합니다. 이때, C2 인프라 연결을 끊기 전에 먼저 정리해야 권한이 있는 상태에서 제거 작업이 가능합니다!

1) 스케줄러 작업 및 파일 제거 (PowerShell 예시)

# 1. 스케줄러 작업 삭제
Unregister-ScheduledTask -TaskName "BackdoorTask" -Confirm:$false

# 2. 업로드했던 도구 및 임시 페이로드 삭제
Remove-Item -Path "C:\Users\Public\m.exe" -Force
Remove-Item -Path "C:\Windows\Temp\stager.exe" -Force

2) 임시 생성 계정 삭제 (Active Directory)

# 임시 계정 존재 여부 확인 후 삭제
Remove-ADUser -Identity "TempAdmin" -Confirm:$false

STEP 3: 검증 (Verification) 및 상호 확인

제거 명령을 실행했다고 해서 방심하면 안 됩니다! 실제로 명령이 성공했는지 교차 검증이 필수적입니다.

검증 명령어 실행 (Verification Script)

# 스케줄러 삭제 검증 (결과가 없어야 함)
Get-ScheduledTask | Where-Object {$_.TaskName -eq "BackdoorTask"}

# 파일 삭제 검증 (False가 출력되어야 함)
Test-Path "C:\Users\Public\m.exe"

# 계정 삭제 검증
Get-ADUser -Filter "SamAccountName -eq 'TempAdmin'"

Trusted Agent(고객사 담당자)와의 교차 검증

모든 자동화 검증이 끝난 후, 프로젝트 담당자(Trusted Agent) 및 방어팀(Blue Team)에게 **흔적 제거 보고서(Cleanup Report / Checklist)**를 전달합니다. 방어팀의 SIEM이나 EDR 솔루션상에서도 더 이상 해당 IoC(침해 지표)가 감지되지 않는지 함께 확인합니다.

3. 핵심 요약 및 정리 📌

레드팀 프로젝트의 완벽한 마무리를 위해 반드시 기억해야 할 3가지 원칙입니다.

1. 로그 없는 정리는 없다:
   • 공격 중간에 기록해 둔 상세 로그(파일 경로, 등록된 레지스트리, 명령)가 없으면 완벽한 흔적 제거는 불가능합니다.
2. C2 종료 순서 준수:
   • [흔적 제거 및 검증 완료 $\rightarrow$ C2 에이전트 세션 종료 $\rightarrow$ C2 서버 인프라 해체] 순서를 반드시 지켜야 권한을 잃고 잔존물이 남는 불상사를 막을 수 있습니다.
3. 고객과의 투명한 공유:
   • 제거하지 못한 잔존물(예: 시스템 오류로 삭제되지 않은 파일)이 있다면 반드시 고객사 담당자에게 위치와 수동 제거 방법을 상세히 전달해야 합니다.

💡 정다은 튜터의 한 줄 팁!
"해킹을 잘하는 오퍼레이터는 공격 흔적을 화려하게 남기지만, 신뢰받는 레드팀 오퍼레이터는 자신이 지나간 자리를 완벽하게 지워냅니다."

🔮 다음 강의 예고

오퍼레이션이 안전하게 종료되고 모든 흔적 제거와 검증까지 마쳤다면, 이제 지휘부에 우리가 거둔 성과와 조직의 보안 약점을 보고할 차례입니다!

다음 11강에서는 **"오퍼레이션 보고서 작성 및 유용한 산출물 전달"**을 주제로 다룹니다. 경영진(Executive)과 기술진(Technical) 모두를 만족시키는 고품질 레드팀 보고서 작성법과 모의 공격의 가치를 극대화하는 산출물 정리 방안을 소개해 드릴 테니 기대해 주세요!

오늘도 수고 많으셨습니다. 궁금한 점은 댓글이나 질문 게시판에 남겨주세요! 😊