검열 없는 Qwen 3.8 27B로 EDR을 우회하는 LSASS 덤퍼를 만들었습니다

AI 요약

침투 테스트에서 권한 상승과 Active Directory 환경의 측면 이동을 시도할 때 EDR 우회는 중요한 난관입니다. 글쓴이는 제한된 지시만으로 LLM이 LSASS(Local Security Authority Subsystem Service) 메모리 덤프 도구를 만들고, 탐지를 피하도록 수정할 수 있는지 실험했습니다. LSASS 덤프에는 다른 시스템에 접근할 때 악용될 수 있는 암호나 해시가 들어갈 수 있습니다.

모델별 실험

Claude Opus 5, Opus 4.8, Sonnet 5에 같은 작업을 요청했지만 모두 거부했습니다. 계정과 조직이 Cyber Verification Program에 승인된 상태였는데도 결과는 같았다고 설명합니다.

DeepSeek v4 Flash 0731은 요청에 응했고, 몇 차례 대화를 거쳐 실행 파일을 만들었습니다. 글쓴이는 결과물이 대상 프로세스를 복제하고 메모리 덤프를 생성해 암호화한 뒤 파일로 저장한다고 설명합니다. pypykatz로 덤프가 유효한지도 확인했습니다. 하지만 처음 만든 도구는 EDR에 탐지됐고, 추가적인 은폐 요청은 모델의 안전장치에 막혔습니다.

검열 없는 모델의 수정

글쓴이는 커뮤니티가 안전장치를 제거한 Qwen 3.8 27B를 사용했습니다. 두 대의 RTX 4090이 장착된 장비에서 모델을 실행했고, 다른 지시 없이 실행 파일을 더 은밀하게 만들어 달라고 요청했습니다. 모델이 응답한 뒤 새 실행 파일은 글쓴이가 실험실에서 사용할 수 있는 EDR 제품 두 종 모두에서 탐지되지 않았습니다.

변경 사항을 살펴보니 프로세스 생성 방식을 덜 의심스럽게 바꾸고, 대상 프로세스 접근 권한을 줄였습니다. 덤프 생성 과정에 무작위 대기 시간을 넣었으며, 출력 파일의 이름과 경로를 바꾸고 실행 파일에 포함된 문자열도 정리했습니다. 글쓴이는 이 결과가 실험실의 두 제품에서 나온 것이라고 밝혔으며, 모든 EDR 환경에서 우회가 성립한다고 주장하지는 않았습니다.

방어 측에 남긴 과제

글쓴이는 레드팀이 맞춤형 도구 개발을 위해 검열 없는 LLM을 실험해 볼 만하다고 제안합니다. 방어 측에는 공격 표면 축소, 최소 권한 적용, 자격 증명 관리 점검을 권합니다. 공격자가 이미 내부에 발판을 마련한 상황에서는 적은 비용의 컴퓨팅 자원과 모델만으로도 EDR 탐지를 피하는 도구를 만들 가능성이 있다고 지적합니다.

Reddit 반응

• @u/TheReedemer69 — 좋네요. 저도 이런 모델을 실행해 볼 수 있으면 좋겠습니다.

원문: Project Black / 번역·요약: Trawling