rules.json

{
  "version": 2,
  "behaviors": [
    {
      "id": "IEX",
      "category": "실행",
      "name": "동적 코드 실행 (Invoke-Expression)",
      "description": "문자열을 코드로 해석해 즉시 실행합니다. 복호화된 다음 단계 페이로드를 실행하는 전형적인 방식입니다.",
      "mitre": "T1059.001",
      "mitreName": "PowerShell",
      "tactic": "Execution",
      "severity": "High",
      "pattern": "\\bInvoke-Expression\\b|(?<![\\w-])iex(?![\\w-])",
      "examples": [
        "iex $payload",
        "$x | Invoke-Expression"
      ],
      "counterExamples": [
        "$iexplorePath = 'C:\\x'",
        "Get-Item .\\iex-notes.txt"
      ]
    },
    {
      "id": "SBC",
      "category": "실행",
      "name": "스크립트 블록 동적 생성/실행",
      "description": "[ScriptBlock]::Create 또는 InvokeScript 로 문자열을 코드로 바꿔 실행합니다 (iex 탐지 회피 기법).",
      "mitre": "T1059.001",
      "mitreName": "PowerShell",
      "tactic": "Execution",
      "severity": "High",
      "pattern": "ScriptBlock\\]::Create|NewScriptBlock|InvokeScript|\\[ScriptBlock\\]\\s*\\$",
      "examples": [
        "[ScriptBlock]::Create($s)",
        "InvokeCommand.InvokeScript($c)"
      ],
      "counterExamples": [
        "$sb = { Get-Date }"
      ]
    },
    {
      "id": "ENC",
      "category": "실행",
      "name": "인코딩된 명령 실행 (-EncodedCommand)",
      "description": "Base64(UTF-16LE)로 인코딩한 명령을 실행하여 명령줄 내용을 숨깁니다.",
      "mitre": "T1027.010",
      "mitreName": "Command Obfuscation",
      "tactic": "Defense Evasion",
      "severity": "Medium",
      "pattern": "(?<=\\s)-(e|ec|enc|encodedcommand)\\s+[A-Za-z0-9+/=]{16,}",
      "examples": [
        "powershell -enc SQBFAFgAIAAoACcAaABpACcAKQA=",
        "powershell.exe -EncodedCommand SQBFAFgAIAAoACcAaABpACcAKQA="
      ],
      "counterExamples": [
        "Get-Content -Encoding UTF8 a.txt"
      ]
    },
    {
      "id": "HID",
      "category": "은폐",
      "name": "숨김 창으로 실행",
      "description": "-WindowStyle Hidden 으로 콘솔 창을 숨겨 사용자가 실행을 인지하지 못하게 합니다.",
      "mitre": "T1564.003",
      "mitreName": "Hidden Window",
      "tactic": "Defense Evasion",
      "severity": "Medium",
      "pattern": "-w(i(n(d(o(w(s(t(y(le?)?)?)?)?)?)?)?)?)?\\s+(h|hidden|1)\\b",
      "examples": [
        "powershell -w hidden -c x",
        "powershell.exe -WindowStyle Hidden",
        "powershell -w 1 -c x"
      ],
      "counterExamples": [
        "Out-File x -Width 100"
      ]
    },
    {
      "id": "EPB",
      "category": "은폐",
      "name": "실행 정책 우회",
      "description": "-ExecutionPolicy Bypass 로 스크립트 실행 제한을 무시합니다.",
      "mitre": "T1059.001",
      "mitreName": "PowerShell",
      "tactic": "Execution",
      "severity": "Medium",
      "pattern": "-(ex(ecutionpolicy)?|ep)\\s+(bypass|unrestricted)|Set-ExecutionPolicy\\s+(Bypass|Unrestricted)",
      "examples": [
        "powershell -ExecutionPolicy Bypass -File a.ps1",
        "powershell -ep bypass"
      ],
      "counterExamples": [
        "Set-ExecutionPolicy RemoteSigned"
      ]
    },
    {
      "id": "NOP",
      "category": "은폐",
      "name": "프로필 미로드·비대화형 실행",
      "description": "-NoProfile / -NonInteractive 옵션으로 흔적과 사용자 상호작용을 최소화합니다.",
      "mitre": "T1059.001",
      "mitreName": "PowerShell",
      "tactic": "Execution",
      "severity": "Low",
      "pattern": "\\s-nop(rofile)?\\b|\\s-noni(nteractive)?\\b",
      "examples": [
        "powershell -nop -c x",
        "powershell -NoProfile"
      ],
      "counterExamples": [
        "$nopValue = 1"
      ]
    },
    {
      "id": "IVI",
      "category": "실행",
      "name": "다운로드 파일 실행 (Invoke-Item)",
      "description": "저장된 파일을 기본 연결 프로그램으로 실행합니다.",
      "mitre": "T1204.002",
      "mitreName": "Malicious File",
      "tactic": "Execution",
      "severity": "High",
      "pattern": "\\bInvoke-Item\\b",
      "examples": [
        "Invoke-Item $path"
      ],
      "counterExamples": [
        "Get-Item $path"
      ]
    },
    {
      "id": "SPR",
      "category": "실행",
      "name": "새 프로세스 실행 (Start-Process)",
      "description": "외부 프로그램을 새 프로세스로 실행합니다.",
      "mitre": "T1106",
      "mitreName": "Native API",
      "tactic": "Execution",
      "severity": "Medium",
      "pattern": "\\bStart-Process\\b|\\bsaps\\b|Diagnostics\\.Process\\]::Start",
      "examples": [
        "Start-Process $exe",
        "[Diagnostics.Process]::Start('a.exe')"
      ],
      "counterExamples": [
        "Stop-Process -Id 1"
      ]
    },
    {
      "id": "EXF",
      "category": "실행",
      "name": "다운로드한 파일 직접 실행 (& 호출 연산자)",
      "description": "호출 연산자 & 로 사용자 쓰기 가능 경로의 스크립트/실행 파일(.js .vbs .exe 등)을 바로 실행합니다. .js 는 Windows Script Host(wscript)로 실행됩니다.",
      "mitre": "T1204.002",
      "mitreName": "Malicious File",
      "tactic": "Execution",
      "severity": "High",
      "pattern": "&\\s*[\"'“”‘’]?\\$\\{?env:(?:temp|tmp|appdata|localappdata|public|programdata)\\}?\\\\[^\"'“”‘’\\r\\n]*\\.(?:js|jse|vbs|vbe|exe|scr|bat|cmd|hta|ps1)\\b",
      "examples": [
        "& \"$env:APPDATA\\x.js\"",
        "&    ”$ENV:AppdATA\\x.js”",
        "& $env:TEMP\\a.exe"
      ],
      "counterExamples": [
        "& \"$env:ProgramFiles\\App\\app.exe\"",
        "$p = \"$env:TEMP\\a.js\"",
        "& .\\build.ps1"
      ],
      "author": "PS Deobfuscator",
      "updated": "2026-10-10",
      "references": [
        "sample/powershell05.txt"
      ]
    },
    {
      "id": "WSH",
      "category": "실행",
      "name": "Windows Script Host 실행 (VBS/JS)",
      "description": "wscript/cscript 또는 WScript.Shell 로 스크립트를 실행합니다. VBS 런처로 창 없이 프로그램을 실행하는 데 쓰입니다.",
      "mitre": "T1059.005",
      "mitreName": "Visual Basic",
      "tactic": "Execution",
      "severity": "High",
      "pattern": "\\b[wc]script(\\.exe)?\\b|WScript\\.Shell|\\.vbs\\b",
      "examples": [
        "wscript.exe start.vbs",
        "New-Object -ComObject WScript.Shell"
      ],
      "counterExamples": [
        "$description = 'test'"
      ]
    },
    {
      "id": "LOL",
      "category": "실행",
      "name": "시스템 기본 도구(LOLBin) 악용",
      "description": "mshta/rundll32/regsvr32/certutil 등 서명된 윈도우 도구로 악성 행위를 수행합니다.",
      "mitre": "T1218",
      "mitreName": "System Binary Proxy Execution",
      "tactic": "Defense Evasion",
      "severity": "High",
      "pattern": "\\b(mshta|rundll32|regsvr32|certutil|bitsadmin|msiexec|installutil|regasm|regsvcs|cmstp|msbuild)(\\.exe)?\\b",
      "examples": [
        "mshta.exe http://x/a.hta",
        "rundll32 a.dll,Run"
      ],
      "counterExamples": [
        "Get-Date"
      ]
    },
    {
      "id": "CPS",
      "category": "실행",
      "name": "PowerShell 자식 프로세스 실행",
      "description": "새 PowerShell 프로세스를 띄워 드롭한 스크립트(-File) 또는 명령을 실행합니다.",
      "mitre": "T1059.001",
      "mitreName": "PowerShell",
      "tactic": "Execution",
      "severity": "Medium",
      "pattern": ";\\s*powershell(\\.exe)?\\s+.*-f(ile)?\\s|\\bpowershell(\\.exe)?\\s+[^\\r\\n]*-f(ile)?\\s+\\$",
      "examples": [
        "$a | Out-File $p; powershell -ExecutionPolicy bypass -File $p",
        "powershell -w h -f $file"
      ],
      "counterExamples": [
        "powershell -Command Get-Date"
      ]
    },
    {
      "id": "WCL",
      "category": "통신",
      "name": "WebClient 객체 생성",
      "description": "HTTP 통신용 System.Net.WebClient 객체를 생성합니다.",
      "mitre": "T1105",
      "mitreName": "Ingress Tool Transfer",
      "tactic": "Command and Control",
      "severity": "Medium",
      "pattern": "Net\\.WebClient",
      "examples": [
        "New-Object Net.WebClient",
        "New-Object System.Net.WebClient"
      ],
      "counterExamples": [
        "New-Object System.Text.StringBuilder"
      ]
    },
    {
      "id": "DLF",
      "category": "통신",
      "name": "원격 파일 다운로드 후 디스크 저장",
      "description": "DownloadFile 로 원격 서버의 파일(주로 실행 파일)을 로컬에 저장합니다.",
      "mitre": "T1105",
      "mitreName": "Ingress Tool Transfer",
      "tactic": "Command and Control",
      "severity": "High",
      "pattern": "\\.DownloadFile(Async)?\\s*\\(|-OutFile\\b",
      "examples": [
        "$wc.DownloadFile($u, $p)",
        "Invoke-WebRequest $u -OutFile $p"
      ],
      "counterExamples": [
        "$wc.DownloadString($u)"
      ]
    },
    {
      "id": "DLS",
      "category": "통신",
      "name": "원격 코드 메모리 다운로드",
      "description": "DownloadString/DownloadData 로 원격 코드를 메모리로 받아옵니다 (파일리스 실행 준비).",
      "mitre": "T1105",
      "mitreName": "Ingress Tool Transfer",
      "tactic": "Command and Control",
      "severity": "High",
      "pattern": "\\.Download(String|Data)\\s*\\(|\\.OpenRead\\s*\\(",
      "examples": [
        "$wc.DownloadString('http://a')",
        "$b = $wc.DownloadData($u)"
      ],
      "counterExamples": [
        "$wc.DownloadFile($u,$p)"
      ]
    },
    {
      "id": "IWR",
      "category": "통신",
      "name": "HTTP 요청 (Invoke-WebRequest/RestMethod)",
      "description": "PowerShell 웹 요청 cmdlet 으로 원격 리소스를 내려받거나 서버와 통신합니다.",
      "mitre": "T1105",
      "mitreName": "Ingress Tool Transfer",
      "tactic": "Command and Control",
      "severity": "High",
      "pattern": "\\b(Invoke-WebRequest|iwr|Invoke-RestMethod|irm)\\b",
      "examples": [
        "iwr http://a/b -UseBasicParsing",
        "Invoke-RestMethod -Uri $u"
      ],
      "counterExamples": [
        "$irmVar = 1",
        "Get-Content $iwrLog"
      ]
    },
    {
      "id": "BIT",
      "category": "통신",
      "name": "BITS 전송 악용",
      "description": "BITS 백그라운드 전송으로 파일을 내려받습니다.",
      "mitre": "T1197",
      "mitreName": "BITS Jobs",
      "tactic": "Defense Evasion",
      "severity": "High",
      "pattern": "Start-BitsTransfer|bitsadmin",
      "examples": [
        "Start-BitsTransfer -Source $u -Destination $p"
      ],
      "counterExamples": [
        "Get-BitLockerVolume"
      ]
    },
    {
      "id": "TLS",
      "category": "통신",
      "name": "TLS 프로토콜 강제 설정",
      "description": "HTTPS 서버 통신 실패를 막기 위해 TLS 1.1/1.2/1.3 사용을 강제합니다. 다운로드 직전 준비 단계로 자주 보입니다.",
      "mitre": "T1071.001",
      "mitreName": "Web Protocols",
      "tactic": "Command and Control",
      "severity": "Low",
      "pattern": "SecurityProtocol",
      "examples": [
        "[Net.ServicePointManager]::SecurityProtocol = 'Tls12'"
      ],
      "counterExamples": [
        "Write-Host 'protocol'"
      ]
    },
    {
      "id": "SOC",
      "category": "통신",
      "name": "소켓 통신 (리버스 셸 가능성)",
      "description": "TCP 소켓으로 원격지와 직접 통신합니다.",
      "mitre": "T1095",
      "mitreName": "Non-Application Layer Protocol",
      "tactic": "Command and Control",
      "severity": "Critical",
      "pattern": "Net\\.Sockets\\.TcpClient|TcpListener|\\.GetStream\\(\\)",
      "examples": [
        "New-Object Net.Sockets.TcpClient('1.2.3.4', 443)",
        "$s = $c.GetStream()"
      ],
      "counterExamples": [
        "New-Object Net.WebClient"
      ]
    },
    {
      "id": "UPL",
      "category": "유출",
      "name": "데이터 외부 전송",
      "description": "수집한 데이터를 원격 서버로 업로드합니다.",
      "mitre": "T1041",
      "mitreName": "Exfiltration Over C2 Channel",
      "tactic": "Exfiltration",
      "severity": "High",
      "pattern": "\\.Upload(String|File|Data)\\s*\\(|-Method\\s+Post",
      "examples": [
        "$wc.UploadString($u, $data)",
        "Invoke-RestMethod -Uri $u -Method Post -Body $b"
      ],
      "counterExamples": [
        "$wc.DownloadString($u)"
      ]
    },
    {
      "id": "WEB",
      "category": "통신",
      "name": "정상 웹 서비스 악용 (페이로드 호스팅)",
      "description": "GitHub/Pastebin/Discord 등 신뢰도 높은 서비스에 페이로드를 올려 차단을 회피합니다.",
      "mitre": "T1102",
      "mitreName": "Web Service",
      "tactic": "Command and Control",
      "severity": "Medium",
      "pattern": "github(usercontent)?\\.com|pastebin\\.com|discord(app)?\\.com/api/webhooks|api\\.telegram\\.org|transfer\\.sh|dropboxusercontent|drive\\.google\\.com|cdn\\.discordapp",
      "examples": [
        "iwr https://raw.githubusercontent.com/a/b/main/x.ps1",
        "https://pastebin.com/raw/abc"
      ],
      "counterExamples": [
        "https://example.com/a"
      ]
    },
    {
      "id": "RUN",
      "category": "지속성",
      "name": "레지스트리 Run 키 자동 실행 등록",
      "description": "로그온할 때마다 악성 프로그램이 자동 실행되도록 Run 키에 등록합니다.",
      "mitre": "T1547.001",
      "mitreName": "Registry Run Keys / Startup Folder",
      "tactic": "Persistence",
      "severity": "Critical",
      "pattern": "CurrentVersion\\\\Run(Once)?\\b",
      "examples": [
        "Set-ItemProperty 'HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Run' x y",
        "HKLM\\Software\\Microsoft\\Windows\\CurrentVersion\\RunOnce"
      ],
      "counterExamples": [
        "HKCU:\\Software\\Microsoft\\Windows\\CurrentVersion\\Uninstall"
      ]
    },
    {
      "id": "SCH",
      "category": "지속성",
      "name": "예약 작업 등록",
      "description": "예약 작업으로 주기적 실행/지속성을 확보합니다.",
      "mitre": "T1053.005",
      "mitreName": "Scheduled Task",
      "tactic": "Persistence",
      "severity": "High",
      "pattern": "schtasks|Register-ScheduledTask|New-ScheduledTask",
      "examples": [
        "schtasks /create /tn x /tr y",
        "Register-ScheduledTask -TaskName x"
      ],
      "counterExamples": [
        "Get-ScheduledJob"
      ]
    },
    {
      "id": "STU",
      "category": "지속성",
      "name": "시작프로그램 폴더 등록",
      "description": "시작프로그램 폴더에 파일/바로가기를 둡니다.",
      "mitre": "T1547.001",
      "mitreName": "Registry Run Keys / Startup Folder",
      "tactic": "Persistence",
      "severity": "High",
      "pattern": "Start Menu\\\\Programs\\\\Startup|shell:startup",
      "examples": [
        "Copy-Item a.lnk \"$env:APPDATA\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\"",
        "explorer shell:startup"
      ],
      "counterExamples": [
        "Start-Menu"
      ]
    },
    {
      "id": "WMI",
      "category": "지속성",
      "name": "WMI 이벤트 구독 지속성",
      "description": "WMI 이벤트 필터/컨슈머로 파일 없이 지속성을 확보합니다.",
      "mitre": "T1546.003",
      "mitreName": "WMI Event Subscription",
      "tactic": "Persistence",
      "severity": "Critical",
      "pattern": "__EventFilter|CommandLineEventConsumer|ActiveScriptEventConsumer|Register-WmiEvent",
      "examples": [
        "Set-WmiInstance -Class __EventFilter",
        "CommandLineEventConsumer"
      ],
      "counterExamples": [
        "Get-WmiObject Win32_Process"
      ]
    },
    {
      "id": "SVC",
      "category": "지속성",
      "name": "서비스 생성",
      "description": "새 Windows 서비스를 등록합니다.",
      "mitre": "T1543.003",
      "mitreName": "Windows Service",
      "tactic": "Persistence",
      "severity": "High",
      "pattern": "New-Service|\\bsc(\\.exe)?\\s+create",
      "examples": [
        "New-Service -Name x -BinaryPathName y",
        "sc.exe create svc binPath= x"
      ],
      "counterExamples": [
        "Get-Service"
      ]
    },
    {
      "id": "REG",
      "category": "지속성",
      "name": "레지스트리 값 변경",
      "description": "레지스트리 값을 생성/수정합니다.",
      "mitre": "T1112",
      "mitreName": "Modify Registry",
      "tactic": "Defense Evasion",
      "severity": "Medium",
      "pattern": "Set-ItemProperty|New-ItemProperty|\\breg(\\.exe)?\\s+add|RegWrite",
      "examples": [
        "Set-ItemProperty -Path HKCU:\\x -Name a -Value b",
        "reg add HKCU\\x /v a /d b"
      ],
      "counterExamples": [
        "Get-ItemProperty HKCU:\\x"
      ]
    },
    {
      "id": "AMS",
      "category": "방어 회피",
      "name": "AMSI 우회",
      "description": "AMSI(스크립트 검사 인터페이스)를 무력화하여 백신 검사를 피합니다.",
      "mitre": "T1562.001",
      "mitreName": "Disable or Modify Tools",
      "tactic": "Defense Evasion",
      "severity": "Critical",
      "pattern": "AmsiUtils|amsiInitFailed|AmsiScanBuffer|amsi\\.dll",
      "examples": [
        "AmsiUtils"
      ],
      "counterExamples": [
        "Write-Host 'amsterdam'"
      ]
    },
    {
      "id": "SBL",
      "category": "방어 회피",
      "name": "PowerShell 스크립트 블록 로깅 무력화",
      "description": "내부 필드 cachedGroupPolicySettings 를 조작해 ScriptBlock 로깅(이벤트 ID 4104)을 꺼서, 이후 실행되는 코드가 이벤트 로그에 남지 않게 합니다.",
      "mitre": "T1562.002",
      "mitreName": "Disable Windows Event Logging",
      "tactic": "Defense Evasion",
      "severity": "Critical",
      "pattern": "cachedGroupPolicySettings|EnableScriptBlockLogging|EnableScriptBlockInvocationLogging",
      "examples": [
        "EnableScriptBlockLogging"
      ],
      "counterExamples": [
        "Get-WinEvent -LogName 'Microsoft-Windows-PowerShell/Operational'"
      ]
    },
    {
      "id": "ETW",
      "category": "방어 회피",
      "name": "ETW 이벤트 추적 무력화",
      "description": "PowerShell ETW 공급자를 비활성화하여 보안 제품의 실시간 모니터링을 방해합니다.",
      "mitre": "T1562.006",
      "mitreName": "Indicator Blocking",
      "tactic": "Defense Evasion",
      "severity": "Critical",
      "pattern": "PSEtwLogProvider|etwProvider|EtwEventWrite",
      "examples": [
        "PSEtwLogProvider"
      ],
      "counterExamples": [
        "Get-EtwTraceSession"
      ]
    },
    {
      "id": "PRV",
      "category": "방어 회피",
      "name": "리플렉션으로 내부(비공개) 멤버 조작",
      "description": "[Ref].Assembly.GetType(...).GetField(..., 'NonPublic,Static') 로 PowerShell 엔진 내부 값을 바꿉니다. AMSI·로깅 우회에 쓰이는 전형적 기법입니다.",
      "mitre": "T1562.001",
      "mitreName": "Disable or Modify Tools",
      "tactic": "Defense Evasion",
      "severity": "High",
      "pattern": "\\[Ref\\]\\.Assembly\\.GetType|NonPublic,\\s*Static",
      "examples": [
        "[Ref].Assembly.GetType('X')",
        "GetField('x','NonPublic,Static')"
      ],
      "counterExamples": [
        "$obj.GetType()"
      ]
    },
    {
      "id": "DYN",
      "category": "실행",
      "name": ".NET 메서드 동적 호출 (리플렉션)",
      "description": "로드한 어셈블리에서 GetType/GetMethod 로 메서드를 찾아 Invoke 합니다. 메모리에 로드한 악성 DLL 의 진입점을 실행하는 방식입니다.",
      "mitre": "T1620",
      "mitreName": "Reflective Code Loading",
      "tactic": "Defense Evasion",
      "severity": "High",
      "pattern": "\\.GetMethod\\([^)]*\\)\\s*\\.Invoke\\(|EntryPoint\\.Invoke",
      "examples": [
        "$t.GetMethod('Run').Invoke($null, $a)",
        "$a.EntryPoint.Invoke($null, $null)"
      ],
      "counterExamples": [
        "$sb.Invoke()"
      ]
    },
    {
      "id": "DEF",
      "category": "방어 회피",
      "name": "Windows Defender 무력화/예외 등록",
      "description": "Defender 실시간 감시를 끄거나 예외 경로를 추가합니다.",
      "mitre": "T1562.001",
      "mitreName": "Disable or Modify Tools",
      "tactic": "Defense Evasion",
      "severity": "Critical",
      "pattern": "Set-MpPreference|Add-MpPreference|DisableRealtimeMonitoring|ExclusionPath",
      "examples": [
        "Add-MpPreference -ExclusionPath C:\\x"
      ],
      "counterExamples": [
        "Get-MpComputerStatus"
      ]
    },
    {
      "id": "CLR",
      "category": "방어 회피",
      "name": "실행 흔적·로그 삭제",
      "description": "명령 기록이나 이벤트 로그를 지워 포렌식 분석을 방해합니다.",
      "mitre": "T1070.003",
      "mitreName": "Clear Command History",
      "tactic": "Defense Evasion",
      "severity": "High",
      "pattern": "Clear-History|ConsoleHost_history|wevtutil\\s+cl|Clear-EventLog",
      "examples": [
        "Clear-History",
        "wevtutil cl Application"
      ],
      "counterExamples": [
        "Get-History"
      ]
    },
    {
      "id": "MAS",
      "category": "방어 회피",
      "name": "정상 프로그램 이름으로 위장",
      "description": "시스템 프로세스/정상 앱 이름(SystemSettingsBroker, svchost, MicrosoftEdge, Office 등)으로 악성 파일을 위장합니다.",
      "mitre": "T1036.005",
      "mitreName": "Match Legitimate Name or Location",
      "tactic": "Defense Evasion",
      "severity": "High",
      "pattern": "(?<!\\\\(?:System32|SysWOW64|Windows))\\\\(svchost|SystemSettingsBroker|csrss|lsass|winlogon|RuntimeBroker|dllhost|taskhostw|conhost|smss|spoolsv)\\.exe|AppData\\\\[^'\"\\r\\n]*\\\\Microsoft\\\\MicrosoftEdge|\\\\OFFICE20\\d\\d\\b",
      "examples": [
        "$env:APPDATA\\Microsoft\\MicrosoftEdge\\SystemSettingsBroker.exe",
        "C:\\Users\\Public\\svchost.exe",
        "$env:TEMP\\OFFICE2019\\a.exe"
      ],
      "counterExamples": [
        "C:\\Windows\\System32\\svchost.exe",
        "notepad.exe"
      ]
    },
    {
      "id": "B64",
      "category": "난독화 해제",
      "name": "Base64 디코딩",
      "description": "Base64 로 숨겨둔 데이터를 복원합니다.",
      "mitre": "T1140",
      "mitreName": "Deobfuscate/Decode Files or Information",
      "tactic": "Defense Evasion",
      "severity": "Medium",
      "pattern": "FromBase64String|-EncodedCommand",
      "examples": [
        "[Convert]::FromBase64String($s)"
      ],
      "counterExamples": [
        "[Convert]::ToBase64String($b)"
      ]
    },
    {
      "id": "XOR",
      "category": "난독화 해제",
      "name": "XOR/산술 연산 기반 복호화",
      "description": "바이트 단위 XOR 또는 시프트 연산으로 페이로드를 복호화합니다.",
      "mitre": "T1140",
      "mitreName": "Deobfuscate/Decode Files or Information",
      "tactic": "Defense Evasion",
      "severity": "Medium",
      "pattern": "-bxor|\\[char\\]\\s*\\(\\s*\\(\\s*\\$\\w+\\[\\$\\w+\\]\\s*[-+]",
      "examples": [
        "$o += [char]($b[$i] -bxor $k)",
        "[char](($d[$i] - $n + 256) % 256)"
      ],
      "counterExamples": [
        "$a -band 1"
      ]
    },
    {
      "id": "CMP",
      "category": "난독화 해제",
      "name": "압축 해제로 페이로드 복원",
      "description": "Deflate/GZip 으로 압축된 페이로드를 메모리에서 해제합니다.",
      "mitre": "T1140",
      "mitreName": "Deobfuscate/Decode Files or Information",
      "tactic": "Defense Evasion",
      "severity": "Medium",
      "pattern": "DeflateStream|GZipStream|IO\\.Compression",
      "examples": [
        "New-Object IO.Compression.DeflateStream($ms, 0)",
        "New-Object System.IO.Compression.GZipStream($s, 0)"
      ],
      "counterExamples": [
        "Compress-Archive a b.zip"
      ]
    },
    {
      "id": "REF",
      "category": "방어 회피",
      "name": "메모리 내 .NET 어셈블리 로드 (파일리스)",
      "description": "디스크에 파일을 남기지 않고 .NET 어셈블리를 메모리에서 직접 로드·실행합니다.",
      "mitre": "T1620",
      "mitreName": "Reflective Code Loading",
      "tactic": "Defense Evasion",
      "severity": "Critical",
      "pattern": "Reflection\\.Assembly\\]::Load|AppDomain\\]::CurrentDomain\\.Load|\\[System\\.Reflection\\.Assembly\\]::Load",
      "examples": [
        "[System.Reflection.Assembly]::Load($bytes)",
        "[AppDomain]::CurrentDomain.Load($b)"
      ],
      "counterExamples": [
        "Add-Type -AssemblyName System.Windows.Forms"
      ]
    },
    {
      "id": "ADT",
      "category": "실행",
      "name": "Add-Type 으로 Win32 API 호출",
      "description": "C# 코드를 컴파일해 Win32 API 를 직접 호출합니다.",
      "mitre": "T1106",
      "mitreName": "Native API",
      "tactic": "Execution",
      "severity": "High",
      "pattern": "Add-Type[\\s\\S]{0,400}DllImport|DllImport",
      "examples": [
        "[DllImport(\"user32.dll\")]"
      ],
      "counterExamples": [
        "Add-Type -AssemblyName PresentationFramework"
      ]
    },
    {
      "id": "INJ",
      "category": "방어 회피",
      "name": "프로세스 인젝션 / 쉘코드 실행",
      "description": "메모리 할당 후 쉘코드를 쓰고 스레드를 생성해 실행합니다.",
      "mitre": "T1055",
      "mitreName": "Process Injection",
      "tactic": "Defense Evasion",
      "severity": "Critical",
      "pattern": "VirtualAlloc|VirtualProtect|CreateThread|WriteProcessMemory|CreateRemoteThread|NtCreateThreadEx|QueueUserAPC",
      "examples": [
        "QueueUserAPC"
      ],
      "counterExamples": [
        "Get-Process | Select-Object Threads"
      ]
    },
    {
      "id": "VMD",
      "category": "방어 회피",
      "name": "가상머신/샌드박스 탐지",
      "description": "QEMU·VirtualBox 드라이버나 샌드박스 고유 경로를 확인하여 분석 환경이면 종료합니다.",
      "mitre": "T1497.001",
      "mitreName": "System Checks",
      "tactic": "Defense Evasion",
      "severity": "High",
      "pattern": "qemu|vbox|virtualbox|vmware|vmtools|sandbox|Hybrid Analysis|ANY\\.RUN|C:\\\\Payload|viasres\\.sys|wireshark|procmon|Win32_SystemDriver",
      "examples": [
        "Win32_SystemDriver",
        "Test-Path 'C:\\Payload'",
        "-like '*vbox*'"
      ],
      "counterExamples": [
        "Get-Date"
      ]
    },
    {
      "id": "SLP",
      "category": "방어 회피",
      "name": "실행 지연",
      "description": "일정 시간 대기하여 자동 분석(샌드박스)의 관찰 시간을 회피합니다.",
      "mitre": "T1497.003",
      "mitreName": "Time Based Evasion",
      "tactic": "Defense Evasion",
      "severity": "Low",
      "pattern": "Start-Sleep|(?<![\\w-])sleep\\s+\\d+",
      "examples": [
        "Start-Sleep -Seconds 30",
        ";Sleep 6;"
      ],
      "counterExamples": [
        "$sleepTime = 5"
      ]
    },
    {
      "id": "ENV",
      "category": "난독화",
      "name": "환경 변수에 분할 저장된 페이로드",
      "description": "페이로드를 여러 환경 변수에 나눠 저장한 뒤 조합합니다. 스크립트 파일만으로는 내용을 복원할 수 없습니다.",
      "mitre": "T1027",
      "mitreName": "Obfuscated Files or Information",
      "tactic": "Defense Evasion",
      "severity": "High",
      "pattern": "\\$env:\\w+\\s*\\+\\s*\\$env:\\w+\\s*\\+\\s*\\$env:",
      "examples": [
        "$b=$env:P1+$env:P2+$env:P3"
      ],
      "counterExamples": [
        "$p = $env:TEMP + '\\a'"
      ]
    },
    {
      "id": "MTX",
      "category": "실행",
      "name": "중복 실행 방지 (락 파일/뮤텍스)",
      "description": "잠금 파일이나 뮤텍스로 하나의 인스턴스만 실행되도록 합니다.",
      "mitre": "T1480",
      "mitreName": "Execution Guardrails",
      "tactic": "Defense Evasion",
      "severity": "Low",
      "pattern": "\\.lock\\b|Threading\\.Mutex|'None'\\s*\\)",
      "examples": [
        "[IO.File]::Open($lk,'OpenOrCreate','ReadWrite','None')",
        "New-Object Threading.Mutex($false,'Global\\x')",
        "$lk = \"$d\\boot.lock\""
      ],
      "counterExamples": [
        "[IO.File]::Open($p,'Open','Read','Read')"
      ]
    },
    {
      "id": "UAC",
      "category": "권한 상승",
      "name": "UAC 우회",
      "description": "fodhelper/ms-settings 등 자동 상승 프로그램을 악용해 관리자 권한을 얻습니다.",
      "mitre": "T1548.002",
      "mitreName": "Bypass User Account Control",
      "tactic": "Privilege Escalation",
      "severity": "Critical",
      "pattern": "fodhelper|ms-settings\\\\shell|eventvwr\\.exe|sdclt\\.exe|ComputerDefaults",
      "examples": [
        "HKCU:\\Software\\Classes\\ms-settings\\shell"
      ],
      "counterExamples": [
        "Start-Process notepad.exe"
      ]
    },
    {
      "id": "NET",
      "category": "시스템 변경",
      "name": "네트워크 설정 초기화",
      "description": "IP 해제/갱신, Winsock·IP 스택을 초기화합니다. 프록시/보안 설정 우회 또는 분석 방해 목적일 수 있습니다.",
      "mitre": "T1562",
      "mitreName": "Impair Defenses",
      "tactic": "Defense Evasion",
      "severity": "Medium",
      "pattern": "ipconfig\\s+/(release|renew)|netsh\\s+(winsock|int\\s+ip)\\s+reset",
      "examples": [
        "ipconfig /release",
        "netsh winsock reset"
      ],
      "counterExamples": [
        "ipconfig /all"
      ]
    },
    {
      "id": "GPU",
      "category": "정보 수집",
      "name": "GPU 정보 수집",
      "description": "그래픽카드 정보를 조회합니다. 채굴 악성코드가 사양 확인·작업자 이름 생성에 사용합니다.",
      "mitre": "T1082",
      "mitreName": "System Information Discovery",
      "tactic": "Discovery",
      "severity": "Medium",
      "pattern": "Win32_VideoController",
      "examples": [
        "Get-CimInstance Win32_VideoController"
      ],
      "counterExamples": [
        "Get-CimInstance Win32_Processor"
      ]
    },
    {
      "id": "SYS",
      "category": "정보 수집",
      "name": "시스템 정보 수집",
      "description": "OS·컴퓨터·사용자 정보를 수집합니다.",
      "mitre": "T1082",
      "mitreName": "System Information Discovery",
      "tactic": "Discovery",
      "severity": "Low",
      "pattern": "Win32_OperatingSystem|Win32_ComputerSystem|\\bsysteminfo\\b|Get-ComputerInfo|\\$env:COMPUTERNAME|\\$env:USERNAME|\\bwhoami\\b",
      "examples": [
        "Get-CimInstance Win32_OperatingSystem",
        "whoami /all",
        "$env:COMPUTERNAME"
      ],
      "counterExamples": [
        "Get-Date"
      ]
    },
    {
      "id": "PRC",
      "category": "정보 수집",
      "name": "프로세스 목록 조회",
      "description": "실행 중인 프로세스를 확인합니다 (중복 실행·분석 도구 확인).",
      "mitre": "T1057",
      "mitreName": "Process Discovery",
      "tactic": "Discovery",
      "severity": "Low",
      "pattern": "Get-Process|\\btasklist\\b",
      "examples": [
        "Get-Process | ? Name -eq x",
        "tasklist /v"
      ],
      "counterExamples": [
        "Start-Process a.exe"
      ]
    },
    {
      "id": "AVD",
      "category": "정보 수집",
      "name": "백신 제품 탐지",
      "description": "설치된 보안 제품을 조회합니다.",
      "mitre": "T1518.001",
      "mitreName": "Security Software Discovery",
      "tactic": "Discovery",
      "severity": "Medium",
      "pattern": "AntiVirusProduct|SecurityCenter2",
      "examples": [
        "root/SecurityCenter2 -ClassName AntiVirusProduct"
      ],
      "counterExamples": [
        "Get-MpComputerStatus"
      ]
    },
    {
      "id": "MIN",
      "category": "영향",
      "name": "암호화폐 채굴 (Cryptojacking)",
      "description": "피해 PC의 CPU/GPU 자원으로 암호화폐를 채굴합니다.",
      "mitre": "T1496",
      "mitreName": "Resource Hijacking",
      "tactic": "Impact",
      "severity": "Critical",
      "pattern": "stratum\\+(tcp|ssl|tls)|xmrig|kryptex|nicehash|monero|--donate-level|cryptonight|--gpu-fan|minexmr|2miners|f2pool|nanopool|ethermine|hashvault",
      "examples": [
        "stratum+tcp://pool.x:3333",
        "--url stratum+ssl://prl.kryptex.network:8048"
      ],
      "counterExamples": [
        "Write-Host 'stratum of rock'"
      ]
    },
    {
      "id": "RAN",
      "category": "영향",
      "name": "백업 삭제 / 파일 암호화 (랜섬웨어 징후)",
      "description": "섀도 복사본·백업을 삭제하거나 파일을 암호화합니다.",
      "mitre": "T1490",
      "mitreName": "Inhibit System Recovery",
      "tactic": "Impact",
      "severity": "Critical",
      "pattern": "vssadmin[^\\r\\n]*delete|wbadmin[^\\r\\n]*delete|bcdedit[^\\r\\n]*recoveryenabled|shadowcopy[^\\r\\n]*delete",
      "examples": [
        "wbadmin delete catalog"
      ],
      "counterExamples": [
        "vssadmin list shadows"
      ]
    },
    {
      "id": "CRD",
      "category": "자격 증명",
      "name": "자격 증명·브라우저 정보 탈취",
      "description": "브라우저 저장 비밀번호/쿠키, 지갑 파일, LSASS 등을 노립니다.",
      "mitre": "T1555",
      "mitreName": "Credentials from Password Stores",
      "tactic": "Credential Access",
      "severity": "Critical",
      "pattern": "mimikatz|sekurlsa|lsass|\\\\Login Data|\\\\Cookies|wallet\\.dat|Local State|User Data\\\\Default",
      "examples": [
        "wallet.dat"
      ],
      "counterExamples": [
        "Get-Credential"
      ]
    },
    {
      "id": "KEY",
      "category": "수집",
      "name": "키로깅",
      "description": "키 입력을 가로챕니다.",
      "mitre": "T1056.001",
      "mitreName": "Keylogging",
      "tactic": "Collection",
      "severity": "Critical",
      "pattern": "GetAsyncKeyState|SetWindowsHookEx|GetKeyState",
      "examples": [
        "GetKeyState"
      ],
      "counterExamples": [
        "Read-Host 'key'"
      ]
    },
    {
      "id": "SCR",
      "category": "수집",
      "name": "화면 캡처",
      "description": "화면을 캡처합니다.",
      "mitre": "T1113",
      "mitreName": "Screen Capture",
      "tactic": "Collection",
      "severity": "High",
      "pattern": "CopyFromScreen",
      "examples": [
        "$g.CopyFromScreen(0,0,0,0,$s)"
      ],
      "counterExamples": [
        "Clear-Host"
      ]
    },
    {
      "id": "CLP",
      "category": "수집",
      "name": "클립보드 수집",
      "description": "클립보드 내용을 읽습니다.",
      "mitre": "T1115",
      "mitreName": "Clipboard Data",
      "tactic": "Collection",
      "severity": "Medium",
      "pattern": "Get-Clipboard|Clipboard\\]::GetText",
      "examples": [
        "Get-Clipboard",
        "[Windows.Forms.Clipboard]::GetText()"
      ],
      "counterExamples": [
        "Set-Clipboard x"
      ]
    },
    {
      "id": "DRP",
      "category": "파일",
      "name": "사용자 쓰기 가능 경로에 파일 생성",
      "description": "TEMP/APPDATA/Public 같은 권한이 필요 없는 경로에 파일을 저장합니다.",
      "mitre": "T1074.001",
      "mitreName": "Local Data Staging",
      "tactic": "Collection",
      "severity": "Medium",
      "pattern": "\\$env:(temp|tmp|appdata|localappdata|public)\\b|%(TEMP|APPDATA|LOCALAPPDATA|PUBLIC)%|C:\\\\Users\\\\Public\\\\|\\\\AppData\\\\",
      "examples": [
        "$p = \"$env:TEMP\\a.exe\"",
        "Out-File C:\\Users\\Public\\x.ps1",
        "%APPDATA%\\x.js"
      ],
      "counterExamples": [
        "C:\\Program Files\\App\\a.exe"
      ]
    },
    {
      "id": "ARC",
      "category": "파일",
      "name": "압축 파일 해제 (페이로드 전개)",
      "description": "내려받은 ZIP 을 풀어 실행 파일을 꺼냅니다.",
      "mitre": "T1140",
      "mitreName": "Deobfuscate/Decode Files or Information",
      "tactic": "Defense Evasion",
      "severity": "Medium",
      "pattern": "Expand-Archive|ExtractToDirectory",
      "examples": [
        "Expand-Archive $z $d -Force",
        "[IO.Compression.ZipFile]::ExtractToDirectory($z,$d)"
      ],
      "counterExamples": [
        "Compress-Archive a b"
      ]
    },
    {
      "id": "WRT",
      "category": "파일",
      "name": "스크립트/페이로드 파일 드롭",
      "description": "Out-File/Set-Content 등으로 다음 단계 스크립트를 디스크에 기록합니다.",
      "mitre": "T1105",
      "mitreName": "Ingress Tool Transfer",
      "tactic": "Command and Control",
      "severity": "Medium",
      "pattern": "\\bOut-File\\b|\\bSet-Content\\b|WriteAll(Text|Bytes)",
      "examples": [
        "$s | Out-File -FilePath $p",
        "[IO.File]::WriteAllBytes($p, $b)",
        "Set-Content $p $v"
      ],
      "counterExamples": [
        "Get-Content $p"
      ]
    },
    {
      "id": "DEL",
      "category": "방어 회피",
      "name": "파일 삭제 (흔적 제거)",
      "description": "사용한 파일을 삭제해 흔적을 지웁니다.",
      "mitre": "T1070.004",
      "mitreName": "File Deletion",
      "tactic": "Defense Evasion",
      "severity": "Low",
      "pattern": "\\bRemove-Item\\b|IO\\.File\\]::Delete",
      "examples": [
        "Remove-Item $p -Force",
        "[IO.File]::Delete($p)"
      ],
      "counterExamples": [
        "Get-ChildItem $p"
      ]
    },
    {
      "id": "SIZ",
      "category": "실행",
      "name": "다운로드 결과 검증",
      "description": "받은 파일 크기를 확인해 정상 페이로드인 경우에만 실행합니다.",
      "mitre": "",
      "mitreName": "",
      "tactic": "",
      "severity": "Info",
      "pattern": "\\.Length\\s+-ge\\s+\\d{3,}",
      "examples": [
        "If ((Get-Item $f).Length -ge 31451) {"
      ],
      "counterExamples": [
        "if ($a.Length -ge 2) {"
      ]
    }
  ],
  "commands": [
    {
      "pattern": "\\bInvoke-Expression\\b|\\biex\\b",
      "name": "Invoke-Expression (iex)",
      "kind": "Cmdlet",
      "description": "문자열을 PowerShell 코드로 해석해 즉시 실행합니다. 난독화된 페이로드를 풀어서 실행하는 가장 대표적인 수단입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bInvoke-Command\\b|\\bicm\\b",
      "name": "Invoke-Command",
      "kind": "Cmdlet",
      "description": "스크립트 블록을 로컬/원격에서 실행합니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bNew-Object\\b",
      "name": "New-Object",
      "kind": "Cmdlet",
      "description": ".NET 또는 COM 객체를 생성합니다. 악성 스크립트는 주로 Net.WebClient, WScript.Shell 생성에 사용합니다.",
      "suspicious": false
    },
    {
      "pattern": "Net\\.WebClient",
      "name": "System.Net.WebClient",
      "kind": ".NET 클래스",
      "description": "HTTP/FTP로 데이터를 주고받는 .NET 클래스입니다. 악성 다운로더가 페이로드를 받을 때 가장 흔히 사용합니다.",
      "suspicious": true
    },
    {
      "pattern": "\\.DownloadFile(Async)?\\b",
      "name": "WebClient.DownloadFile",
      "kind": ".NET 메서드",
      "description": "원격 URL의 파일을 지정한 로컬 경로에 저장합니다. 실행 파일(.exe) 드롭에 사용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\.DownloadString\\b",
      "name": "WebClient.DownloadString",
      "kind": ".NET 메서드",
      "description": "원격 URL의 내용을 문자열로 받아옵니다. 보통 iex 와 결합되어 디스크에 남지 않는(파일리스) 실행에 쓰입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\.DownloadData\\b",
      "name": "WebClient.DownloadData",
      "kind": ".NET 메서드",
      "description": "원격 데이터를 바이트 배열로 받아옵니다. 메모리 내 어셈블리 로드와 결합되는 경우가 많습니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bInvoke-WebRequest\\b|\\biwr\\b",
      "name": "Invoke-WebRequest (iwr)",
      "kind": "Cmdlet",
      "description": "HTTP 요청을 보내고 응답을 받습니다. -OutFile 옵션으로 파일을 다운로드할 수 있습니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bInvoke-RestMethod\\b|\\birm\\b",
      "name": "Invoke-RestMethod (irm)",
      "kind": "Cmdlet",
      "description": "REST API를 호출합니다. C2 서버 통신·데이터 유출에 악용될 수 있습니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bStart-BitsTransfer\\b",
      "name": "Start-BitsTransfer",
      "kind": "Cmdlet",
      "description": "BITS 서비스를 이용한 백그라운드 파일 전송입니다. 탐지 회피용 다운로드에 악용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bInvoke-Item\\b",
      "name": "Invoke-Item",
      "kind": "Cmdlet",
      "description": "파일을 기본 연결 프로그램으로 실행합니다. 다운로드한 실행 파일을 실행하는 데 사용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bStart-Process\\b|\\bsaps\\b",
      "name": "Start-Process",
      "kind": "Cmdlet",
      "description": "새 프로세스를 시작합니다. -WindowStyle Hidden 과 함께 쓰이면 사용자 몰래 실행됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bNew-Item\\b|\\bni\\b",
      "name": "New-Item",
      "kind": "Cmdlet",
      "description": "파일·폴더·레지스트리 키를 생성합니다. 페이로드를 저장할 작업 폴더를 만드는 데 사용됩니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bGet-Item\\b",
      "name": "Get-Item",
      "kind": "Cmdlet",
      "description": "파일/레지스트리 항목 정보를 가져옵니다. (예: 다운로드 파일 크기 확인)",
      "suspicious": false
    },
    {
      "pattern": "\\bTest-Path\\b",
      "name": "Test-Path",
      "kind": "Cmdlet",
      "description": "경로 존재 여부를 확인합니다. 샌드박스 흔적 파일 탐지 등에 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bSet-Content\\b|\\bOut-File\\b|\\bAdd-Content\\b",
      "name": "Set-Content / Out-File",
      "kind": "Cmdlet",
      "description": "파일에 내용을 기록합니다. 2차 스크립트(.ps1/.vbs)를 디스크에 드롭할 때 사용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bGet-Content\\b",
      "name": "Get-Content",
      "kind": "Cmdlet",
      "description": "파일 내용을 읽습니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bRemove-Item\\b",
      "name": "Remove-Item",
      "kind": "Cmdlet",
      "description": "파일/폴더를 삭제합니다. 감염 흔적 제거에 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bMove-Item\\b",
      "name": "Move-Item",
      "kind": "Cmdlet",
      "description": "파일을 이동/이름 변경합니다. 위장 파일명으로 바꾸는 데 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bExpand-Archive\\b",
      "name": "Expand-Archive",
      "kind": "Cmdlet",
      "description": "ZIP 압축을 해제합니다. 압축 형태로 받은 페이로드를 전개합니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bSet-ItemProperty\\b|\\bNew-ItemProperty\\b",
      "name": "Set-ItemProperty",
      "kind": "Cmdlet",
      "description": "레지스트리 값을 설정합니다. Run 키에 등록하면 부팅 시 자동 실행(지속성)됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bGet-ItemProperty\\b",
      "name": "Get-ItemProperty",
      "kind": "Cmdlet",
      "description": "레지스트리 값을 조회합니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bRegister-ScheduledTask\\b|\\bschtasks\\b",
      "name": "Register-ScheduledTask / schtasks",
      "kind": "Cmdlet",
      "description": "예약 작업을 등록합니다. 주기적 실행·지속성 확보에 악용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bGet-CimInstance\\b|\\bGet-WmiObject\\b|\\bgwmi\\b",
      "name": "Get-CimInstance / Get-WmiObject",
      "kind": "Cmdlet",
      "description": "WMI로 시스템 정보를 조회합니다. VM/샌드박스 탐지, 하드웨어(GPU) 확인에 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "Win32_VideoController",
      "name": "Win32_VideoController",
      "kind": "WMI 클래스",
      "description": "그래픽카드 정보입니다. 채굴 악성코드가 GPU 사양을 확인할 때 조회합니다.",
      "suspicious": true
    },
    {
      "pattern": "Win32_SystemDriver",
      "name": "Win32_SystemDriver",
      "kind": "WMI 클래스",
      "description": "설치된 드라이버 목록입니다. QEMU/VirtualBox 드라이버 존재 여부로 가상머신을 탐지합니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bGet-Process\\b",
      "name": "Get-Process",
      "kind": "Cmdlet",
      "description": "실행 중인 프로세스 목록을 조회합니다. 중복 실행 확인이나 분석 도구 탐지에 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bStart-Sleep\\b|\\bsleep\\b",
      "name": "Start-Sleep",
      "kind": "Cmdlet",
      "description": "실행을 지연합니다. 샌드박스의 짧은 분석 시간을 회피하는 용도로 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bClear-History\\b",
      "name": "Clear-History",
      "kind": "Cmdlet",
      "description": "PowerShell 명령 기록을 삭제합니다. 실행 흔적 은폐 목적입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bSet-MpPreference\\b|\\bAdd-MpPreference\\b",
      "name": "Set/Add-MpPreference",
      "kind": "Cmdlet",
      "description": "Windows Defender 설정을 변경합니다. 실시간 감시 해제나 예외 경로 추가로 탐지를 회피합니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bAdd-Type\\b",
      "name": "Add-Type",
      "kind": "Cmdlet",
      "description": "C# 코드를 즉석 컴파일합니다. Win32 API(VirtualAlloc 등) 호출용으로 악용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bConvertTo-SecureString\\b",
      "name": "ConvertTo-SecureString",
      "kind": "Cmdlet",
      "description": "보안 문자열로 변환합니다. 키를 이용해 페이로드를 암호화/복호화하는 난독화에 쓰입니다.",
      "suspicious": true
    },
    {
      "pattern": "FromBase64String",
      "name": "[Convert]::FromBase64String",
      "kind": ".NET 메서드",
      "description": "Base64 문자열을 바이트로 디코딩합니다. 숨겨진 페이로드 복원의 핵심 단계입니다.",
      "suspicious": true
    },
    {
      "pattern": "ToBase64String",
      "name": "[Convert]::ToBase64String",
      "kind": ".NET 메서드",
      "description": "바이트를 Base64 문자열로 인코딩합니다. 데이터 유출 전 인코딩에 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "\\.GetString\\(",
      "name": "Encoding.GetString",
      "kind": ".NET 메서드",
      "description": "바이트 배열을 텍스트로 변환합니다. Base64 디코딩 결과를 스크립트 문자열로 만듭니다.",
      "suspicious": false
    },
    {
      "pattern": "\\[ScriptBlock\\]::Create|ScriptBlock\\]::Create",
      "name": "[ScriptBlock]::Create",
      "kind": ".NET 메서드",
      "description": "문자열에서 실행 가능한 스크립트 블록을 만듭니다. iex 를 대체하는 동적 실행 기법입니다.",
      "suspicious": true
    },
    {
      "pattern": "Reflection\\.Assembly\\]::Load|::Load\\(",
      "name": "[Reflection.Assembly]::Load",
      "kind": ".NET 메서드",
      "description": ".NET 어셈블리(EXE/DLL)를 디스크에 쓰지 않고 메모리에서 직접 로드합니다. 파일리스 공격의 핵심 기법입니다.",
      "suspicious": true
    },
    {
      "pattern": "DeflateStream|GZipStream",
      "name": "DeflateStream / GZipStream",
      "kind": ".NET 클래스",
      "description": "압축된 데이터를 해제합니다. 페이로드 크기를 줄이고 탐지를 피하기 위해 압축합니다.",
      "suspicious": true
    },
    {
      "pattern": "-bxor",
      "name": "-bxor 연산자",
      "kind": "연산자",
      "description": "비트 XOR 연산입니다. 단순 XOR 암호화된 페이로드를 복호화할 때 사용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "ServicePointManager.*SecurityProtocol|SecurityProtocol",
      "name": "ServicePointManager.SecurityProtocol",
      "kind": ".NET 속성",
      "description": "TLS 버전을 강제로 지정합니다. HTTPS 기반 C2/다운로드 서버와의 통신 실패를 방지하기 위한 준비 단계입니다.",
      "suspicious": false
    },
    {
      "pattern": "WScript\\.Shell",
      "name": "WScript.Shell",
      "kind": "COM 객체",
      "description": "Windows 셸 기능(프로그램 실행·레지스트리 접근)을 제공하는 COM 객체입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bwscript(\\.exe)?\\b",
      "name": "wscript.exe",
      "kind": "외부 프로그램",
      "description": "VBScript/JScript 실행기입니다. VBS 런처로 창 없이 프로그램을 실행할 때 쓰입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bnetsh\\b",
      "name": "netsh",
      "kind": "외부 프로그램",
      "description": "네트워크 설정 도구입니다. winsock/IP 스택 초기화, 방화벽 규칙 변경 등에 사용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bipconfig\\b",
      "name": "ipconfig",
      "kind": "외부 프로그램",
      "description": "IP 설정을 조회/갱신합니다. /release·/renew 로 네트워크 연결을 재설정합니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bcmd(\\.exe)?\\b\\s+/c",
      "name": "cmd.exe /c",
      "kind": "외부 프로그램",
      "description": "명령 프롬프트로 단일 명령을 실행합니다.",
      "suspicious": false
    },
    {
      "pattern": "\\bmshta\\b",
      "name": "mshta.exe",
      "kind": "외부 프로그램",
      "description": "HTA(HTML 애플리케이션) 실행기입니다. 원격 스크립트 실행에 자주 악용되는 LOLBin 입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\brundll32\\b",
      "name": "rundll32.exe",
      "kind": "외부 프로그램",
      "description": "DLL 함수를 실행합니다. 악성 DLL 실행에 악용되는 LOLBin 입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bregsvr32\\b",
      "name": "regsvr32.exe",
      "kind": "외부 프로그램",
      "description": "COM DLL 등록 도구입니다. 원격 스크립틀릿 실행(Squiblydoo)에 악용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bcertutil\\b",
      "name": "certutil.exe",
      "kind": "외부 프로그램",
      "description": "인증서 도구이지만 파일 다운로드·Base64 디코딩에 악용되는 LOLBin 입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bvssadmin\\b",
      "name": "vssadmin.exe",
      "kind": "외부 프로그램",
      "description": "볼륨 섀도 복사본 관리 도구입니다. 랜섬웨어가 백업을 삭제할 때 사용합니다.",
      "suspicious": true
    },
    {
      "pattern": "stratum\\+(tcp|ssl)",
      "name": "stratum 프로토콜",
      "kind": "네트워크 프로토콜",
      "description": "암호화폐 채굴 풀과 통신하는 프로토콜입니다. 존재 자체가 채굴 악성코드의 강력한 증거입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\[IO\\.File\\]::Open|IO\\.File\\]::Open",
      "name": "[IO.File]::Open (FileShare None)",
      "kind": ".NET 메서드",
      "description": "파일을 배타적으로 열어 잠금 파일(뮤텍스)처럼 사용합니다. 중복 실행을 방지합니다.",
      "suspicious": false
    },
    {
      "pattern": "Get-Random",
      "name": "Get-Random",
      "kind": "Cmdlet",
      "description": "난수를 생성합니다. 무작위 이름(작업자/파일명) 생성에 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "CurrentVersion\\\\Run",
      "name": "HKCU\\...\\CurrentVersion\\Run",
      "kind": "레지스트리 키",
      "description": "사용자 로그온 시 자동 실행되는 프로그램 목록입니다. 대표적인 지속성 확보 위치입니다.",
      "suspicious": true
    },
    {
      "pattern": "\\$env:(temp|tmp)\\b|%TEMP%",
      "name": "$env:TEMP",
      "kind": "환경 변수",
      "description": "사용자 임시 폴더입니다. 권한 없이 쓰기 가능해 페이로드 저장 위치로 애용됩니다.",
      "suspicious": false
    },
    {
      "pattern": "\\$env:APPDATA|%APPDATA%",
      "name": "$env:APPDATA",
      "kind": "환경 변수",
      "description": "사용자 앱 데이터 폴더입니다. 정상 프로그램 폴더로 위장한 악성 파일 저장에 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "C:\\\\Users\\\\Public",
      "name": "C:\\Users\\Public",
      "kind": "경로",
      "description": "모든 사용자가 쓰기 가능한 공용 폴더입니다. 악성 스크립트 드롭 위치로 자주 쓰입니다.",
      "suspicious": false
    },
    {
      "pattern": "VirtualAlloc|CreateThread|WriteProcessMemory|CreateRemoteThread",
      "name": "VirtualAlloc / CreateThread",
      "kind": "Win32 API",
      "description": "메모리 할당 후 쉘코드를 실행하는 API 조합입니다. 프로세스 인젝션의 전형적인 패턴입니다.",
      "suspicious": true
    },
    {
      "pattern": "AmsiUtils|amsiInitFailed|AmsiScanBuffer",
      "name": "AMSI 우회",
      "kind": "보안 우회",
      "description": "Antimalware Scan Interface를 무력화해 백신의 스크립트 검사를 회피합니다.",
      "suspicious": true
    },
    {
      "pattern": "\\bTcpClient\\b|Net\\.Sockets",
      "name": "Net.Sockets.TcpClient",
      "kind": ".NET 클래스",
      "description": "TCP 소켓 연결입니다. 리버스 셸/C2 통신에 사용됩니다.",
      "suspicious": true
    },
    {
      "pattern": "-EncodedCommand|-enc\\b|-ec\\b|(?<=\\s)-e(?=\\s)",
      "name": "-EncodedCommand",
      "kind": "PowerShell 옵션",
      "description": "Base64(UTF-16LE)로 인코딩된 명령을 실행합니다. 명령 내용을 숨기기 위해 사용합니다.",
      "suspicious": true
    },
    {
      "pattern": "-w(indowstyle)?\\s+h(idden)?\\b",
      "name": "-WindowStyle Hidden",
      "kind": "PowerShell 옵션",
      "description": "PowerShell 창을 숨겨 사용자가 실행 사실을 알아채지 못하게 합니다.",
      "suspicious": true
    },
    {
      "pattern": "-ex(ecutionpolicy)?\\s+bypass|-ep\\s+bypass",
      "name": "-ExecutionPolicy Bypass",
      "kind": "PowerShell 옵션",
      "description": "스크립트 실행 정책을 무시하고 실행합니다.",
      "suspicious": true
    },
    {
      "pattern": "-nop(rofile)?\\b",
      "name": "-NoProfile",
      "kind": "PowerShell 옵션",
      "description": "사용자 프로필 스크립트를 로드하지 않고 실행합니다(흔적·지연 최소화).",
      "suspicious": false
    },
    {
      "pattern": "-noni(nteractive)?\\b",
      "name": "-NonInteractive",
      "kind": "PowerShell 옵션",
      "description": "사용자 입력 없이 비대화형으로 실행합니다.",
      "suspicious": false
    }
  ]
}