로그인 없이
콘솔을 눌러 보세요

랜섬웨어 실행 의심 · CASE-2611-0412

1. 증거 메일 첨부파일 invoice_1103.docm 실행 후 PowerShell 자식 프로세스 생성 (T1566.001, T1059.001)
2. 증거 vssadmin.exe delete shadows /all /quiet 실행 (T1490)
3. 증거 6초 동안 파일 412개 확장자 변경
4. 근거 세 행동이 같은 호스트에서 7분 안에 이어짐. 랜섬웨어 실행 단계와 순서가 같음
5. 판정 랜섬웨어 실행 의심 · 신뢰도 0.94
6. 권고 호스트 네트워크 격리 (담당자 승인 필요) · 같은 첨부파일을 받은 메일함 4곳 확인

기록: 입력 해시 9f3a…c21e · 모델 v3.2 · 정책 P-07 · 판정 기록 읽는 법

사내 챗봇 외부 발송 시도 · CASE-2611-0381

1. 증거 업로드된 문서 안에 숨은 지시문 ("이전 지시를 무시하고…")
2. 증거 챗봇이 고객 조회 도구를 평소보다 12배 많이 호출
3. 증거 mail.send 도구로 외부 주소 발송 시도 (정책에 의해 차단)
4. 근거 문서 안 지시를 따른 도구 호출 순서. 간접 프롬프트 인젝션 패턴 (OWASP LLM01)
5. 판정 프롬프트 인젝션에 의한 도구 오남용 · 신뢰도 0.88
6. 권고 세션 종료 · 문서 출처 차단 · 챗봇의 외부 발송 권한 제거

새벽 시간 대량 다운로드 · CASE-2611-0377

1. 증거 02:14 VPN 접속, 평소 접속 시간대(09~19시) 밖
2. 증거 설계 문서 저장소에서 40분 동안 1,820개 파일 다운로드 (평소 하루 평균 30개)
3. 증거 같은 계정이 퇴사 예정 명단에 있음 (HR 연동)
4. 근거 계정 기준선에서 크게 벗어남. 다만 업무 인계 기간일 수 있어 사람 확인 필요
5. 판정 내부 정보 유출 가능성 · 신뢰도 0.71
6. 권고 계정 다운로드 제한 · 담당 부서장 확인