KOROMOON

( 1 ) 불필요한 윈도우 사용자 계정 존재 여부

① PowerShell 명령어 (현재 계정)

Get-LocalUser | Select Name,Enabled,LastLogon

② PowerShell 명령어 (과거 프로필 흔적)

Get-CimInstance Win32_UserProfile |

Where-Object { -not $_.Special } |

Select-Object LocalPath,SID,Loaded,LastUseTime

③ GUI 방식 (현재)

compmgmt.msc → 컴퓨터 관리 → 시스템 도구 → 로컬 사용자 및 그룹 → 사용자

④ GUI 방식 (과거)

sysdm.cpl → 고급 → 사용자 프로필 → 설정

⑤ 이벤트 뷰어

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 보안 → 오른쪽 「현재 로그 필터링」

4720,4722,4725,4726,4738,4732,4733

4720 사용자 계정 생성

4722 사용자 계정 활성화

4725 사용자 계정 비활성화

4726 사용자 계정 삭제

4738 사용자 계정 변경

4732 로컬 보안 그룹에 사용자 추가

4733 로컬 보안 그룹에서 사용자 제거

( 2 ) USB 사용 여부

① GUI 방식 (과거)

devmgmt.msc → 숨겨진 장치 표시 → 디스크 드라이브 → USB 장치 속성 → 자세히/이벤트

② 이벤트 뷰어

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 보안 → 오른쪽 「현재 로그 필터링」

6416,6419,6420,6421,6422,6423,6424

6416 외부 장치 인식

6419 장치 비활성화 요청

6420 장치 비활성화

6421 장치 활성화 요청

6422 장치 활성화

6423 정책에 의해 장치 설치 금지

6424 이전에 금지됐던 장치 설치 허용

( 3 ) 인터넷 사용이력

① cmd 명령어 (최근 인터넷 흔적)

ipconfig /displaydns

② GUI 방식 (현재 네트워크 상태)

백신(V3 등)에서 체크

resmon.exe → 리소스 모니터 → 네트워크 → TCP 연결

③ GUI 방식 (과거)

Edge 실행 → "edge://history" 명령어 입력 또는 검색 기록

Chrome 실행 → "chrome://history" 명령어 입력 또는 방문 기록

( 4 ) 공유폴더 존재 여부

① cmd, PowerShell 명령어 (현재 공유폴더)

net share

Get-SmbShare

② GUI 방식 (현재)

compmgmt.msc → 컴퓨터 관리 → 시스템 도구 → 공유 폴더 → 공유

③ 이벤트 뷰어

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 보안 → 오른쪽 「현재 로그 필터링」

5140,5142,5143,5144

5140 네트워크 공유에 접근

5142 네트워크 공유 생성

5143 네트워크 공유 변경

5144 네트워크 공유 삭제

( 5-1 ) 프로세스

① PowerShell 명령어 (현재 프로세스)

Get-CimInstance Win32_Process | Select ProcessId,Name,ExecutablePath,CommandLine

② GUI 방식 (현재)

Ctrl + Shift + Esc → 작업 관리자 → 프로세스 → 열 제목을 우클릭 → 열 선택 → 프로세스 이름, 명령줄은 필수임

특이한 이름 체크, 아래 위치가 아닌 특이한 위치 체크, 의심되는 프로세스 우클릭하여 파일 속성 중 디지털 서명과 자세히 부분 체크

C:\Program Files (x86)

C:\Program Files

C:\Windows\System32

③ 이벤트 뷰어

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 보안 → 오른쪽 「현재 로그 필터링」

4688 새 프로세스가 생성됨(New Process Created)

은근히 많은 이벤트가 있음.

( 5-2 ) 서비스

① PowerShell 명령어 (현재 서비스)

Get-CimInstance Win32_Service | Select Name,State,StartMode,StartName,PathName | Format-Table -Auto

services.msc <--- 경로가 안나옴. 특정 서비스를 직접 클릭해서 확인해야 됨. 비추임!

② 이벤트 뷰어

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 시스템 → 오른쪽 「현재 로그 필터링」

7045 새 서비스가 시스템에 설치됨

은근히 많은 이벤트가 있음.

( 5-3 ) 작업 스케줄러

① PowerShell 명령어 (현재 예약 작업)

Get-ScheduledTask | Select TaskName,TaskPath,State

② GUI 방식 (현재)

taskschd.msc (compmgmt.msc 에 포함)

특히 「동작」 탭 체크할 것!

③ 이벤트 뷰어

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 보안 → 오른쪽 「현재 로그 필터링」

4698,4699,4700,4701,4702

4698 예약 작업 생성

4699 예약 작업 삭제

4700 예약 작업 활성화

4701 예약 작업 비활성화

4702 예약 작업 변경

eventvwr.msc → 이벤트 뷰어 → 응용 프로그램 및 서비스 로그 → Microsoft → Windows → TaskScheduler → Operational

106,140,141,200,201

106 작업 등록

140 작업 업데이트

141 작업 삭제

200 작업의 Action 시작

201 작업의 Action 완료

이벤트 뷰어 위치에 따라 차이가 있음.

Security 로그 = 누가 작업을 생성/변경했는지

TaskScheduler Operational = 작업이 실제로 언제 실행됐는지

특히 확인할 실행 프로그램

powershell.exe

pwsh.exe

cmd.exe

wscript.exe

cscript.exe

mshta.exe

rundll32.exe

regsvr32.exe

특히 확인할 경로

AppData

Temp

Users\Public

Downloads

C:\Temp

( 5-4 ) 시작 프로그램

① PowerShell 명령어 (현재 시작 프로그램 확인)

Get-CimInstance Win32_StartupCommand | Select Name,Command,Location,User

② 실행창 (현재 사용자의 시작 폴더 확인)

Win + R → shell:startup

③ 실행창 (모든 사용자의 시작 폴더 확인)

Win + R → shell:common startup

④ GUI 방식 (현재)

Ctrl + Shift + Esc → 작업 관리자 → 시작 앱 → 열 제목을 우클릭 → 열 선택 → 시작 유형, 명령줄은 필수임

특이한 이름 체크, 아래 위치가 아닌 특이한 위치 체크, 의심되는 프로세스 우클릭하여 파일 속성 중 디지털 서명과 자세히 부분 체크

C:\Program Files (x86)

C:\Program Files

C:\Windows\System32

Win + I → 앱 → 시작 프로그램 <--- 두번째 GUI 방식인데 위치가 안보여서 비추임!

⑤ 이벤트 뷰어

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 보안 → 오른쪽 「현재 로그 필터링」

4688 새 프로세스가 생성됨(New Process Created)

은근히 많은 이벤트가 있음.

( 5-5 ) 레지스트리

① cmd 명령어 (현재 자동실행 레지스트리 확인)

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run"

reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce"

reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Run"

reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce"

reg query "HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run"

② GUI 방식

1. Win + R → regedit

2. 자동실행 체크

HKCU\Software\Microsoft\Windows\CurrentVersion\Run

HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce

HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run

특히 확인할 경로

AppData

Temp

Users\Public

Downloads

C:\Temp

3. Winlogon 변조 체크

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Shell

reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit

일반적인 정상값

Shell

explorer.exe

Userinit

C:\Windows\system32\userinit.exe,

비정상값

Shell = explorer.exe, C:\Users\Public\abc.exe

③ 이벤트 뷰어

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 보안 → 오른쪽 「현재 로그 필터링」

4657 레지스트리 값이 수정됨

( 5-6 ) 이벤트 뷰어

① Windows Defender 확인

eventvwr.msc → 이벤트 뷰어 → 응용 프로그램 및 서비스 로그 → Microsoft → Windows → Windows Defender → Operational

1116,1117

1116 악성코드/의심 항목 탐지 (중요!)

1117 탐지된 항목에 조치 수행 (중요!)

5001 실시간 보호 비활성화

5007 Defender 설정 변경

② Security 로그 중 행위 추적

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 보안 → 오른쪽 「현재 로그 필터링」

1102,4657,4688,4697,4698,4699,4702

1102 Security 감사 로그 삭제 (중요!, 비정상적인 행위로 간주)

4657 레지스트리 값 변경

4688 프로세스 생성

4697 서비스 설치

4698 예약 작업 생성

4699 예약 작업 삭제

4702 예약 작업 변경

③ System 로그 중 서비스 관련

eventvwr.msc → 이벤트 뷰어 → Windows 로그 → 시스템 → 오른쪽 「현재 로그 필터링」

7031,7040,7045

7031 서비스 비정상 종료

7040 서비스 시작 유형 변경

7045 새로운 서비스 설치

④ PowerShell 실행 흔적

eventvwr.msc → 이벤트 뷰어 → 응용 프로그램 및 서비스 로그 → Microsoft → Windows → PowerShell → Operational

4103,4104

4103 PowerShell 모듈 실행 기록

4104 PowerShell Script Block 실행 기록

특히 4104가 활성화되어 있다면 매우 유용함. 예를 들어 다음과 같은 실행 내용이 남을 수 있음.

다만 Script Block Logging이 활성화되지 않았다면 과거 4104가 없을 수 있음.

powershell.exe

EncodedCommand

Invoke-WebRequest

DownloadString

IEX

ExecutionPolicy Bypass

⑤ 작업 스케줄러 실제 실행 기록

eventvwr.msc → 이벤트 뷰어 → 응용 프로그램 및 서비스 로그 → Microsoft → Windows → TaskScheduler → Operational

106,140,141,200,201

106 예약 작업 등록

140 예약 작업 업데이트

141 예약 작업 삭제

200 작업 Action 실행 시작

201 작업 Action 완료

ps.

PowerShell 에서 보기좋게 하는 옵션

Format-Table -Auto

컴퓨터 관리 명령어

compmgmt.msc

이벤트 뷰어 명령어

eventvwr.msc

윈도우 실행창 열기

Win + R