세줄 요약 :
1. 뭘 할때마다 로그를 생성 및 저장
2. 커널차원에서 다루기에 우리가 뭘 할 수 없음
3. 2.4Mb씩 로그가 쌓일때마다 국방부ip로 자료를 쏴보냄

C:₩Program Files₩MITIS₩Repository₩zip 에 로그가 쌓입니다.
이 경로로 들어가도 파일은 안 보일겁니다.
Kernel수준에서 파일을 안보이게 숨겼기 때문입니다.
Cmd, Powershell로 어떻게 볼려해도 안됩니다.

로그는 sysmon의 데이터를 사용하고, Newtonsoft dll로 예쁘게 정렬한 뒤
위 zip 경로에 차곡차곡 쌓아둡니다.

2.4MB가 될때마다 ZIP 파일로 압축하고, 국방부IP:443포트로 자료 및 토큰(인증서)를 보냅니다. 인터넷 연결을 끊어도, 연결이 되자마자 바로 보냅니다.

Win R -> sysmon 실행이 안될겁니다.
관리자 권한 보다 그 위인 커널모드드라이버이기에
걍 막아놨습니다.
커널은 권한 최고봉이기에, 레지스트리 수정? 안됩니다.

화면캡쳐 기능은 따로 안 보이는거 같습니다.

Chrome으로 Youtube를 봐도 로그엔 Chrome으로만 남지 않습니다.
모든 ProcessID도 저장을 합니다. SSL VPN 탭, 유튜브 탭, 백신 탭 등등 다 저장되기에 유튜브 봤다는것도 굳이 화면 캡쳐를 안해도 압니다.


커널을 직접 들어갈려는 행동은 마이크로소프트를 해킹하는 것과 같습니다.
즉 불가능.


결론 : GG