LDAP 취약점을 악용한 정보 탈취 악성코드 배포

Weaponized LDAP Exploit Deploys Information-Stealing Malware

Weaponized LDAP Exploit Deploys Information-Stealing Malware

 

• LDAP 취약점(CVE-2024-49112, CVE-2024-49113) 악용
  • CVE-2024-49113은 "LDAPNightmare"로 명명된 심각한 취약점
  • 사이버 범죄자들이 이 취약점을 활용한 악성 PoC(Proof-of-Concept) 배포
  • 보안 연구자와 시스템 관리자를 속여 악성 파일 다운로드 및 실행 유도
• 악성 코드의 동작 메커니즘
  • 악성 PoC.exe 파일 실행 시 다음과 같은 행위 발생
    • PowerShell 스크립트를 %Temp% 디렉토리에 드롭 및 실행
    • 스케줄 작업 생성으로 지속적 감염 유지
    • Pastebin에서 추가 스크립트 다운로드 및 실행
    • 피해자의 공용 IP 주소를 외부 서버로 전송
  • 수집 데이터: 컴퓨터 사양, 실행 중인 프로세스, 네트워크 구성, 설치된 업데이트 등
  • 데이터를 ZIP 알고리즘으로 압축 후, FTP를 통해 외부 서버로 전송
• 악성 코드 배포 방식
  • 합법적인 Python 저장소를 포크(fork)하여 실행 파일(poc.exe) 삽입
  • Python 프로젝트에서 실행 파일 존재는 비정상적이며 악성 활동 가능성을 시사
  • 피해자가 실행 파일을 다운로드 및 실행하도록 유도
• 방어 및 완화 전략
  • 공식 소스 및 신뢰할 수 있는 저장소에서만 코드 다운로드
  • 의심스러운 레포지토리 확인 방법
    • Stars, Forks, Contributors 수가 적은 경우 주의
    • 커밋 히스토리 및 최근 변경사항에 대한 철저한 검토
    • 저장소 내 토론 및 이슈 트래커에서 경고 신호 확인
  • 레포지토리 소유자의 신원을 가능한 한 확인
  • 보안 솔루션 및 엔드포인트 탐지 및 대응(EDR) 도구를 사용해 악성 활동 사전 차단
• 결론
  • 사이버 범죄자들이 고위험 취약점의 인기를 악용하여 악성 코드를 배포하고 있음
  • 보안 담당자는 공식 소스 검증과 정기적 취약점 관리를 통해 위험을 최소화해야 함
  • 악성 코드가 시스템에 유입되지 않도록 코드 리뷰 프로세스를 강화할 필요가 있음