🤨 “OOO”이라고 속이면 해커들도 당한다고?

🤨 “OOO”이라고 속이면 해커들도 당한다고?

구독자님 안녕하세요, 혹시 PoC라고 들어보셨나요? 보안에서 말하는 PoC(Proof of Concept)는 ‘취약점이 실제로 존재하는지 가볍게 실험해보는 예제 코드’ 정도로 생각하시면 돼요. 취약점 연구를 위해 다른 사람이 작성한 PoC를 가져다 쓰기도 하는데 이때 아무거나 무턱대고 사용하면 큰일 날 수도 있습니다! 왜 그런지는 아래의 사례들을 통해 알아보시죠!

🥸 저 PoC 맞아요~(아님)

첫 번째로 알아볼 사례는 PoC인 척 위장한 악성코드입니다. 최근인 2025년 1월 8일 @AabyssZG라는 유저가 X에 위의 이미지를 게시물로 공유했습니다. 글에서는 지금은 사라진 어떤 깃헙 레포지토리가 사실은 이름처럼 CVE-2024-35250의 PoC가 아닌 악성코드라는 것을 설명하고 있었는데요? 보통 Windows 커널 드라이버의 PoC는 C나 C++로 작성해서 Windows에서 자주 사용하는 IDE인 Visual Studio의 프로젝트나 솔루션(.sln) 파일로 소스코드를 공유하게 됩니다.

CVE-2024-35250 또한 이러한 Windows의 커널 드라이버 취약점의 PoC였기 때문에 Visual Studio의 솔루션 파일이 포함되어 있었고 연구자는 이를 사용해보기 위해 해당 솔루션을 Visual Studio로 열어서 프로젝트를 빌드해서 실행파일(.exe)로 컴파일해서 이를 실행하게 됩니다. 이때 솔루션이 로드되면 PoC에 포함된 .suo 파일이 로드되고 이로 인해 악성코드가 실행됩니다. 자세한 분석은 이 링크에서 확인하실 수 있습니다!

🐟그러나 아무 일도 일어나지 않았다

두 번째로 알아볼 사례는 가짜 PoC이지만 아무런 피해도 없고 의도도 알 수 없는 케이스입니다. 이게 대체 뭔가 싶지만 정말로 PoC인척만 하고 무슨 의도인지도 잘 모르겠는 경우입니다. 😅

이러한 사례도 또한 최근인 2024년 12월 30일에 있었는데요? 바로 7-zip이라는 유명한 압축 유틸리티의 임의 코드 실행 취약점의 PoC가 X에 공유된 것입니다.

해당 PoC의 원본은 삭제되었지만 이 링크에 아카이브되어 있는 것을 확인할 수 있었습니다. 코드를 살펴보면 굉장히 간결하지만 쉘코드가 정의되어 있고 주석으로 어떤 함수에 어떤 취약점이 존재하는지 설명하는 등 정말 그럴듯하게 작성되어 있는데요?🧐 하지만 SourceForge에서 개발자의 답변을 보면 알 수 있는 것처럼 그럴듯 하기만 하지 사실은 엉터리로 짜인 코드라는 것을 알 수 있습니다.😒

PoC에서 취약하다고 설명하고 있는 RC_NORM은 사실 함수가 아니라 매크로이고 LZMA 디코더가 아니라 LZMA 인코더와 PPMD 디코더에서 사용된다고 하죠. 대체 무슨 의도로 이런 행위를 했는지는 알 수 없지만 위 답변처럼 PoC 코드 LLM으로 생성되었을 가능성도 있어보입니다🤖.

취약점 분석을 하면서 깃헙에서 가져온 PoC를 사용해봤더니 제대로 동작하지 않는 경우는 의외로 자주 발생할 수 있으니 취약점에 대한 지식 없이 무작정 PoC부터 돌려보는 일은 없는게 좋겠죠? 또한 깃헙에서 PoC를 찾을 때 레포지토리에 스타가 얼마나 많은지 확인해보는 것도 확실한 필터링 방법이라고 할 수 있겠네요 🤩

💉 Github이 아니라 VirusTotal로 가셔야 할 것 같은데…

최근에 Windows의 LDAP(Lightweight Directory Access Protocol)에서 두 개의 취약점들(CVE-2024-49112, CVE-2024-49113)이 공개되어 많은 관심을 받는 일이 있었는데요?

이 중에서도 CVE-2024-49113은 취약점의 Impact가 Information Leak이 아닌 Denial of Service로 잘못 기재되어 혼란을 야기하기도 했습니다 😅

마지막으로 알아볼 사례는 이 CVE-2024-49113의 PoC로 위장한 악성코드입니다. 맨 처음에 살펴본 CVE-2024-35250는 그래도 .suo 파일을 나름 숨기려고 노력이라도 했지만 이 녀석은 아예 대놓고 poc.exe를 실행하라고 하는 군요 😒

지금은 깃허브에서 이 레포지토리와 사용자를 모두 찾을 수 없지만 인터넷 아카이브에서 그 흔적을 찾을 수 있었습니다.

소스코드도 공유하지 않고 있지만 Readme.md를 보면 꽤나 신경을 쓴 모습입니다. 간단한 개요와 함께 아래와 같이 사용법과 어떤 원리로 동작하는지도 설명하고 있네요.

그리고 이 레포지토리를 소유한 사용자의 이름을 보면 윤재(YoonJae-rep)라는 한국식 이름을 사용하고 있고 과 레포지토리에 대한 설명(About)에도 한글을 사용하고 있습니다 😱 물론 이것만으로 “작성자는 한국인이다!”라고 단정하긴 어려워 보입니다. About에서 취약점이 아닌 취약성이라는 단어가 사용된 것을 볼 수 있는데 이는 종종 Vulnerability를 한국어로 번역했을 때 볼 수 있어서 번역기 사용이 의심스럽기도 하네요🤔

아무튼 저 poc.exe를 실행하면 powershell 스크립트가 %TEMP% 경로에 생성된 다음 실행되어 작업 스케쥴러에 새로운 작업을 추가하는데요? 그 결과로 아래처럼 시스템 정보를 수집해서 ftp를 통해 서버로 전송하는 스크립트가 주기적으로 실행됩니다 🤯

Information Leak 취약점의 PoC가 사실은 Information Stealer였다는게 참 운명의 장난같군요… 😵

마치며

오늘은 이렇게 몇 가지의 요상한 PoC들을 사례를 통해 알아봤습니다! 다른건 몰라도 PoC로 위장한 두 악성코드의 사례를 보면 완전히 보안 연구자를 대상으로 한 해킹 시도임을 알 수 있는데요? 해커라고 해킹 안 당하는 법은 없죠! 항상 조심 또 조심입니다.

취약점 분석을 하면서 공개된 PoC를 가져다 사용할 때는 악성코드는 아닐지 꼼꼼히 체크해보고 꼭‼ 가상머신처럼 격리된 환경에서 실행할 수 있도록 해야겠습니다 😤

긴 글 읽어주셔서 감사하고 다음에도 재미난 주제로 찾아 뵙겠습니다! 🫡

구독자님, 오늘 뉴스레터는 어떠셨나요?
해킹/보안 관련 콘텐츠를 계속 받아보고 싶으시다면 구독 부탁드려요! 🙌