🔵 EternalBlue (CVE-2017-0144)

Microsoft SMBv1 프로토콜의 치명적 원격 코드 실행 취약점

📌 개요

EternalBlue는 Microsoft의 Server Message Block version 1 (SMBv1) 프로토콜에서 발견된 치명적 취약점으로, 인증 없이 취약한 Windows 시스템에서 원격으로 임의 코드를 실행할 수 있습니다.

이 익스플로잇은 NSA에 의해 개발되었으며, 2017년 해킹 그룹 Shadow Brokers에 의해 유출되었습니다. 이후 WannaCry 및 NotPetya와 같은 글로벌 랜섬웨어 캠페인에 무기화되면서 널리 알려지게 되었습니다.

🆔 취약점 상세 정보

⚠️ 영향

성공적인 익스플로잇은 다음을 초래할 수 있습니다:

• 💀 SYSTEM 권한으로 원격 코드 실행
• 🖥️ 취약한 시스템의 완전한 장악
• 🌐 네트워크 전반으로 웜처럼 확산
• 🔐 랜섬웨어 또는 악성코드 배포
• 📂 데이터 도난, 파괴 또는 암호화
• 🚨 대규모 조직 중단 사태

📸 데모

🛑 WannaCry 랜섬웨어 (2017년 5월) 🛑

WannaCry는 EternalBlue를 사용하여 네트워크 전체에 자동으로 확산되었습니다.

영향:

• 🌍 200,000대 이상의 컴퓨터 감염
• 🌎 150개국 이상 영향
• 🏥 병원, 기업, 통신사, 정부 서비스 마비
• 💰 수십억 달러의 피해 발생

🛑 NotPetya 랜섬웨어 (2017년 6월) 🛑

NotPetya는 EternalBlue를 다른 확산 기술과 결합했습니다.

영향:

• 🏢 다국적 조직 표적
• 💾 단순 암호화 대신 데이터 파괴
• 💸 추정 피해액 100억 달러 초과
• 🌍 역사상 가장 파괴적인 사이버 공격 중 하나

🔥 EternalBlue가 위험했던 이유

인터넷
    |
    v
노출된 SMBv1 포트 (TCP 445)
    |
    v
특수 제작된 SMB 패킷
    |
    v
커널 메모리 손상
    |
    v
원격 코드 실행
    |
    v
SYSTEM 수준 접근
    |
    v
자동 네트워크 확산

🛡️ 완화

즉시 조치

• ✅ Microsoft 보안 업데이트 MS17-010 적용
• ✅ 필요하지 않은 경우 SMBv1 비활성화
• ✅ 신뢰할 수 없는 네트워크에서 SMB 트래픽 (TCP 445번 포트) 차단
• ✅ 내부 네트워크 분할
• ✅ Windows 시스템 최신 상태 유지
• ✅ 최신 엔드포인트 보호 솔루션 사용
• ✅ 비정상적인 SMB 활동 모니터링

🔍 탐지 지표

공격 가능성을 나타내는 징후:

• TCP/445 포트를 통한 비정상적인 SMB 트래픽
• 시스템 간 급속한 측면 이동
• cmd.exe 또는 powershell.exe 같은 프로세스의 예기치 않은 생성
• 랜섬웨어 활동 또는 대량 파일 수정

📊 CVSS 벡터

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

🗓 타임라인

📚 참고 자료

• Microsoft 보안 게시판 MS17-010
• MITRE CVE-2017-0144
• CISA 알려진 익스플로잇 취약점 카탈로그

⚠️ 면책 조항

이 저장소는 교육 및 방어적 사이버 보안 목적으로만 제공됩니다.
명시적 허가 없이 이 정보를 사용하여 시스템을 공격하지 마십시오.

🔵 EternalBlue • CVE-2017-0144 • SMBv1 RCE