CVE-2024-57394

Qi-ANXIN Tianqing Endpoint Security Management System(버전 10.0에서 테스트됨)에서 취약점이 식별되었습니다. 이 취약점으로 인해 낮은 권한의 사용자가 격리된 파일을 C:\Windows\System32와 같은 임의의 위치로 복원할 수 있습니다. 공격자는 악성 DLL 파일을 제작하여 C:\Windows\System32로 복원하고, 알려진 DLL 하이재킹 취약점(예: StorSvc를 통한 LPE)을 악용하여 SYSTEM 권한으로 상승시킬 수 있습니다.

재현 단계

악성 명령을 실행하는 sprintcsp.dll이라는 악성 DLL을 제작합니다.

대상 시스템에 DLL을 배치하면 파일이 격리됩니다.

EDR 클라이언트에서 파일을 복원 및 신뢰합니다.

파일이 C:\Windows\System32에 성공적으로 기록됩니다.

RpcClient.exe를 생성합니다. 이는 StorSvc 서비스의 DLL 하이재킹 취약점을 활용하여 악성 DLL sprintcsp.dll을 실행합니다. 개념 증명으로, DLL은 abc라는 서비스를 생성하고 C:\Users\Public\test.exe 바이너리를 SYSTEM 권한으로 실행합니다. 참고: https://github.com/blackarrowsec/redteam-research/tree/master/LPE%20via%20StorSvc