CVE-2025-0411: 7-Zip MoTW 우회 취약점

소개

CVE-2025-0411은 7-Zip의 결함으로, Windows의 Mark-of-the-Web (MoTW)을 우회하여 조작된 아카이브의 악성 파일이 경고 없이 실행되도록 합니다. SmokeLoader 캠페인에서 악용되었으며, 7-Zip이 자동 업데이트를 지원하지 않아 위험을 초래합니다.

MoTW란 무엇인가?

MoTW는 대체 데이터 스트림(ADS)을 통해 인터넷에서 다운로드된 파일을 안전하지 않은 것으로 표시하여 경고 또는 Protected View를 트리거합니다. 파일 처리 중에 보존되는 경우에만 효과적입니다.

기술적 세부 사항

7-Zip은 중첩된 아카이브에서 추출된 파일로 MoTW의 Zone.Identifier ADS를 전파하지 못하여 악성 콘텐츠의 조용한 실행을 가능하게 합니다.

실제 악용 사례

• 악성코드: UAC-0006과 연계된 SmokeLoader 캠페인이 위장된 파일로 우크라이나를 표적으로 삼습니다.
• 과거 악용: CVE-2024-38213 및 CVE-2024-21412(DarkGate)와 유사합니다.

공격 기술

• MoTW를 전달하지 않는 비NTFS 컨테이너(.iso, .vhd)를 사용합니다.
• 7-Zip과 같은 아카이빙 도구를 악용하여 MoTW를 제거합니다.
• JavaScript를 통해 MoTW를 우회하는 HTML 스미글링을 사용합니다.

방어 조치

• 소프트웨어 업데이트: 7-Zip을 수동으로 패치합니다.
• 그룹 정책: MoTW 처리를 강제합니다.
• 위협 보호: 컨테이너 파일을 검사합니다.
• 사용자 교육: 신뢰할 수 없는 파일을 피합니다.

결론

CVE-2025-0411은 MoTW 우회의 위험성을 보여줍니다. 패치는 제공되었지만 자동 업데이트가 없으므로, 사전 예방적 업데이트와 인식이 위험을 줄이는 핵심입니다.