cve-2025-55182-scanner

CVE-2025-55182 침해 지표 스캐너

이 저장소는 CVE-2025-55182(React Server Components RCE) 및 Asleepace 사고 보고서에 설명된 특정 다단계 멀웨어와 관련된 침해 지표를 스캔하는 Python 기반 스캐너를 제공합니다. Linux 및 macOS에서 실행되도록 설계되었으며 손상된 시스템에 나타날 가능성이 있는 호스트 수준 및 애플리케이션 수준 아티팩트에 중점을 둡니다.

이 스캐너가 확인하는 항목

• 파일 시스템 IoC: 사고 보고서에 설명된 알려진 악성 경로 및 바이너리 (예: meshagent, fghgf, defunct, 0dd1429aws, systemd-daemon, sex.sh, 임시 kodoha*/xmrig 및 관련 페이로드/스크립트 위치).
• 의심스러운 프로세스: 명령줄에 meshagent, nextjss, nginxx, fghgf, xmrig, systemd-daemon 또는 docker-daemon과 같은 알려진 멀웨어 식별자를 포함하는 프로세스.
• systemd 서비스 (Linux): nginxx.service, nextjss.service, system-daemon.service, system-update-service.service와 같은 의심스러운 서비스 및 유닛 파일의 존재.
• Cron 지속성: 알려진 멀웨어 구성 요소를 참조하는 시스템 및 사용자 crontab 항목 (예: MeshAgent 숨김 크론, XMRig 마이너, health/find/sex 스크립트, 또는 bind-mount /proc 은닉 기술).
• JavaScript XOR 주입: 사고 보고서에 설명된 대로 node_modules 및 ecosystem.config.js에 주입된 XOR 인코딩 로더가 사용하는 xorDecode( 패턴을 포함하는 JavaScript/TypeScript 파일.

이 스캐너는 치료를 시도하지 않으며, 의심스러운 항목을 보고만 하고 의심스러운 것이 감지되면 0이 아닌 종료 코드를 반환합니다.

요구 사항

• Python: 3.8+ 권장
• OS: Linux 또는 macOS

이 스크립트는 Python 표준 라이브러리만 사용합니다. 외부 Python 패키지는 필요하지 않습니다.

기본 사용법

• 저장소 루트에서 실행 (기본, 사람이 읽을 수 있는 출력):

python3 cve_2025_55182_scanner.py

• JS XOR 주입 IoC를 위해 특정 프로젝트 또는 루트 디렉터리 스캔:

python3 cve_2025_55182_scanner.py --root /path/to/your/nextjs-or-react-project

• JSON 출력 생성 (자동화 또는 로그 수집용):

python3 cve_2025_55182_scanner.py --json

• JavaScript XOR 주입 스캔 건너뛰기 (시스템 수준 검사만):

python3 cve_2025_55182_scanner.py --skip-js-scan

• 필요에 따라 플래그 조합:

python3 cve_2025_55182_scanner.py --root /var/www/app --json

종료 코드

• 0: 의심스러운 지표가 발견되지 않음 (모든 검사 통과).
• 1: 하나 이상의 의심스러운 지표가 발견됨 (적어도 하나의 검사 실패).

일반적인 워크플로우

• 빠른 호스트 트라이어지 (Linux 또는 macOS):

  • 명령어:
    • python3 cve_2025_55182_scanner.py
  • 사용 시기:
    • 호스트가 CVE-2025-55182를 통해 악용되었을 가능성이 의심되고 프로세스, 파일 시스템, systemd 및 cron IoC에 대한 빠른 개요를 원할 때.

• 애플리케이션 중심 스캔 (Next.js/React 프로젝트):

  • 명령어:
    • python3 cve_2025_55182_scanner.py --root /path/to/app
  • 사용 시기:
    • 시스템 수준 IoC 외에도 악성 XOR 기반 JavaScript 주입(예: node_modules 또는 애플리케이션 코드 내)을 확인하려는 경우.

• CI / 자동화 환경:

  • 명령어:
    • python3 cve_2025_55182_scanner.py --root . --json
  • 사용 시기:
    • 대시보드, 로그 또는 자동화된 의사 결정을 위해 구조화된 JSON 출력이 필요할 때.

특별 감사 및 참고 자료

• 사고 보고서 및 IoC:
  • 이 스캐너의 검사 및 침해 지표는 Asleepace의 상세한 공개 사고 보고서를 기반으로 합니다:
  • https://asleepace.com/blog/malware-cve-2025-55182-exploitation-incident-report

CVE-2025-55182 악용 및 관련 멀웨어 동작을 깊이 있게 문서화하여 이 집중 스캐너를 구축할 수 있게 해준 Asleepace에게 특별히 감사드립니다.