💀 EternalBlue (MS17-010) 익스플로잇 연구

CVE-2017-0144의 통제된 재현 — WannaCry 랜섬웨어 사태의 배후에 있는 SMB 취약점

⚠️ 면책 조항: 본 연구는 학술 및 교육 목적으로만 완전히 격리되고 통제된 실험실 환경에서 수행되었습니다. 프로덕션 시스템은 포함되지 않았습니다.

---

개요

이 프로젝트는 샌드박스 처리된 AWS EC2 환경에서 EternalBlue 익스플로잇(CVE-2017-0144, CVSS 9.3)을 재현했습니다. 목표는 취약점 메커니즘을 깊이 이해하고, 익스플로잇 트래픽을 캡처 및 분석하며, 공격 체인을 MITRE ATT&CK에 매핑하여 공격 연구 및 방어 강화 전략에 정보를 제공하는 것이었습니다.

---

실험실 아키텍처

• 클라우드 플랫폼: AWS EC2
• 공격자 머신: Kali Linux
• 대상 머신: Windows Server 2008 R2 (패치되지 않음, SMBv1 활성화)
• 네트워크: 격리된 VPC, 대상에서 인터넷 이그레스 없음

---

수행된 작업

익스플로잇 재현

• SMBv1이 활성화되고 MS17-010이 패치되지 않은 취약한 Windows Server 2008 R2 인스턴스를 구성
• Metasploit Framework를 사용하여 익스플로잇 체인 실행
• 원격 코드 실행 및 SYSTEM 수준 셸 액세스 달성

네트워크 트래픽 분석

• 익스플로잇 중 Wireshark를 사용하여 전체 패킷 캡처
• 패킷 수준에서 SMB 협상 시퀀스, 셸코드 전달 및 RCE 단계 분석
• 네트워크 트래픽에서 볼 수 있는 주요 침해 지표(IOC) 식별

MITRE ATT&CK 매핑

• T1210 — 원격 서비스 익스플로잇 (초기 접근)
• T1059 — 명령 및 스크립트 인터프리터 (실행)
• T1055 — 프로세스 인젝션 (방어 회피 / 권한 상승)

---

주요 발견 사항 및 완화 방법

• 레거시 시스템에서 SMBv1이 기본적으로 활성화됨 → PowerShell 또는 그룹 정책을 통해 비활성화
• MS17-010 패치가 적용되지 않음 → KB4012212 / KB4012215를 즉시 적용
• 익스플로잇 후 측면 이동 가능 → 네트워크 세분화 + 호스트 기반 방화벽 규칙
• 익스플로잇 트래픽 탐지 불가 → SIEM에 SMB 트래픽 모니터링 배포

---

학술적 성과

35분 분량의 캡스톤 프레젠테이션을 발표했으며, 다음 내용을 다룹니다:

• 전체 익스플로잇 메커니즘 및 근본 원인 분석
• 패킷 수준의 공격 체인 워크스루
• 탐지 전략 및 수정 권장 사항

---

입증된 기술

Metasploit Wireshark Kali Linux AWS EC2 CVE Analysis CVSS Scoring MITRE ATT&CK SMB Protocol Vulnerability Research Network Forensics