🔴 CVE-2022-30190 — Follina (MSDT RCE) 실험실

CVE Severity Status Lab IDS

연구자: Abhimanyu Rawat 역할: 기술 연구 및 사이버 보안 운영 인턴 날짜: 2026년 5월 8일

📌 Follina란?

CVE-2022-30190 (별칭 "Follina")는 Microsoft Windows의 제로데이 원격 코드 실행(RCE) 취약점으로, 공격자가 피해자가 Word 문서를 열기만 하면 매크로 없이도 임의의 명령을 실행할 수 있습니다.

이 취약점은 Microsoft Office의 외부 템플릿 기능을 통해 합법적인 Windows 진단 프로토콜인 ms-msdt:// URI 핸들러를 악용합니다.

🧪 실험실 환경

⚠️ 면책 조항: 이 실험은 교육적 연구 목적으로 완전히 격리된 VMware 환경에서 수행되었습니다. 실제 시스템을 대상으로 하지 않았습니다.

🔴 공격 체인

공격자 (Kali)                          피해자 (Windows 10)
      │                                         │
      │── python3 follina.py ──────────────────►│ clickme.docx 제공됨
      │                                         │
      │                                    Word에서 문서 열기
      │                                         │
      │◄── GET /exploit.html ───────────────────│ ms-msdt:// 트리거됨
      │                                         │
      │── exploit.html 전송 ───────────────────►│
      │                                         │
      │                                   MSDT 실행
      │                                   calc.exe  ✅

1단계: follina.py로 페이로드 생성 → clickme.docx + exploit.html 2단계: Windows VM에서 Word 2019로 문서 열기 → '편집 사용' 클릭 3단계: Word가 ms-msdt:// 핸들러를 통해 Kali HTTP 서버에서 exploit.html 가져오기 4단계: MSDT가 calc.exe 실행 — 임의 코드 실행 확인됨

🟢 Suricata IDS 탐지

사용자 정의 Suricata 규칙 SID:9000002이 fast.log에 8회 기록됨:

05/08/2026-07:21:31 [**] [1:9000002:1] CVE-2022-30190 Follina exploit.html Fetch Detected [**]
[Classification: A Network Trojan was detected] [Priority: 1]
{TCP} 192.168.153.129:51278 -> 192.168.153.128:8000

사용된 탐지 규칙:

alert http any any -> any any (msg:"CVE-2022-30190 Follina exploit.html Fetch Detected"; flow:established,to_server; content:"exploit.html"; http_uri; nocase; classtype:trojan-activity; sid:9000002; rev:1;)

📁 이 저장소의 파일

🛡️ 완화 조치

KB5014699 적용 — 2022년 6월 14일 릴리스. Windows에서 ms-msdt:// URI 핸들러를 완전히 제거합니다.

패치 설치 확인:

wmic qfe list | findstr "5014699"

🗺️ MITRE ATT&CK 매핑

기술 ID	이름
T1059.003	명령 및 스크립트 해석기: Windows 명령 셸
T1204.002	사용자 실행: 악성 파일
T1190	공개 애플리케이션 취약점 악용
T1105	침입 도구 전송

공격자 OS	Kali Linux — `192.168.153.128`
피해자 OS	Windows 10 Build 19041.1 (패치되지 않음)
Office 버전	Microsoft Office 2019 Version 1808
IDS	Suricata 8.0.4
익스플로잇 도구	chvancooten/follina.py
네트워크	격리된 VMware NAT — `192.168.153.0/24`

`CVE-2022-30190-Follina-Technical-Breakdown.docx`	전체 기술 연구 문서
`suricata_follina_rules.rules`	사용자 정의 Suricata IDS 탐지 규칙
`exploit.html`	Follina 페이로드 (연구용)
`clickme.docx`	실험에 사용된 유인 문서 (연구용)
`screenshot*.png`	실험 증거 스크린샷

인기

CVE-2022-30190-Follina-Lab

인기