SharePoint ToolShell (CVE-2025-53770) 사고 분석

개요

이 프로젝트는 ToolShell 취약점(CVE-2025-53770)을 이용하여 SharePoint 서버를 표적으로 삼은 실제 공격 시도에 대한 조사 내용을 기록합니다.

이 공격은 원격 코드 실행, 웹쉘 배포, 자격 증명 데이터 추출을 포함한 전체 악용 체인을 보여줍니다.

초기 접근

초기 경보

공격은 SharePoint 서버를 표적으로 하는 CVE-2025-53770 악용을 나타내는 의심스러운 경보로 시작되었습니다.

악용 요청

HTTP POST 요청

인증되지 않은 HTTP POST 요청이 취약한 SharePoint 엔드포인트로 전송되었습니다:

/_layouts/15/ToolPane.aspx?DisplayMode=Edit

이 요청은 대규모 페이로드와 위조된 리퍼러를 포함하고 있어 악용을 나타냈습니다.

실행 (IIS → PowerShell)

w3wp가 PowerShell을 생성

인코딩된 PowerShell

공격자는 IIS 작업자 프로세스(w3wp.exe)를 활용하여 인코딩된 PowerShell 페이로드를 실행했습니다.

페이로드 컴파일

CSC 컴파일

바이너리를 드롭하는 대신, 공격자는 csc.exe를 사용하여 서버에서 직접 페이로드를 컴파일했습니다.

웹쉘 배포

웹쉘 생성

악성 ASPX 웹쉘(spinstall0.aspx)이 cmd.exe를 사용하여 SharePoint 디렉토리에 작성되었습니다.

자격 증명 접근 (MachineKey 추출)

웹쉘 코드

MachineKey 실행

공격자는 PowerShell 명령을 실행하여 ASP.NET MachineKey 구성을 추출하여 잠재적인 인증 우회 및 지속성을 가능하게 했습니다.

탐지 증거

VirusTotal 탐지

웹쉘 파일은 여러 보안 업체에 의해 악성으로 플래그 지정되었습니다.

네트워크 활동

외부 IP 활동

공격 중 페이로드 전달 서버를 포함한 여러 외부 IP 주소가 관찰되었습니다.

주요 발견 사항

인증되지 않은 HTTP POST 요청을 통한 악용
IIS 프로세스(w3wp.exe)에서 실행
PowerShell 인코딩 페이로드 실행
csc.exe를 사용한 페이로드 컴파일
웹쉘 배포 (spinstall0.aspx)
ASP.NET MachineKey 구성 추출
외부 페이로드 참조 (payload.exe)

영향

공격자는 원격 코드 실행을 달성하고 웹쉘을 배포했습니다.

추가 활동은 관찰되지 않았지만, 시스템은 완전히 손상된 것으로 간주되어야 합니다.

인기

SharePoint-ToolShell-CVE-2025-53770-Incident-Analysis

인기