원격 코드 실행(RCE)이란 무엇인가요? AI가 악용을 가속화하는 방법과 피해를 제한하는 방법

원격 코드 실행 취약점은 취약한 서버를 다른 사람의 컴퓨터로 만듭니다. 공격자는 애플리케이션이 거부했어야 할 입력을 보내고, 애플리케이션은 이를 명령으로 실행합니다. AI는 공격자의 실제 시간을 필요로 했던 작업 부분을 가속화합니다.

원격 코드 실행(RCE)이란 무엇인가요?

원격 코드 실행은 공격자가 사전 접근 권한 없이 네트워크를 통해 대상 시스템에서 자신의 코드나 명령을 실행할 수 있는 취약점 유형입니다. 임의 코드 실행이라고도 합니다. 어느 쪽이든 공격자가 기계가 수행할 작업을 결정합니다. RCE 취약점은 일반적으로 신뢰할 수 없는 입력을 실행하는 애플리케이션에서 발생합니다. 예를 들어 셸 명령, 템플릿, 역직렬화된 객체, 파일 업로드 처리기 등이 있습니다. RCE 익스플로잇은 이 결함을 유발하는 특정 입력 또는 시퀀스입니다.

원격 코드 실행 작동 방식

공격은 보통 직선으로 진행됩니다. 공격자는 취약한 구성 요소가 실행 중인 노출된 시스템을 찾아 정교한 입력을 보내고 서비스 계정으로 코드를 실행합니다. 첫 번째 페이로드는 보통 웹 셸이나 무언가를 다운로드하는 명령어처럼 작고 간단합니다. 공격자가 발판이 작동함을 확인한 후 더 큰 도구가 사용됩니다.

Log4Shell(CVE-2021-44228)는 하나의 결함이 얼마나 멀리 퍼질 수 있는지를 보여주는 좋은 예입니다. 2021년 12월 Apache Log4j 로깅 라이브러리에서 공개된 이 결함은 기록된 필드에 조작된 문자열 하나만으로 취약한 서버가 공격자가 제어하는 코드를 가져와 실행하게 했습니다. Log4j는 너무 많은 애플리케이션에 포함되어 있어 이 버그가 어디서나 발견되었습니다.

대부분의 RCE 버그는 작게 시작됩니다. 아래 첫 번째 함수는 사용자 입력을 바로 셸로 전달합니다. 두 번째 함수는 셸을 제거하고 입력을 검증합니다.

      # Vulnerable: input goes straight to a shell
import os
def ping(host):
    os.system("ping -c 1 " + host)   # host = "8.8.8.8; id" runs a second command

# Safer: no shell, validated input
import ipaddress, subprocess
def ping(host):
    ipaddress.ip_address(host)        # raises ValueError unless host is an IP
    subprocess.run(["ping", "-c", "1", host], check=True)

      

AI가 원격 코드 실행 공격을 변화시키는 방법

취약점 유형이 오래되었습니다. 공격자들은 각 단계를 이동하는 속도를 변경했습니다.

대상들이 순위가 매겨집니다

인터넷 전역 스캔은 수년간 존재해 왔습니다. AI는 분류를 도와줍니다: 스캔 결과를 소프트웨어와 버전별로 그룹화하고 각 시스템이 알려진 결함을 가질 가능성에 따라 순위를 매겨 공격자가 가장 적합한 후보를 먼저 공격할 수 있게 합니다.

패치가 익스플로잇 튜토리얼이 됩니다

공급업체는 방어자를 돕기 위해 패치와 권고문을 게시하며, 공격자들도 이를 읽습니다. 모델은 패치 차이 또는 권고문을 받아 취약한 코드 경로를 설명할 수 있어 리버스 엔지니어링 작업을 줄이고 공개와 작동하는 익스플로잇 사이의 시간을 단축합니다.

하나의 proof of concept, 여러 버전

공개된 개념 증명은 보통 하나의 버전이나 프레임워크를 대상으로 합니다. 모델은 이를 다른 버전이나 언어로 옮기고 알려진 탐지 패턴을 피하기 위해 페이로드를 변경할 수 있습니다.

다단계 공격은 더 적은 기술을 필요로 합니다

많은 웹 공격은 두 단계로 진행됩니다. 작은 인젝션으로 코드 실행을 확인한 후 두 번째 단계에서 더 큰 도구를 내려받습니다. 모델은 그 체인을 설계하고 단계 실패 시 변경하여 재시도할 수 있으므로 CMS, API 또는 포털에 대한 다단계 공격 실행이 예전보다 덜 숙련된 기술을 요구합니다.

후속 작업은 스크립트로 실행됩니다

코드 실행 후 후속 작업은 반복적입니다: 구성 파일을 읽고, 키와 자격 증명을 수집하며, 재부팅 후에도 접근이 유지되도록 예약 작업을 생성하고, 인접 시스템을 찾습니다. 스크립트 및 AI 지원 루틴이 매번 동일한 방식으로 이 단계를 수행합니다.

같은 체인, 수백 개의 조직

한 조직에 작동하는 체인은 수백 개의 조직을 대상으로 할 수 있습니다. 위의 각 단계는 다음 단계를 지원하며, 추가 대상 하나당 공격자가 드는 비용은 이전보다 적습니다.

RCE 익스플로잇 직후 공격자가 하는 일

성공적인 익스플로잇 후 첫 움직임은 일정한 패턴을 따릅니다. 공격자는 서비스가 쓸 수 있는 디렉터리에 웹 셸 또는 로더를 배치한 후, 재부팅 후에도 접근이 유지되도록 예약 작업, 서비스 또는 크론 작업을 추가합니다. 다음으로 구성 파일과 메모리에서 credentials 및 키를 추출하고 인접 시스템을 탐색하기 시작합니다.

각 단계는 확인할 수 있는 흔적을 남깁니다. 이 명령어들은 웹 루트의 최근 파일 변경 사항과 Linux의 새로운 크론 항목을 보여줍니다.

      # Files changed in the web root in the last 24 hours
find /var/www -type f -mtime -1 -ls

# Recently modified cron entries
ls -lt /etc/cron.d /var/spool/cron 2>/dev/null | head
      

Windows에서 이 쿼리는 지난 하루 동안 등록된 예약 작업을 나열합니다. 기본적으로 꺼져 있으므로 먼저 작업 스케줄러 운영 로그를 켜십시오.

      Get-WinEvent -FilterHashtable @{
  LogName   = 'Microsoft-Windows-TaskScheduler/Operational'
  Id        = 106
  StartTime = (Get-Date).AddDays(-1)
} | Select-Object TimeCreated, Message
      

이와 같은 수동 점검은 한 서버에서 작동합니다. 수백 개 시스템에서는 뒤처지고, 빠르게 움직이는 공격자는 다음 예정된 검토 전에 끝낼 수 있습니다.

원격 코드 실행을 방지하고 피해를 제한하는 방법

패치 적용과 안전한 입력 처리는 여전히 RCE 취약점에 대한 주요 방어 수단입니다. 그 이후의 모든 것은 패치가 적용되기 전에 결함이 결국 악용될 것이라고 가정하므로, 목표는 변경 사항을 신속하게 감지하고 손상된 서비스가 할 수 있는 일을 제한하는 것으로 바뀝니다.

Netwrix Change Tracker는 RCE 공격이 영향을 미친 시스템을 감시합니다. 구성 기준선을 설정하고 파일 무결성 모니터링을 사용하여 웹 디렉터리에 추가된 웹 셸과 같은 새 파일 또는 수정된 파일과 Windows, Linux, Unix 및 네트워크 장치의 중요한 시스템 파일 및 설정 변경 사항을 표시합니다. 계획된 변경 모델은 승인된 변경 요청과 관찰한 내용을 비교하여 예정에 없던 수정 사항을 검토 대상으로 표시합니다. 변경 기록은 조사자에게 타임라인을 제공하며, 시스템 파일 인증은 전 세계 평판 데이터베이스와 파일을 대조하여 신뢰할 수 있는 파일을 확인합니다.

Netwrix PolicyPak는 코드가 Windows 시스템에서 실행될 때 공격자가 할 수 있는 일을 제한합니다. 최소 권한 적용은 로컬 관리자 권한을 제거하고 표준 사용자에 대한 권한 상승 규칙을 설정하여 손상된 프로세스가 사용할 수 있는 권한을 줄입니다. PolicyPak을 사용하면 파일 소유자가 사전에 허용 목록에 없으면 애플리케이션과 스크립트 실행을 차단할 수 있습니다.

원격 코드 실행 방지 체크리스트

1. CMS 플랫폼, VPN 포털 및 API부터 시작하여 정의된 일정에 따라 인터넷에 노출된 소프트웨어를 패치하세요.
2. 입력을 검증하고 정제하며, 사용자 입력이 셸, 템플릿 및 역직렬화 도구에 닿지 않도록 하세요.
3. 최소 권한으로 서비스를 실행하고 필요하지 않은 곳에서는 로컬 관리자 권한을 제거하세요.
4. 예기치 않은 변경 사항에 대비하여 웹 디렉터리, 중요 파일 및 구성을 모니터링하세요.
5. Windows 시스템에서 신뢰할 수 없는 애플리케이션 및 스크립트 실행을 차단합니다.
6. 조사가 타임라인으로 시작될 수 있도록 검색 가능한 변경 기록을 유지하세요.