"아이키도" 취약점, EDR을 와이퍼 맬웨어로 바꿔

2022년 12월 7일: SafeBreach 보안 연구원이 "아이키도(Aikido)"라는 이름의 취약점을 공개했고, 이후(12월 12일) Microsoft Windows 엔드포인트에서 실행되는 EDR 에이전트를 악성 데이터 삭제 프로그램으로 바꿀 수 있는 개념 증명(POC) 악용 코드가 공개되었습니다.

2022년 12월 12일 : CyberHoot은 ConnectWise 및 SonicWall Capture Client(아래 나열된 기타 EDR 제품 포함)에서 심각한 취약점을 발견했습니다. MSP(관리형 서비스 제공업체)는 시스템에 최대한 빨리 패치를 적용하여 긴급 조치를 취해야 합니다. 실제 사례에서 관리자 권한으로 임의 코드를 실행하는 악용 사례가 확인되었습니다.

와이퍼 맬웨어란 무엇인가요?

"컴퓨터 보안에서 와이퍼(wiper)는 감염된 컴퓨터의 하드 드라이브를 지우는(지우기, 그래서 이름이 와이퍼입니다) 악성 소프트웨어의 한 종류로, 악의적으로 데이터와 프로그램을 삭제합니다." ( 위키백과)

취약점 경보 관리 프로세스 경보 수준:

중요 권고 알림: 즉각적인 조치가 필요합니다

영향을 받는 시스템:

ConnectWise에서 다음 소프트웨어 솔루션을 식별하고 테스트했습니다. 다른 시스템도 위험에 노출될 수 있습니다. 공급업체 권고 페이지를 확인하여 노출 여부를 확인하고 최대한 빨리 패치하십시오.

• 22.2.4.558 이전 버전을 모두 실행하는 SentinelOne 에이전트가 탑재된 Microsoft Windows는 취약합니다.
• SentinelOne 에이전트는 다음 ConnectWise 제품에 활용됩니다: ConnectWise SentinelOne Control, ConnectWise SentinelOne Complete, ConnectWise MDR with SentinelOne, ConnectWise MDR Premium with SentinelOne.
• 이 악용 사례는 또한 테스트되었습니다. Defender, Endpoint를 위한 Defender, 트렌드마이크로 에이펙스 원, Avast Antivirus 및 AVG Antivirus 취약한 것으로 밝혀졌습니다.

완화

ConnectWise

1. Windows 에이전트 엔드포인트에 SentinelOne 에이전트 버전 22.2 SP1(22.2.4.558)을 설치합니다.
2. SentinelOne 콘솔에 "재부팅 보류"가 표시되면 시스템을 재부팅하세요.

Microsoft 맬웨어 보호 엔진:

1. Defender 소프트웨어 버전 1.1.19700.2를 설치하고 메시지가 나타나면 재부팅하세요.

트렌드마이크로 에이펙스 원:

1. 해당 소프트웨어의 핫픽스 23573 및 패치_b11136을 설치하고 메시지가 나타나면 재부팅하세요.

Avast & AVG 바이러스 백신:

1. 바이러스 백신 소프트웨어 버전 22.10을 설치하고 메시지가 나타나면 재부팅하세요.

공급업체 권고:

ConnectWise 권고 사항 : https://www.connectwise.com/company/trust/advisories Microsoft Defender 권고 사항 : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-37971 Avast 및 AVG 권고 사항 : https://nvd.nist.gov/vuln/detail/CVE-2022-4173 Trend Micro 권고 사항 : https://success.trendmicro.com/dcx/s/solution/000291830?language=en_US

추가 자료 :

SonicWall Capture Client 보안 권고 : https://www.sonicwall.com/support/knowledge-base/capture-client-differences-between-sonicwall-managed-and-self-managed-versions/181114002946980 / 점검 시점 및 사용 시점 정의: https://cwe.mitre.org/data/definitions/367.html SonicWall Aikido 보안 권고: https://www.sonicwall.com/support/knowledge-base/aikido-exploit-and-its-impact-on-sonicwall-capture-client/221213114338960/ BlackHat SafeBreach 공지: Aikido 취약점 https://i.blackhat.com/EU-22/Wednesday-Briefings/EU-22-Yair-Aikido-Turning-EDRs-to-Malicious-Wipers.pdf

지금 CyberHoot으로 귀하의 사업을 보호하세요!!!

지금 가입하세요