Telerik UI 취약점을 악용한 웹쉘 설치 및 스캐너 실행 공격 사례
AhnLab Security Intelligence Center(ASEC)은 패치되지 않은 Telerik UI for ASP.NET AJAX 서버를 대상으로 원격 코드 실행 취약점(CVE-2019-18935)을 악용한 두 건의 공격 사례를 확인하였다. 첫 번째 사례에서는 취약점 악용 후 리버스 쉘을 실행하는 동시에 권한 상승을 시도하고 웹쉘을 설치했으며, 두 번째 사례에서는 추가 공격 대상을 탐색하기 위한 스캐너 도구를 실행하였다.
MeshAgent와 SuperShell을 악용한 국내 웹 서버 대상 공격 사례
최근 국내 웹 서버들을 대상으로 MeshAgent와 SuperShell을 악용한 공격 사례들이 확인되고 있다. 악성코드 배포 주소에 ELF 포맷의 악성코드들이 함께 존재하는 것을 보면 공격자는 윈도우 서버뿐만 아니라 리눅스 서버도 공격 중인 것으로 보인다. 공격자는 파일 업로드 취약점을 이용해 웹쉘을 설치한 것으로 추정되며 이를 이용해 추가 페이로드를 설치하였는데 탐색 및 측면 이동
달빗(Dalbit,m00nlight): 중국 해커 그룹의 APT 공격 캠페인
0. 개요 해당 내용은 2022년 8월 16일에 공개된 ‘국내 기업 타겟의 FRP(Fast Reverse Proxy) 사용하는 공격 그룹’ 블로그의 연장선으로, 해당 그룹의 행보를 추적한 내용이다. 국내 기업 타겟의 FRP(Fast Reverse Proxy) 사용하는 공격 그룹 – ASEC BLOG Contents1. ASP 웹쉘i. ASPXSpy2. 권한 상승2.1. Potato2.2. 취약점 (익스플로잇)3. 프록시 & 포트 포워딩3.1. FRP3.2. HTran(LCX)4.
