HellGate

개요

HellGate은 웹 서버를 대상으로 한 완전 자동화 침투 프레임워크입니다. 공격자가 IP 대역만 지정하면, 스캔부터 취약점 탐지, 익스플로잇 실행, 웹쉘 설치, 관리자 권한 탈취까지 전 과정이 사람의 개입 없이 자동으로 진행됩니다.

2000년 당시, 웹 서버 해킹은 수동으로 하나하나 취약점을 찾고 공격하는 방식이었습니다. HellGate은 이 과정을 자동화하여 C클래스(256개 IP) 전체를 10분 내에 스캔하고 취약한 서버를 자동으로 침투할 수 있었습니다. 이후 2003년에 등장한 Metasploit의 개념을 3년 앞서 구현한 셈입니다.

Metasploit 이전의 Metasploit

공격 파이프라인 (5단계 자동화)

Stage 1 — 대량 스캔

IP 대역을 입력하면 비동기 소켓으로 초당 500개 IP를 스캔합니다. 포트 80(HTTP), 443(HTTPS), 8080 등 웹 서비스 포트를 탐지하고, 서버 헤더에서 IIS/Apache 버전을 자동 식별합니다.

Stage 2 — 취약점 탐지

내장된 17개의 취약점 시그니처로 자동 점검합니다:

• IIS Unicode Directory Traversal (CVE-2000-0884)
• IIS Double Decode (CVE-2001-0333)
• IIS WebDAV Overflow
• Apache chunked encoding overflow
• CGI 취약점 (PHF, test-cgi 등)
• 디렉토리 리스팅, 기본 관리 페이지 노출

일부 취약점은 세계적으로 공개되기 전에 이미 HellGate에 구현되어 있었습니다.

Stage 3 — 자동 익스플로잇

발견된 취약점에 맞는 익스플로잇을 자동으로 선택하고 실행합니다. 성공하면 서버에서 명령을 실행할 수 있는 상태가 됩니다.

Stage 4 — 웹쉘 설치

서버에 자체 개발 웹쉘을 자동으로 업로드합니다. 이 웹쉘은 웹 브라우저에서 접속하여 서버를 완전히 제어할 수 있는 인터페이스를 제공합니다.

Stage 5 — 권한 상승 & 백도어

로컬 권한 상승 익스플로잇으로 관리자/루트 권한을 획득합니다. 이후 GhostRAT 또는 ShadowNet과 연동 가능한 백도어를 설치합니다.

파급력

HellGate의 위험성은 기술적 지식이 없는 사람도 대규모 웹 서버 침투가 가능하다는 점에 있었습니다. IP 대역 하나만 입력하면 나머지는 전부 자동이었습니다.

• 한 시간 만에 수백 대의 웹 서버를 장악할 수 있었습니다
• 장악된 서버는 ShadowNet의 C&C로 활용되거나, 추가 공격의 발판이 되었습니다
• 2001년 7월 CodeRed 웜이 IIS Unicode 취약점을 악용하여 전 세계를 강타했을 때, 보안 업계는 HellGate이 이미 같은 취약점을 1년 전부터 사용하고 있었다는 사실에 충격을 받았습니다

배포 중지

기술 사양