🇰🇷 한글 설명
Perl의 IO::Socket::SSL::SelfCertificate 1.00 버전에서 난독화된 URL을 통해 Python 코드를 실행하는 악성코드가 발견되었습니다. generate_certificate 함수가 인증서 파일로 저장된 Python 스크립트를 실행하며, Base64로 인코딩된 URL에서 코드를 가져와 직접 실행합니다. 이로 인해 공격자가 사용자 권한으로 임의의 코드를 실행할 수 있는 심각한 위험이 있습니다.
💡 쉬운 설명
설치된 프로그램 안에 몰래 숨겨진 악성 코드가 들어있어, 실행 시 인터넷에서 위험한 명령을 몰래 가져와 컴퓨터를 조종할 수 있습니다. 파일로 저장되지 않고 바로 실행되기 때문에 탐지가 매우 어렵습니다.
🇺🇸 원문 (English)
IO::Socket::SSL::SelfCertificate versions 1.00 for Perl contains malware which executes Python code from an obfuscated URL.
The generate_certificate runs a Python script saved as a certificate file. The pyhton script attempts to retrieve code from a hardcoded http URL that is obfuscated with base64 encoding and run the response body directly.
The impact is that arbitrary code can be invoked as the user, without a dropped script being saved on the affected host.
The releases have no test scripts nor build hooks. The intention may have been to trigger the payload after installation.
The dropper script is in lib/Crypt/SelfCertificate/sample/cert.pem.
This is similar to CVE-2026-95831 for the module Crypt::SelfCertificate.
The SHA-256 digests of the files are
ba24ee8ec3b7f47f65bed62e16fb413ace50653cf44bd8ea90914390922831e0 IO-Socket-SSL-SelfCertificate-1.00.tar.gz
821d38830e5eb8607738421c25ac25f59fff02a6ab67daa32fbd020429454dac IO-Socket-SSL-SelfCertificate-1.00/lib/IO/Socket/SSL/SelfCertificate/sample/cert.pem
d483cb7b23b7271cb11cf242bff4a2e1c02df0b9525eb0429abeea8961c399d5 IO-Socket-SSL-SelfCertificate-1.00-upload.tar.gz
📍 영향받는 시스템
Perl IO::Socket::SSL::SelfCertificate version 1.00
⚔️ 공격 벡터
악성 코드가 포함된 패키지 설치 후 generate_certificate 함수 호출을 통한 원격 코드 실행
🛡️ 대응 방법
해당 버전의 패키지를 즉시 삭제하고 안전한 버전으로 교체하거나 사용을 중단하십시오.
🔧 검증 코드
명령어 결과로 1.00이 출력되면 해당 악성 버전이 설치되어 있는 상태입니다.
perl -MIO::Socket::SSL::SelfCertificate -e 'print $IO::Socket::SSL::SelfCertificate::VERSION . "\n"' 2>/dev/null