마이크로소프트 윈도우 OLE 자동화 배열 원격 코드 실행 취약점 (CVE-2014-6332) 분석 및 대응 가이드

# MS14-064 관련 보안 패치 설치 여부 확인
Get-HotFix -Id KB3011443

# 누락된 경우 Windows Update 클라이언트를 통한 패치 강제 실행
Install-Module PSWindowsUpdate -Force
Get-WindowsUpdate -KBArticleID KB3011443 -Install -AcceptAll -AutoReboot

# 인터넷 구역(Zone 3)에서 VBScript 실행 차단 레지스트리 설정
$RegistryPath = 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3'
Set-ItemProperty -Path $RegistryPath -Name '140C' -Value 3

# 로컬 인트라넷 구역(Zone 1)에서도 VBScript 실행 차단
$IntranetPath = 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1'
Set-ItemProperty -Path $IntranetPath -Name '140C' -Value 3

# OleAut32.dll 파일 버전 확인 스크립체
$DllPath = '$env:SystemRoot\System32\oleaut32.dll'
(Get-Item $DllPath).VersionInfo | Select-Object FileVersion, ProductVersion

# IE(iexplore.exe)가 cmd.exe 또는 powershell.exe를 자식 프로세스로 생성했는지 로그 확인
Get-WinEvent -FilterHashtable @{
    LogName='Microsoft-Windows-Sysmon/Operational'
    Id=1
} -ErrorAction SilentlyContinue | Where-Object {
    $_.Message -like '*iexplore.exe*' -and ($_.Message -like '*cmd.exe*' -or $_.Message -like '*powershell.exe*')
}