Nightmare Eclipse라는 이름으로 활동하는 연구원이 ShieldBreak라는 새로운 개념 증명 익스플로잇을 공개했으며, 그 시점이 매우 난처한 순간입니다. 이 공개는 마이크로소프트가 대규모 Patch Tuesday를 마감한 지 불과 몇 시간 후에 이루어졌지만, ShieldBreak는 모든 업데이트를 설치한 시스템에서도 여전히 작동합니다. 이 익스플로잇은 Microsoft Defender를 표적으로 삼아 로컬 접근 권한을 가진 공격자에게 Windows 시스템이 부여할 수 있는 최고 수준의 제어 권한인 완전한 SYSTEM 권한을 부여합니다. 현재 공식 패치는 없습니다.

주목할 만한 점은 단순히 기술적 메커니즘만이 아닙니다. 그 패턴입니다. 이번은 같은 연구원이 진행 중인 시리즈 중 공개적으로 문서화된 10번째 사례로, 각각은 비슷한 시나리오를 따릅니다: Defender의 내부 권한 처리 결함, 마이크로소프트가 대응하기 전에 공개되는 작동하는 익스플로잇, 그리고 수정이 개발되는 동안 수일에서 수주에 걸쳐 확장되는 노출 기간입니다.

반복되는 패턴

Nightmare Eclipse의 공개 방식은 Windows 보안 업계에서 반복적으로 등장하는 이야기가 되었습니다. 취약점을 조용히 신고하고 조율된 수정을 기다리는 대신, 이 연구원은 작동하는 익스플로잇 코드를 반복적으로 공개적으로 게시하여 마이크로소프트가 사전이 아닌 사후에 대응하도록 강제합니다. 이 시리즈의 이전 사례들, 특히 같은 연구원이 패치 가능한 상태에서 또 다른 Windows 제로데이를 공개한 경우를 포함하여 모두 같은 리듬을 따랐습니다: 공개가 먼저, 패치는 나중에, 그리고 종종 훨씬 더 나중에.

ShieldBreak는 이 역학이 대규모로 진행되는 최근의 유일한 사례조차 아닙니다. Windows 사용자들은 또한 두 개의 별도 제로데이가 시스템 수준 접근을 위협한 상황을 짧은 기간 내에 겪어야 했으며, 이는 핵심 Windows 구성 요소의 권한 상승 결함이 드문 사건이 아니라 지속적인 위험 범주가 되었음을 강조합니다.

완전히 패치된 PC가 완전히 보호된 PC가 아닌 이유

여기서 시점이 중요합니다. ShieldBreak는 마이크로소프트가 대규모 수정 사항을 배포한 직후, 보고된 바에 따르면 수백 개의 개별 버그를 해결한 Patch Tuesday 주기 직후에 등장했습니다. 이는 마이크로소프트가 421개 버그를 패치하는 동안 공격자들이 동시에 다른 인프라를 표적으로 삼았던 상황과 유사한 규모입니다. 그 규모의 패치는 진정으로 유용한 작업이지만, 동시에 제로데이의 핵심 문제를 보여줍니다: 제로데이는 정의상 패치 주기 밖에 존재합니다. 시스템이 마이크로소프트가 발행한 모든 업데이트를 완벽하게 준수하더라도 새로운 결함이 공개되는 순간 노출될 수 있습니다. 벤더가 수정 사항을 개발하고 배포할 시간이 아직 없기 때문입니다.

Defender는 이 맥락에서 특히 민감한 표적입니다. Defender는 대부분의 Windows 사용자가 별다른 생각 없이 기본적으로 의존하는 내장 보안 도구로, 정확히 마지막 방어선으로 설계되었기 때문입니다. 보안 도구를 권한 상승의 진입점으로 바꾸는 익스플로잇은 Windows를 최신 상태로 유지하는 것이 그 자체로 충분한 보호라는 기본 가정을 훼손합니다. 일단 획득한 SYSTEM 수준 권한은 공격자에게 시스템에서 사실상 무엇이든 할 수 있는 능력을 부여합니다: 추가 악성코드 설치, 다른 보안 제어 비활성화, 저장된 자격 증명 접근, 또는 네트워크 전체로의 측면 이동 등입니다.

이것이 당신에게 의미하는 바

대부분의 일반 사용자와 소규모 기업에게 ShieldBreak는 즉각적인 공황의 이유가 아닙니다. 이를 악용하려면 시스템에 대한 로컬 접근이 필요하므로 실제 사용 방식이 제한적이며, 일반적으로 공격자가 이미 피싱, 악성코드 또는 다른 취약점을 통해 발판을 확보한 후의 2단계로 사용됩니다. 그러나 이 Windows 제로데이 패턴의 광범위한 의미는 진지하게 받아들일 가치가 있습니다: 부지런한 패칭은 필요하지만 더 이상 그 자체만으로 권한 상승에 대한 보호를 보장하기에 충분하지 않습니다.

이것이 단일 통제보다 계층적 방어가 더 중요한 이유입니다. 소프트웨어를 최신 상태로 유지하는 것은 여전히 필수적이지만, 강력한 엔드포인트 모니터링, 관리자 권한을 가진 계정 수 제한, 그리고 로컬에서 실행되는 것에 대한 주의를 병행해야 합니다. 대부분의 권한 상승 익스플로잇은 먼저 초기 진입점이 필요하기 때문입니다. 이 분야를 면밀히 추적하는 독자들은 LeakWatch에 게시된 주간 제로데이 및 패치 추적과 같은 진행 중인 취약점 요약을 따라가며 어떤 결함이 개념 증명에서 활발한 악용으로 전환되었는지 최신 상태를 유지할 수 있습니다.

실질적인 조치 사항

ShieldBreak에 대한 패치는 아직 없지만, 지금 취할 수 있는 구체적인 단계가 있습니다. 가능한 모든 곳에서 로컬 관리 권한을 제한하십시오. 이 익스플로잇과 그와 유사한 것들은 공격자가 이미 시스템에 대한 어느 정도의 접근 권한을 가지고 있다는 것에 의존하기 때문입니다. 수정 사항에 대한 마이크로소프트의 권고를 주시하고 제공되는 즉시 적용하십시오. 이 특정 Windows 제로데이가 패칭만으로는 완전한 방패가 아님을 증명하더라도 말입니다. 익숙하지 않거나 서명되지 않은 소프트웨어를 실행하지 마십시오. 실제 공격 체인에서 초기 접근이 일반적으로 더 어려운 부분이기 때문입니다. 그리고 여러 엔드포인트를 관리한다면 Defender의 기본 구성에만 의존하지 말고 비정상적인 권한 변경을 감지할 수 있는 엔드포인트 탐지 도구를 고려하십시오.

ShieldBreak는 이 이야기의 마지막 장이 될 가능성은 낮습니다. 연구원들이 수정 사항보다 앞서 작동하는 익스플로잇을 계속 게시하는 한, Windows 사용자는 보안을 각 업데이트 주기 후 확인하는 체크리스트가 아닌 지속적인 실천으로 대처하는 것이 가장 바람직합니다.