마이크로소프트의 내장 안티바이러스가 힘든 시기를 보내고 있다. ShieldCrash라는 이름으로 새롭게 공개된 익스플로잇이 회사의 최신 Windows Defender 패치를 우회하며, 그것도 완전히 최신 상태인 머신에서 이를 수행한다. 수백만 명의 Windows 사용자가 기본으로 의존하는 보안 도구에게 이것은 작은 문제가 아니다. 최근 기억에서 이런 일이 벌어진 것이 처음도 아니라는 점이, 바로 이 Microsoft Defender 제로데이에 주목해야 하는 이유다.
붙지 않는 패치의 패턴
이번 최신 우회는 갑자기 나타난 것이 아니다. 이는 Windows Defender를 겨냥한 일련의 공개들에 이어 발생했으며, 여기에는 RoguePlanet이라는 별명의 고위험 취약점이 포함된다. 이는 이전 보도에서 ShieldBreak로도 언급되었으며, 그 자체로 이전 수정을 우회하는 데 성공했다. 비슷한 시기에 별도로 추적되었고 역시 ShieldBreak라고 불린 또 다른 취약점은 보안 팀들에게 공식 패치도 없이, 그리고 연방 시스템을 보호하라는 CISA의 14일 시한만을 남겼다.
마이크로소프트는 결국 그 문제에 대한 수정을 배포했다. ShieldCrash는 그다음에 벌어진 일이다: 바로 그 패치를 통과하는 개념 증명으로, 마땅히 닫힌 장이었어야 할 것을 다시 열린 장으로 되돌린다. 이 패턴은 이제 그것만으로 설명할 수 있을 만큼 충분히 익숙하다: 취약점이 발견되고, 마이크로소프트가 패치하며, 비교적 짧은 기간 안에 새로운 기법이 그 수정을 무력화한다.
ShieldCrash가 실제로 하는 일
핵심 문제는 깊은 기술적 세부 없이도 설명하기 straightforward하다. Windows Defender는 악성 활동이 피해를 입히기 전에 탐지하고 차단해야 한다. ShieldCrash와 같은 우회가 이미 최신 보안 업데이트를 설치한 시스템에서도 작동한다는 것은, 대부분의 Windows 사용자가 의존하는 보호 계층이 시스템이 얼마나 최신으로 보이든 간에 광고된 대로 작동한다고 가정할 수 없다는 뜻이다. ShieldCrash 익스플로잇에 대한 이전 보도에서 보고된 바와 같이, 이 취약점은 이전 구멍을 막기 위한 수정을 이미 설치한 머신을 특별히 겨냥하며, 바로 이 점이 일상적인 취약점 공개와 구별된다.
일상 사용자에게는 기술적 메커니즘보다 실제 결과가 더 중요하다: 완전히 패치된 Windows 시스템이 자동으로 완전히 보호되는 것은 아니다. Windows Update가 모든 것이 최신이라고 보고할 때 그 구분은 간과하기 쉽다.
망가진 안티바이러스의 프라이버시 함의
여기서 이 이야기는 좁은 기술적 버그를 넘어 일상 프라이버시에 닿는 무언가로 이동한다. 안티바이러스와 엔드포인트 보호 도구는 단지 옛날식 의미의 바이러스 차단만을 위한 것이 아니다. Defender는 시스템에서 특권적 위치에 자리하며, 파일을 검사하고 프로세스를 모니터링하며, 자격 증명을 탈취하거나 키 입력을 기록하거나 개인 파일을 유출하는 멀웨어에 맞선 최후의 방어선 역할을 한다. 그 방어가 우회될 수 있을 때, 위험은 추상적이지 않다. 정보 탈취기, 스파이웨어, 원격 접속 도구는 바로 엔드포인트 보호가 조용히 실패할 때 번성하는 종류의 멀웨어인데, 사용자는 무언가 잘못되었다는 눈에 보이는 신호를 전혀 받지 못하기 때문이다.
반복되는 우회는 또 다른 종류의 신뢰도 침식한다: 업데이트를 설치하는 것이 곧 안전해지는 것이라는 가정이다. 그 가정은 온라인 뱅킹부터 민감한 문서를 로컬에 저장하는 것에 이르기까지 많은 일상적 보안 행동을 떠받친다. 패치가 몇 주 안에 다시 패치로 우회될 때, 그 가정은 적어도 Windows에서 민감한 개인 또는 금융 데이터를 다루는 사람이라면 재검토할 필요가 있다.
이것이 당신에게 의미하는 것
Windows Defender를 유일한 방어선으로 의존하고 있다면, 지금은 당황할 때가 아니라 재평가할 합리적인 시점이다. 이와 같은 제로데이 공개는 일반적으로 로컬 접근이나 특정 조건이 익스플로잇에 필요하며, 마이크로소프트는 수정이 항상 유지되지는 않았더라도 대응해 온 기록이 있다. 더 큰 핵심은 운영체제에 아무리 잘 통합되어 있든, 어떤 단일 보안 도구도 무결하다고 여겨서는 안 된다는 것이다.
지금 취할 만한 실용적 조치에는 수정이 배포되는 즉시 받을 수 있도록 자동 업데이트를 활성화해 두기, 이 문제가 해결되지 않은 동안 검증되지 않은 출처에서의 다운로드를 피하기, 그리고 신뢰할 수 있는 보조 보안 도구나 민감한 계정에 대한 더 신중한 브라우징 습관 같은 추가 보호 계층을 고려하기가 포함된다. 특히 기업 IT 팀은 마이크로소프트의 권고를 면밀히 모니터링하고 후속 패치를 신속히 적용할 준비를 해야 하는데, 이 패턴은 더 많은 업데이트가 올 수 있음을 시사하기 때문이다.
이러한 Windows Defender 우회의 반복적 성격은 보안이 단일 지점이 아니라 계층적이라는 점을 상기시킨다. ShieldCrash와 같은 공개에 대해 정보를 계속 파악하고, 업데이트를 신속히 적용하며, 어떤 하나의 도구도 완전한 안전망으로 의존하지 않는 것이, 현재로서 마이크로소프트가 완전히 닫지 못한 문제를 앞서 나가는 가장 실용적인 방법이다.
