Nightmare Eclipse라는 가명을 사용하는 익명의 보안 연구원은 FalconFlank이라는 악용을 공개하며, CrowdStrike Falcon Sensor의 제로데이 취약점을 악용해 Windows에서 로컬 운영 권한 중 가장 높은 권한인 SYSTEM 권한으로 명령 프롬프트를 열 수 있다고 밝혔다. 현재 이용 가능한 정보에 따르면, 공개된 악용은 Windows 11 25H2와 Windows Server 2025를 포함한 최신 Windows 11 및 Windows Server 버전에서 작동한다.
이 취약점에는 아직 CVE 번호가 부여되지 않았으며, CrowdStrike도 그 유효성을 확인하지 않았다. CrowdStrike는 BleepingComputer에 연구원의 주장을 조사하고 있다고 밝혔으며, 고객들에게 보호 플랫폼 내 File Suspicious Macro Removal 기능을 제어하는 Microsoft Office 관련 Windows 정책 설정을 비활성화할 것을 권고했다.
악용은 무엇에 의존하는가?
FalconFlank은 CrowdStrike Falcon 내부의 Office 악성 매크로 모듈 처리 메커니즘과 관련되어 있다. Nightmare Eclipse는 이 악용이 최신 상태로 업데이트된 Windows 시스템에서도 권한 상승을 가능하게 한다고 밝혔으며, CrowdStrike가 공개 이후 이에 대한 탐지 기능을 추가했을 수 있다고 언급했다. 또한 개념 증명 테스트에는 예외 사용이나 DLL 라이브러리 로드 방식 변경과 같은 수정이 필요할 수 있다고 말했다. 이러한 세부 내용은 연구원의 발언을 출처가 전달한 것으로, 아직 회사가 확인한 기술적 설명으로 전환된 것은 아니다.
한편 CrowdStrike는 고객들이 Cloud Anti-malware for Microsoft Office Files 설정을 통해 계속 보호된다고 설명했다. 회사는 고객들에게 지원 포털에서 이용할 수 있는 기술 알림을 안내했지만, 해당 알림은 일반에 공개되지 않았으며 CrowdStrike 계정을 통해서만 접근할 수 있다. 출처에 따르면 회사는 알림의 공개 버전이 있는지 또는 해당 결함에 CVE 번호가 부여되었는지에 관한 후속 문의에는 답변하지 않았다.
이 소식이 중요한 이유
실질적인 중요성은 공개된 개념 증명이 존재한다는 사실에만 있는 것이 아니라, 악용 지점의 성격에도 있다. 이 지점은 높은 권한으로 실행되는 보안 프로그램 내부에 있으며, 주장된 악용이 성공하면 최신 상태의 장치에서 SYSTEM 권한에 접근할 수 있다. 따라서 해당 주장의 검증, 영향을 받는 버전의 식별, 현재 탐지 기능이 실제로 악용을 차단하는지 여부의 확인은 방어팀에 핵심적인 질문이 된다.
기술적 확인이나 공식 수정이 발표될 때까지 CrowdStrike가 공개한 조치는 의심스러운 매크로 모듈 제거 정책을 비활성화하고 대체 클라우드 보호 설정에 의존하는 것이다. 특히 상세 알림이 공개적으로 제공되지 않는 만큼, 이는 취약점이 해결되었다는 증거가 아니라 일시적인 완화 조치로 보아야 한다.
연구원 공개 내용의 broader context
출처는 Nightmare Eclipse가 같은 주에 Kaspersky Antivirus for Endpoint와 GenDigital Avast Antivirus 제품을 대상으로 하는 HardBreacher와 PrettyPrague라는 제로데이 악용을 추가로 공개했으며, Nvidia 시스템을 비활성화하기 위한 GreenSection 악용도 공개했다고 전했다. 사이버 보안 전문가 Kevin Beaumont는 이번 주에 공개된 권한 상승 악용들이 실제이며 작동한다고 말했다.
이 연구원은 앞서 4월부터 Microsoft Defender, BitLocker 및 기타 Windows 구성 요소를 포함한 Microsoft 제품을 대상으로 하는 악용도 공개한 바 있다. 출처에 따르면 Microsoft는 해당 취약점 중 일부를 수정했지만, 다른 취약점들은 공식적으로 수정되지 않은 상태로 남아 있다. 그러나 이러한 동향만으로 FalconFlank의 유효성이 입증되는 것은 아니며, FalconFlank은 여전히 CrowdStrike가 조사 중인 주장이다.