Nightmare Eclipse로도 알려진 보안 연구원 압둘하미드 나세리가 윈도우 운영체제에서 'SignDrop'으로 알려진 새로운 제로데이 취약점을 공개했습니다. 이 취약점은 마이크로소프트가 공통 로그 파일 시스템(Common Log File System, CLFS) 드라이버를 겨냥한 인증 공격에 대응하기 위해 2025년 10월에 추가한 보호 메커니즘을 악용하여, 공격자가 완전한 SYSTEM 권한을 획득할 수 있도록 합니다.
연구원은 이 취약점이 CLFS 프로그램이 새 로그 파일 생성 시 .cnpf 확장자를 가진 인증 파일 생성을 처리하는 방식에 내재되어 있다고 설명했습니다. 시스템이 초기에는 접근 권한 검사를 올바르게 수행하지만, 이후 다른 권한 있는 프로세스가 로그 파일을 열 경우 로직이 악용될 수 있습니다. 이로 인해 Windows Defender와 같은 권한 있는 프로세스가 파일을 열고 SYSTEM 권한으로 인증 파일을 생성하게 됩니다.
취약점은 어떻게 보호 메커니즘을 우회하는가?
SignDrop 취약점은 백신 엔진이나 보안 확장 탐지 및 대응(EDR) 시스템의 자체 보호 메커니즘에 대해 작동하는 고유한 능력을 가지고 있습니다. 이는 커널 모드 드라이버 관점에서 파일 생성 요청이 엔진 자체의 합법적인 프로세스에서 나온 것처럼 보이기 때문에, 보호를 우회하고 모든 바이러스 백신 프로그램을 비활성화할 수 있기 때문입니다.
나세리는 Windows 11 26H2 및 Windows Server 2025 테스트 버전에서 이 취약점의 악용을 테스트했으며, 전체 윈도우 설치 환경의 약 80%가 위험에 노출될 수 있다고 추정했습니다. CLFS 보호 개입을 비활성화할 경우 메모리 손상과 관련된 다른 보안 위험에 노출될 수 있으므로, 마이크로소프트의 공식 보안 패치를 기다리는 것외에는 현재 가용한 해결책이 없습니다.
사용자와 관리자에게 이것이 의미하는 바는 무엇인가?
이번 취약점은 보안 패치와 운영체제 핵심 구성 요소 간의 복잡한 소프트웨어 상호 작용을 보여줍니다. 마이크로소프트가 공식 보안 업데이트를 배포할 때까지 시스템 관리자는 보안 경고를 모니터링하고 공식 패치를 기다리는 것 외에는 방법이 없습니다. 다만 위험을 즉시 완전히 차단할 수 있는 수단은 없는 상태에서, 연구원이 제공한 사전 예방적 스캔 도구를 사용하여 현재 시스템의 영향받는 정도를 확인할 수 있습니다.