"Nightmare Eclipse"라는 가명을 사용하는 보안 연구원이 Windows 운영 체제의 새로운 제로데이(Zero-day) 취약점을 공개했으며, 이를 SignDrop이라고 명명했습니다. 이 취약점은 제한된 권한을 가진 로컬 사용자가 전체 시스템(System) 수준으로 권한을 상승시켜 영향을 받는 기기에 대한 광범위한 제어권을 확보할 수 있게 합니다.
취약점 작동 방식
이 취약점은 Windows 애플리케이션에서 사용하는 공용 로그 서비스인 CLFS(Common Log File System)에 존재합니다. 이 공격은 해당 서비스와 "Windows Defender" 간의 상호 작용을 악용합니다. 공격자는 Windows 객체 관리자 링크를 조작하여 Defender가 높은 보안 컨텍스트에서 특별히 설계된 CLFS 컨테이너를 열도록 강제합니다. 서비스가 시스템 권한으로 새 파일을 생성하기 때문에, 공격자는 이 프로세스를 악용하여 보안 제한을 우회할 수 있습니다.
이 뉴스가 중요한 이유
이 취약점은 마이크로소프트가 이전 공격을 방지하기 위해 2025년 10월에 설계한 보안 조치를 오히려 해킹 도구로 전환한다는 점에서 특별한 중요성을 갖습니다. 연구원은 이 취약점이 모든 안티멀웨어(Antimalware) 엔진에 대해 해당 엔진의 자체 방어 메커니즘을 무력화하는 데 사용될 수 있다는 점에서 독특하다고 지적했습니다. 파일 생성 요청이 엔진에 신뢰할 수 있는 합법적인 프로세스에서 발생한 것처럼 보이기 때문입니다.
영향 범위 및 제한 사항
연구원은 이 취약점이 Windows 11 26H2 및 Windows Server 2025 Experimental과 같은 특정 버전에 영향을 미친다고 확인했습니다. 한편, 보안 연구원 윌 도먼(Will Dormann)은 이 취약점의 재현이 가능하지만, 시스템이 90일 이상 경과했거나 레지스트리의 인증 모드 값이 0 또는 1로 설정되어 있어야 하는 등 특정 조건이 필요하다고 설명했습니다.
마이크로소프트 측은 해당 보고서를 조사 중이라고 밝혔으며, 현재까지 실제 공격에서 이 취약점이 악용되었다는 증거는 없으며 "Defender" 프로그램이 잠재적인 악용 시도를 차단하고 있다고 강조했습니다.