BlueHammer 제로데이가 드러낸 Defender와 EDR 공격면 방어 설계

BlueHammer가 보여준 Defender 위협 처리 경로

보안 제품은 시스템을 보호하기 위해 높은 권한을 사용한다. CVE-2026-33825(BlueHammer)는 그 권한이 공격 경로로 전환될 수 있음을 보여준 사례다. 2026년 4월, Microsoft Defender의 위협 처리 엔진에 있던 이 권한 상승 취약점은 패치 공개 전에 제로데이로 실제 공격에 악용됐고, CISA는 연방 기관에 긴급 패치를 지시했다.

CVE-2026-33825는 Windows Defender 위협 처리 엔진 내부의 TOCTOU(Time-of-Check to Time-of-Use) 경쟁 조건 취약점이다. CVSS 점수는 7.8이며, 완전히 패치된 Windows 10 및 Windows 11에서도 비권한 사용자가 SYSTEM 수준 권한을 획득할 수 있다.

공격은 Defender가 탐지 파일을 처리하는 순간을 노린다. 공격자는 실시간 보호 엔진이 탐지할 파일을 만들고, Defender가 처리(Remediation)를 시작하면 배치 편의 잠금(Batch Oplock)으로 파일 작업을 멈춘다. 그 사이 NTFS 정션 포인트(Junction Point, 디렉터리 심볼릭 링크)를 만들어 처리 경로를 공격자 제어 임시 디렉터리에서 C:\Windows\System32로 바꾼다. Defender가 다시 동작할 때 SYSTEM 권한의 파일 쓰기가 리디렉션된 경로에 발생해 시스템 바이너리를 덮어쓸 수 있다.

상승된 권한이나 사용자 상호작용이 필요 없다는 점이 특히 위험하다. 보안 연구자는 2026년 4월 7일 작동하는 PoC(Proof-of-Concept)와 함께 이를 공개했고, 실제 공격은 4월 10일부터 관측됐다. Microsoft는 4월 14일 패치를 배포했으며, CISA는 연방 민간 기관(FCEB)에 5월 7일까지 패치를 완료하라고 명령했다.

같은 연구자가 공개한 RedSun과 UnDefend도 Microsoft Defender를 겨냥한다. Huntress Labs에 따르면 세 취약점은 모두 실제 공격에 사용된 사실이 확인됐고, 두 취약점은 2026년 4월 말 기준으로 패치가 제공되지 않은 상태였다.

보안 제품의 고권한 구성요소를 노리는 경로

BlueHammer는 AV·EDR 제품이 가진 고권한 실행 환경을 노리는 공격의 한 형태다. 대표적인 공격면은 취약 드라이버, 보안 서비스의 자체 결함, 탬퍼 보호 우회로 나뉜다.

커널 수준(Ring 0)에서 동작하는 보안 제품 드라이버는 공격자의 주요 표적이다. BYOVD(Bring Your Own Vulnerable Driver)는 서명이 유효한 취약 드라이버를 시스템에 로드한 뒤 이를 악용해 커널 접근 권한을 얻는 방식이다. 2026년 3월 The Hacker News 보고서에 따르면 54개 EDR 킬러 도구가 35개의 서명된 취약 드라이버를 BYOVD 방식으로 악용하고 있으며, Reynolds 랜섬웨어는 취약 드라이버를 랜섬웨어 페이로드에 직접 내장해 배포 단계를 단순화했다.

커널 권한을 얻은 공격자는 EDR 프로세스 강제 종료, 보안 도구 텔레메트리 억제, 커널 콜백 조작, 엔드포인트 보호 무력화를 수행할 수 있다.

보안 서비스 프로세스도 별도의 공격면이다. BlueHammer처럼 높은 권한으로 실행되는 서비스에 경쟁 조건, 경로 조작, 메모리 손상 같은 논리 결함이 있으면 LPE(Local Privilege Escalation)로 이어질 수 있다. Defender의 WdFilter.sys 커널 드라이버가 보호하는 레지스트리 설정도 SYSTEM·TrustedInstaller 권한을 얻은 공격자에게는 조작 대상이 된다.

Microsoft는 WdFilter.sys로 Defender 설정 레지스트리 키를 보호하는 탬퍼 보호 기능을 제공한다. 하지만 우회 경로는 계속 연구되고 있다. Altered Security의 연구(2024)는 SYSTEM·TrustedInstaller 권한으로 WdFilter 설정을 조작할 수 있음을 실증했고, EDRKillShifter 같은 도구는 전통적 EDR 방어를 비활성화하도록 설계됐다.

⤢✕

보안 솔루션을 설계할 때 줄여야 할 공격면

드라이버에는 필요한 기능과 권한만 남겨야 한다. 커널 기능을 기능별로 분리하고, 각 모듈이 최소한의 커널 접근 권한만 갖도록 설계한다. 하나의 드라이버에 전체 권한이 몰리면 단일 취약점이 시스템 전체에 영향을 줄 수 있다. Microsoft의 ASR(Attack Surface Reduction) 규칙 Block abuse of exploited vulnerable signed drivers(GUID: 56a863a9-875e-4185-98a7-b882c64b5ce5)는 이 원칙을 정책 레이어에서 구현한 사례다.

자가 보호도 단일 통제에 의존해서는 안 된다.

프로세스 보호: PPL(Protected Process Light) 또는 이에 준하는 메커니즘으로 보안 프로세스의 강제 종료를 막는다.
파일 시스템 감시: 보안 제품 바이너리와 설정 파일의 무결성을 주기적으로 검사한다.
경쟁 조건 방지: 파일 처리 파이프라인에서 원자적(atomic) 파일 작업과 적절한 잠금 메커니즘으로 TOCTOU를 차단한다.
클라우드 연동 탬퍼 감지: 로컬 보호가 우회되면 클라우드 관리 콘솔에서 이상을 즉시 탐지할 수 있도록 구성한다.

EDR이 제거되더라도 NDR과 SIEM은 독립적으로 이상 행동을 포착해야 한다. EDR 에이전트가 공격자에 의해 제거됐을 때 다른 텔레메트리만으로 SIEM이 침해를 탐지할 수 있는지가 보안 운영 체계의 성숙도를 가르는 질문이 된다.

EDR 침묵을 전제로 한 탐지 계층

2026년 기업 보안 아키텍처의 표준은 단일 제품이 아니라 EDR·XDR·SIEM·NDR를 계층적으로 통합하는 구조다. 각 레이어가 독립적으로 탐지하고, 서로의 신호를 상관 분석해야 한다.

⤢✕

동일 벤더 제품을 두 개 운영하면 공통 취약점이 악용될 때 함께 무력화될 수 있다. 그래서 Primary EDR과 Secondary EDR은 이종 제품으로 구성하는 것이 원칙이다. 두 EDR은 같은 SIEM으로 텔레메트리를 보내고, 한쪽 에이전트가 갑자기 침묵하면 그 자체를 이상 신호로 처리한다.

엔드포인트 방어가 무력화돼도 네트워크는 관측 가능한 공간으로 남는다. 공격자가 SYSTEM 권한을 얻은 뒤에도 C2(Command & Control) 통신, 횡적 이동을 위한 내부 스캐닝, 자격 증명 덤프 데이터 전송은 네트워크 트래픽의 이상으로 포착될 수 있다. NDR은 EDR이 침묵한 상태에서 보완 탐지층 역할을 한다.

SIEM에는 보안 도구 자체의 이상을 찾는 규칙도 포함해야 한다.

탐지 시나리오	신호 소스	우선순위
EDR 에이전트 프로세스 갑작스러운 종료	Windows 이벤트 로그	Critical
Defender 서비스 상태 변경(중지/비활성화)	Windows 서비스 이벤트	Critical
취약 드라이버 로드(BYOVD)	드라이버 로드 이벤트	High
NTFS 정션 포인트 생성 후 시스템 경로 접근	파일 시스템 이벤트	High
보안 소프트웨어 설치 경로 파일 변조	FIM(파일 무결성 모니터링)	High
탬퍼 보호 레지스트리 키 변경 시도	레지스트리 감사 로그	High

보안 도구 CVE의 패치 우선순위를 다시 정할 때

보안 도구는 일반 운영 소프트웨어보다 훨씬 높은 권한으로 동작한다. 따라서 해당 제품의 취약점은 일반 소프트웨어 취약점보다 높은 위험 등급으로 다뤄야 한다.

보안 도구 CVE 전용 모니터링 채널 운영: NVD, 벤더 보안 공지, CISA KEV 카탈로그로 보안 도구 관련 취약점을 별도 추적한다.
신속 패치 SLA 단축: 일반 소프트웨어 패치 주기보다 보안 도구 패치 SLA를 최소 50% 단축한다. BlueHammer는 PoC 공개(4월 7일)와 실제 악용(4월 10일) 사이가 불과 3일이었다.
제로데이 대응 통제 보완: 패치 전에는 네트워크 분리, 최소 권한 계정 정책, LSASS 보호 강화 같은 보완 통제를 즉시 적용한다.
보안 도구 설정 감사 자동화: 탬퍼 보호 상태, 실시간 보호 활성화 여부, 드라이버 서명 정책을 주기적으로 자동 검증하는 파이프라인을 운영한다.
취약한 드라이버 차단 목록 유지: Microsoft의 WDAC(Windows Defender Application Control) 정책 또는 ASR 규칙으로 알려진 취약 드라이버의 로드를 사전 차단한다.

BlueHammer는 시스템 보호를 위해 필요한 고권한 보안 솔루션이 그 자체로 치명적인 공격 표면이 될 수 있음을 드러냈다. 보안 도구의 취약점 관리와 패치는 더 엄격하게 다루고, EDR 하나에 의존하지 않는 이종 EDR·NDR·SIEM·XDR의 계층형 방어선을 갖춰야 한다. 신뢰하는 보안 도구도 별도로 검증하고 모니터링하는 운영이 필요하다.