BlueHammer Windows Defender 권한 상승과 엔드포인트 심층 방어

Defender 서명 업데이트 경로에서 열린 권한 상승

2026년 4월 초, 완전히 패치된 Windows 10·11 시스템에서도 비권한 사용자가 SYSTEM 권한을 얻을 수 있는 PoC가 GitHub에 공개됐다. CVE-2026-33825, 즉 BlueHammer다. PoC 공개 뒤 4월 10일 첫 실전 악용이 관찰됐고, CISA는 4월 22일 이를 KEV(Known Exploited Vulnerabilities) 카탈로그에 등재했다.

문제의 출발점은 Windows Defender 서명 업데이트 메커니즘의 TOCTOU(Time-of-Check to Time-of-Use) 경쟁 조건이다. Defender 위협 처리 엔진은 파일 경로를 검증하는 시점과 특권 파일 작업을 수행하는 시점 사이에 미세한 간격을 남긴다. 공격자는 이 간격에 파일 대상과 경로 해석을 바꿔 특권 작업을 다른 곳으로 향하게 한다.

CVSS 점수는 7.8(High)이다. 2026년 4월 Patch Tuesday 이전의 Microsoft Defender Antivirus가 설치된 Windows 10의 모든 지원 버전, Windows 11 전 버전, Windows Server 2016·2019·2022·2025가 영향 범위에 포함된다. 로컬 접근이 필요하지만, 초기 침투 뒤 권한 상승 구간에서는 치명적인 수단이 된다.

취약점을 발견·공개한 연구자 "Chaotic Eclipse(Nightmare-Eclipse)"는 Microsoft의 패치 지연에 항의하는 의미로 PoC를 GitHub에 올렸다. 조율 없이 이뤄진 이른바 "항의 공개(protest disclosure)"는 즉각적인 실전 악용으로 이어졌다.

합법적인 Windows 기능이 연결되는 공격 경로

BlueHammer는 하나의 취약한 호출만 이용하는 형태가 아니다. Windows 기능을 연결해 특권 파일 작업과 자격증명 탈취, 서비스 실행까지 이어가는 체인 익스플로잇이다.

⤢✕

공격자는 Windows Update Agent COM 인터페이스로 Defender 서명 업데이트를 강제하고, 이 과정에서 mpasbase.vdm 정의 파일에 대한 특권 쓰기 작업을 시작시킨다. 이어 해당 파일에 Batch Oplock을 설정해 Defender의 파일 작업을 특정 시점에 멈춘다. Oplock 자체는 Windows의 정상 파일 캐싱 메커니즘이지만, 여기서는 경쟁 조건을 만들기 위한 도구가 된다.

Defender의 쓰기 작업이 중단된 순간에는 C:\ProgramData\Microsoft\Windows Defender\Definition Updates 디렉터리를 재파스 포인트로 재구성한다. Object Manager 심볼릭 링크 \BaseNamedObjects\Restricted\mpasbase.vdm은 SAM(Security Account Manager) 하이브를 가리키도록 조작된다.

그 결과 SYSTEM 권한으로 실행되는 Defender가 SAM 데이터베이스를 공격자의 %TEMP% 디렉터리로 복사한다. 보안을 위해 특권으로 동작하는 프로세스가 의도치 않게 공격 체인의 일부가 되는 지점이다. 추출된 SAM 하이브는 Mimikatz 스타일 루틴으로 파싱해 NTLM 해시를 얻는 데 쓰이며, 이후 관리자 계정의 패스워드를 임시로 덮어쓰고 Windows 서비스를 생성·시작해 SYSTEM 실행 컨텍스트를 확보한다. Windows Server 환경에서는 LocalSystem 대신 상승된 관리자 권한까지만 도달한다.

공개된 PoC가 악용 도구가 되기까지

BlueHammer는 PoC 공개와 무기화 사이의 간격이 얼마나 짧아졌는지 보여준다.

⤢✕

4월 7일 PoC 공개부터 4월 10일 첫 실전 무기화 관찰까지 걸린 시간은 단 사흘이다. 공개 코드를 분석해 운영 환경에 맞추고 배포하는 시간이 크게 줄었음을 보여준다.

공개 PoC를 역공학하는 단계에서는 취약점의 핵심 원인을 파악한다. BlueHammer에서는 Oplock 타이밍과 심볼릭 링크 조작 로직이 중심이다. 다음 무기화 단계에서는 안티바이러스 우회, 탐지 회피, 페이로드 전달 환경에 맞게 코드를 손본다. PoC 사용자 일부는 "Oplock 트리거 대기 중 중단"을 보고했고, 공격자들은 이 타이밍 문제를 해결하는 안정화 코드를 추가했다. 마지막으로 랜섬웨어 그룹·국가 지원 APT가 기존 침투 도구 세트에 LPE 모듈로 통합한다.

BlueHammer와 함께 공개된 RedSun, UnDefend까지 13일의 창 안에 Defender 제로데이 3개가 연속 공개된 일은 Defender의 신뢰 경계 자체가 공격 표면이 될 수 있음을 다시 드러냈다.

이벤트를 따로 보지 않는 EDR 탐지

완전 패치된 시스템에서도 제로데이가 작동할 수 있다면 시그니처 기반 탐지만으로는 부족하다. EDR(Endpoint Detection and Response)은 커널 드라이버를 통해 수집한 이벤트를 연결해 BlueHammer 체인을 식별해야 한다.

파일 시스템에서는 Event ID 4663과 C:\ProgramData\Microsoft\Windows Defender\Definition Updates 경로의 심볼릭 링크·재파스 포인트 생성을 살핀다. Defender 정의 업데이트 경로 아래에 예상치 못한 재파스 포인트가 생기는지도 대상이다.

VSS 영역에서는 사용자 공간 프로세스의 스냅샷 열거, 낮은 권한 계정의 VSS 인터페이스 접근 패턴이 단서가 된다. %TEMP% 경로에 SAM 관련 아티팩트가 생성되거나 Object Manager 심볼릭 링크를 거쳐 특권 파일을 읽는 행위도 함께 확인해야 한다. 낮은 권한 계정이 갑자기 Windows 서비스를 생성·시작하거나 Event ID 7045 뒤에 즉시 실행이 이어지는 경우 역시 중요하다.

개별 이벤트보다 다음과 같은 이벤트 상관 관계(Event Correlation)가 핵심이다.

[낮은 권한 계정] + [Defender 업데이트 COM 인터페이스 호출]
  → [Oplock 설정 시도 (mpasbase.vdm)]
  → [재파스 포인트 생성 (Defender 경로)]
  → [%TEMP% SAM 아티팩트 생성]
  → [서비스 생성 (권한 없는 계정)]

이 시퀀스가 짧은 시간 창(수십 초) 안에 동일한 프로세스 트리에서 발생하면 높은 신뢰도의 LPE 시도로 판정할 수 있다. EDR이 커널 콜백(Process creation, Object manager operations, Registry modifications)을 인터셉트하고 사용자 랜드 DLL 인젝션으로 시스템 콜을 후킹하는 방식은, 순수 커널 모드 공격이 점점 드물어지는 추세에서도 행동 이상을 포착하는 데 효과적이다.

다만 EDR도 완전한 방어선은 아니다. 2026년 현재 "EDR 킬러" 기법이 고도화되면서 공격자는 EDR의 커널 드라이버를 비활성화하거나 우회한다. BlueHammer PoC 일부 사용자가 Defender의 실행 전 행동 탐지 차단을 보고한 사례는 EDR의 유효성을 보여주지만, 충분히 정제된 무기화 버전은 이를 우회했다. 따라서 단일 EDR 레이어에 의존할 수는 없다.

패치 공백을 줄이는 통제 레이어

BlueHammer는 패치만으로 LPE 위협을 완전히 막을 수 없다는 점을 보여준다. 제로데이가 존재하고 PoC 공개에서 무기화까지의 창이 좁아지는 상황에서, 심층 방어(Defense in Depth)는 패치 이전의 공백을 메우는 역할을 한다.

⤢✕

UAC는 특권 작업이 사용자 컨텍스트에서 시작되는 것을 막는 첫 장벽이지만 기본 설정만으로는 충분하지 않다.

ConsentPromptBehaviorAdmin=2: 관리자 계정도 모든 권한 상승 시 보안 데스크톱에서 자격증명 입력 요구
LocalAccountTokenFilterPolicy=0: 원격 관리를 위한 토큰 필터링 비활성화 방지
로컬 관리자 계정을 운영상 불필요한 경우 완전 비활성화: BlueHammer의 Pass-the-Hash 단계를 근본적으로 차단

AppLocker는 경로, 퍼블리셔, 해시 같은 파일 속성을 바탕으로 실행 가능한 애플리케이션을 화이트리스트 방식으로 통제한다. BlueHammer가 서비스 생성 과정에서 악성 실행 파일을 드롭·실행하려는 경우 이 레이어가 개입한다. Windows Defender Application Control(WDAC)은 AppLocker보다 강력한 커널 레벨 정책으로, 서명되지 않은 코드의 커널 로드를 원천 차단한다. 커널 드라이버로 EDR을 비활성화하려는 시도에 대한 방어선이기도 하다.

Credential Guard는 VBS(Virtualization-Based Security)를 이용해 LSA(Local Security Authority) 프로세스를 격리된 가상 환경에서 실행한다. BlueHammer가 노리는 SAM 하이브의 NTLM 해시 추출을 차단하는 레이어다.

NTLM 해시, Kerberos 티켓을 가상화 경계 안에 격리해 SAM 하이브 직접 접근을 차단
Windows Server 2025는 적격 하드웨어에서 Credential Guard를 기본 활성화
BlueHammer의 NTLM 추출 단계를 무력화하여 Pass-the-Hash 체인을 차단

Microsoft Defender for Endpoint의 17개 ASR 규칙도 LPE 공격에 자주 쓰이는 기법을 차단한다. BlueHammer와 연관성이 높은 규칙은 다음과 같다.

ASR 규칙 GUID	효과
`be9ba2d9-53ea-4cdc-84e5-9b1eeee46550`	Office 애플리케이션에서 실행 파일 콘텐츠 생성 차단
`7674ba52-37eb-4a4f-a9a1-f0f9a1619a2c`	난독화된 스크립트 실행 차단
`d4f940ab-401b-4efc-aadc-ad5f3c50688a`	Office 자식 프로세스 생성 차단
`26190899-1602-49e8-8b27-eb1d0a1ce869`	Win32 API 호출을 통한 Office 매크로 차단

Cloud Files API와 VSS 인터페이스 접근을 제한하는 조치도 BlueHammer 체인의 (1)·(4)단계를 차단하는 데 직접 효과적이다. 다만 백업 솔루션처럼 업무상 VSS를 사용하는 환경에서는 예외 정책 설계가 필요하다.

가장 근본적인 방어는 공격자가 처음부터 로컬 접근 권한을 얻지 못하게 하거나, 접근하더라도 LPE 체인의 후반부를 완성하지 못하게 하는 것이다.

엔드포인트에서 로컬 관리자 계정 제거 또는 LAPS(Local Administrator Password Solution)로 랜덤화
Protected Users Security Group에 관리자 계정 추가: NTLM 인증, 위임 자격증명 캐싱, RC4 암호화 비활성화
JIT(Just-In-Time) 권한 상승 솔루션 도입: 필요 시에만 임시 관리자 권한 부여

보안 제품도 신뢰 경계 밖에서 검증해야 한다

CVE-2026-33825는 보안 소프트웨어 자체가 공격 표면이 될 수 있음을 보여준다. Defender는 시스템 보호를 위해 SYSTEM 권한으로 실행되지만, 바로 그 특권이 공격자의 표적이 됐다.

4월 7일 PoC 공개부터 4월 14일 패치까지의 7일, 그리고 10일의 무기화 창은 패치 속도의 중요성을 드러낸다. Patch Tuesday 주기를 벗어난 긴급 패치 배포 체계와 자동 업데이트 정책이 필요한 이유다.

제로데이 기간에 패치는 없더라도 탐지는 가능하다. BlueHammer의 5단계 체인은 각각 탐지 가능한 이상 행동을 남긴다. UAC, AppLocker, Credential Guard, ASR 규칙 가운데 한 레이어가 뚫려도 다른 레이어가 다음 단계를 막을 수 있도록 구성해야 한다. 제로데이를 없앨 수는 없지만, 피해 범위는 이처럼 중첩된 통제로 줄일 수 있다.