BlueHammer Windows Defender 제로데이와 SYSTEM 권한 상승 위험

2026년 4월 3일, “Chaotic Eclipse”라는 별명의 보안 연구자가 미패치 Windows 로컬 권한 상승(LPE) 익스플로잇을 GitHub에 공개했다. BlueHammer는 Windows Defender의 서명 업데이트 과정에서 TOCTOU(Time-of-Check to Time-of-Use) 경합 조건과 경로 혼동(Path Confusion)을 연결해 NT AUTHORITY\SYSTEM 권한을 노린다. 당시 CVE는 할당되지 않았고 Microsoft의 공식 대응도 나오지 않은 상태에서 PoC 전문이 공개됐다.

정상 기능이 공격 체인으로 이어지는 지점

BlueHammer는 하나의 독립된 결함보다는 Windows의 정상 기능을 특정 순서로 연결하는 논리적 취약점으로 설명된다. Defender 업데이트, VSS, Cloud Files API, Oplock이 각각 공격 흐름 안에서 역할을 갖는다.

구성 요소	정상 기능	공격 체인에서의 역할
Windows Defender 업데이트	서명 파일 갱신	업데이트 시점에 경합 조건 유발
Volume Shadow Copy Service	시스템 복원 지점 생성	VSS 스냅샷 안의 SAM 하이브 접근
Cloud Files API	OneDrive 등 클라우드 파일 동기화	콜백으로 Defender 일시정지
Opportunistic Locks (Oplocks)	파일 접근 동기화	경합 조건의 타이밍 제어

공개된 흐름은 Defender 서명 업데이트를 시작점으로 삼는다. 특정 복원 및 정리 워크플로에서 임시 VSS 스냅샷이 만들어지는 시점을 감지하고, Cloud Files API 콜백과 Opportunistic Lock으로 Defender 작업을 정확한 시점에 멈춘다. 이후 심볼릭 링크로 SYSTEM 권한의 파일 읽기 작업을 VSS 스냅샷 내 SAM 하이브 경로로 돌리는 방식이다.

⤢✕

공격자가 목표로 하는 결과는 SAM, SYSTEM, SECURITY 레지스트리 하이브를 사용자 접근 가능 경로인 %TEMP%로 복사하는 것이다. 이후 획득한 데이터는 자격 증명 탈취와 권한 상승에 사용될 수 있다.

VSS 스냅샷이 잠긴 SAM 하이브를 우회하는 방식

정상 운영 중에는 커널이 SAM(Security Account Manager) 데이터베이스 파일을 잠가 일반 사용자가 접근하지 못하게 한다. BlueHammer의 설명에서 VSS는 이 제한을 우회하는 매개체다. 스냅샷에는 잠금이 해제된 SAM 하이브 복사본이 포함될 수 있으며, 공격 체인은 해당 복사본을 읽을 수 있는 경로로 연결하려 한다.

SAM 하이브에서 로컬 계정의 NTLM 해시를 추출하는 과정에는 Mimikatz 스타일의 파싱 루틴이 사용된다. 추출한 해시는 Pass-the-Hash 공격에 쓰이거나 로컬 관리자 계정의 비밀번호를 임시 변경하는 데 사용될 수 있으며, 결과적으로 SYSTEM 권한 획득으로 이어진다.

⤢✕

로컬 침해 이후의 위험

영향 범위로는 Windows 10, Windows 11, Windows Server가 언급됐으며 일부 환경에서는 동작 불안정 보고가 있었다. 원격에서 직접 실행하는 공격은 아니며, 로컬 사용자 계정 접근이 선행돼야 한다. 또한 공개된 PoC에는 버그가 포함돼 모든 환경에서 일관된 성공률을 보장하지 않는다.

그럼에도 공개 LPE PoC는 랜섬웨어 그룹과 APT 조직이 수일 내 무기화하는 사례가 다수 있었기 때문에, 초기 침해 이후의 권한 상승 경로로 볼 필요가 있다. 피싱으로 진입한 뒤 BlueHammer로 권한을 올려 도메인 장악을 시도하거나, 비특권 내부 사용자가 SYSTEM 권한을 얻는 시나리오가 가능하다. 랜섬웨어 킬체인에서는 암호화 전 권한 상승 단계에 활용될 수 있다.

모니터링과 완화의 우선순위

BlueHammerFix 저장소에는 7개 Sigma 탐지 규칙과 4개 YARA 규칙이 공개됐다. 환경에 적용할 때는 규칙 배포와 함께 VSS 생성·접근 이벤트의 비정상 패턴을 감시해야 한다.

SYSTEM 프로세스가 만드는 심볼릭 링크와 경로 변경 이벤트도 감사 대상이다. Defender 업데이트 시간대를 그룹 정책(GPO)으로 제한하고 해당 시간대의 모니터링을 강화하는 방식도 원본에서 제시됐다.

권한과 인증 경로 역시 함께 점검할 수 있다.

로컬 관리자 계정을 비활성화하고 LAPS(Local Administrator Password Solution)를 도입한다.
가능한 환경에서는 NTLM 인증을 비활성화하고 Kerberos 전환을 권장한다.
VSS 접근, 심볼릭 링크 생성, Defender 업데이트 작업이 같은 흐름에 나타나는지 확인한다.

공개 시점이 남긴 Responsible Disclosure 쟁점

이 사건은 Responsible Disclosure 체계의 갈등을 드러냈다. 연구자는 Microsoft의 느린 대응과 불투명한 커뮤니케이션에 대한 불만을 표출했고, 벤더 측에서는 복잡한 TOCTOU 취약점의 패치 개발에는 시간이 필요하며 성급한 공개가 공격자에게 유리할 수 있다는 문제가 제기된다.

Google Project Zero의 90일 공개 정책이 사실상 표준으로 작동하지만, Microsoft는 별도 일정을 운영한다. 이 차이는 벤더의 응답 지연이 독자적 공개를 정당화하는지, 미패치 PoC 공개가 방어자와 공격자 중 누구에게 더 유리한지, Bug Bounty 보상 구조가 Responsible Disclosure를 충분히 유도하는지라는 질문으로 이어진다.

BlueHammer는 정상 시스템 기능이 조건에 따라 연결될 때 생기는 논리적 취약점의 위험을 보여준다. 미패치 상태의 PoC가 공개된 상황에서는 탐지 규칙 배포와 VSS 모니터링 강화가 우선이며, 동시에 벤더와 연구자 사이의 공개 프로세스도 개선 과제로 남는다.