BlueHammer 제로데이: Windows Defender LPE와 최소 권한 엔드포인트 보안

2026년 4월 공개된 CVE-2026-33825(BlueHammer)는 Windows Defender 위협 치료 엔진의 로컬 권한 상승(LPE) 제로데이다. 완전히 패치된 Windows 10·11 시스템에서도 비권한 사용자가 SYSTEM 권한을 얻을 수 있었고, 연구자 Nightmare-Eclipse는 Microsoft의 비공개 패치 대응에 반발해 PoC를 공개 배포했다. 공개 뒤 18일 안에 BlueHammer·RedSun·UnDefend 세 익스플로잇이 실제 침해 사고에서 관찰됐다. CISA는 2026년 4월 22일 이를 KEV 카탈로그에 올리고 연방 민간기관에 5월 6일까지의 패치를 의무화했다.

치료 경로의 시간 차가 SYSTEM 쓰기로 이어지는 방식

문제의 중심에는 TOCTOU(Time-of-Check to Time-of-Use) 경쟁 조건이 있다. Defender 실시간 보호 엔진은 악성 파일을 찾으면 SYSTEM 권한으로 치료(remediation) 작업을 수행한다. 대상 경로를 검사한 순간과 실제 파일 쓰기가 일어나는 순간 사이에 짧은 간격이 생기며, BlueHammer는 바로 그 구간을 겨냥한다.

Defender는 Check 단계에서 파일 경로를 검증하고, 별도 단계에서 실제 쓰기 작업을 실행한다. 검증이 끝난 경로 문자열을 다시 해석해 쓰기 작업을 수행하면, 확인 당시의 디렉터리와 실제 쓰기 대상이 달라질 수 있다. 권한 서비스가 검증에 사용한 파일 핸들을 보유하지 않은 채 다음 단계로 넘어가는 것이 이 경쟁 조건의 핵심이다.

공격 흐름은 미끼 파일부터 시작한다. 공격자는 Defender의 시그니처 패턴에 맞도록 조작했지만 실제로는 무해한 파일을 자신이 제어하는 임시 디렉터리에 둔다. Defender가 이를 감지해 치료 루틴으로 들어가면, 공격자는 Batch Opportunistic Lock(oplock)으로 파일 연산을 정지시킨다. oplock은 파일 작업이 중단됐을 때 잠금 요청자에게 통지하는 Windows 파일 시스템 기능이다.

정지된 동안 공격자는 임시 디렉터리를 삭제하거나 이름을 바꾼 뒤, 같은 경로에 C:\Windows\System32를 가리키는 NTFS 정션 포인트(Junction Point)를 만든다. NTFS 정션 포인트는 디렉터리 심볼릭 링크의 한 종류인 재분석 포인트로, 비권한 사용자도 사용자 공간 안에서 만들 수 있다. oplock이 풀린 뒤 Defender가 작업을 재개하면, 검증 당시에는 공격자 제어 디렉터리를 가리키던 경로가 리디렉션된 경로에 SYSTEM 권한으로 파일을 쓴다. 결과적으로 공격자는 시스템 바이너리를 덮어쓰고 SYSTEM 수준 코드 실행에 도달할 수 있다.

CVE-2026-33825의 CVSS 점수는 **7.8(High)**이며, Microsoft는 근본 원인을 CWE-1220(Insufficient Granularity of Access Control)으로 분류했다.

RedSun과 UnDefend가 넓힌 Defender 공격 표면

Nightmare-Eclipse는 BlueHammer 공개 직후 추가 취약점 두 가지도 발표했다.

**RedSun(미패치)**은 Defender의 클라우드 파일 롤백(cloud file rollback) 메커니즘을 악용하는 LPE다. Defender가 클라우드 태그 파일을 감지하면 원래 위치로 되돌리려 하는데, 대상 경로 검증이 빠진 경우 Cloud Files API를 통한 NTFS 정션 포인트와 oplock 조작으로 복구 작업을 리디렉션할 수 있다. 공격자가 제어하는 바이너리를 System32에 투하하고 SYSTEM으로 실행시킬 수 있으며, 공개 당시 신뢰도는 근 100%로 언급됐다.
**UnDefend(미패치)**는 표준 사용자가 Defender 시그니처 업데이트를 차단하거나 비활성화할 수 있는 별도 Defender 로직 결함이다. 수동 모드에서는 업데이트만 막고, 공격적 모드에서는 주요 플랫폼 업데이트 때 Defender를 완전히 비활성화한다. Huntress Labs는 실제 악용을 확인했다.

이 결함들은 Defender가 가진 높은 시스템 권한이 파일 경로 처리와 업데이트 제어의 결함을 통해 공격 경로로 바뀔 수 있음을 보여준다.

메모리 손상형 LPE와 다른 파일 시스템 경쟁 조건

전통적인 Windows 커널 LPE는 대체로 커널 메모리와 오브젝트를 겨냥한다. BlueHammer를 운영 관점에서 별도로 봐야 하는 이유는, 이런 기법과 다른 파일 시스템 레이어에서 SYSTEM 쓰기 권한을 얻기 때문이다.

SYSTEM 토큰을 교체하는 토큰 탈취

Windows 프로세스는 EPROCESS 구조체에 보안 토큰(Security Token)을 보유한다. 공격자가 커널 임의 읽기·쓰기 프리미티브를 확보하면 SYSTEM 프로세스(lsass.exe, ntoskrnl.exe)의 토큰 포인터를 읽은 뒤 자신의 프로세스 토큰을 바꾼다. MmMapIoSpace 같은 위험한 커널 함수에 직접 접근할 수 있을 때 주로 쓰인다.

핸들 테이블을 통한 상위 권한 오브젝트 접근

커널 오브젝트 핸들은 프로세스별 핸들 테이블에 저장된다. 이 테이블을 조작하면 낮은 권한의 프로세스가 높은 권한 프로세스의 오브젝트에 접근할 수 있다. Win32k 서브시스템의 많은 UAF 취약점이 이 경로로 익스플로잇됐다.

해제된 커널 오브젝트를 다시 잡는 UAF

유저 모드 콜백을 처리하는 사이 커널 오브젝트가 적절히 잠기지 않으면, 콜백 실행 중 해당 오브젝트가 해제될 수 있다. 공격자가 해제된 메모리를 제어 가능한 데이터로 재할당하면 UAF 취약점이 발생하며, EPROCESS 구조체에 연결된 Token 오브젝트를 덮어쓰는 경로가 전형적이다.

BlueHammer는 커널 드라이버나 메모리 손상 없이 합법적인 Windows 파일 시스템 API만 사용한다. 그래서 KASLR, CFG, SMEP 같은 전통적인 exploit mitigation을 우회할 수 있다.

파일 검사에서 SYSTEM 실행까지의 연결

⤢✕

침해 현장에서 관찰된 후속 행위

Huntress Labs는 2026년 4월 중순 SSL VPN 사용자 계정 탈취로 침해된 Windows 장치에서 BlueHammer·RedSun·UnDefend가 모두 사용된 사례를 보고했다. 공격자들은 자동화된 악성 코드 대신 직접 명령을 입력해 네트워크를 탐색했고, whoami /priv, cmdkey /list, net group처럼 표준 시스템을 점검하는 명령을 수동으로 실행했다. 이는 숙련된 인간 위협 행위자(human threat actor)에게서 나타나는 행동 양식이다.

Vectra AI는 이를 “방어자가 문이 되는(When the Defender Becomes the Door)” 상황으로 표현했다. 보안 제품이 SYSTEM 권한으로 작동하면서 권한 최소화 원칙을 충분히 구현하지 못하면, 그 제품 자체가 SYSTEM 접근 경로가 될 수 있다.

패치 전 공백을 전제로 쌓는 방어 계층

BlueHammer가 완전히 패치된 시스템을 공격할 수 있었던 이유는 4월 패치 이전, 즉 PoC 공개 시점에 공식 패치가 없었기 때문이다. 제로데이 대응은 단일 보안 계층에 의존하지 않는 구조를 요구한다.

최소 권한 원칙(Principle of Least Privilege, PoLP)은 첫 번째 경계다. BlueHammer는 비권한 사용자의 로컬 코드 실행을 전제로 하므로, 공격자가 초기 접근을 얻지 못하면 취약점도 발동할 수 없다. 표준 사용자 계정 운영과 관리자 권한의 Just-in-Time(JIT) 부여가 여기에 속한다.

Windows 11의 Administrator Protection은 기존 UAC를 대체하며, 사용자는 표준 사용자로 로그인하고 관리 작업이 필요할 때만 임시 관리자 토큰을 받는다. 공격자가 관리자 세션을 탈취해도 관리 권한을 계속 유지하기 어렵게 만드는 방식이다.

AppLocker와 WDAC(Windows Defender Application Control)는 허용 목록(allowlist)을 바탕으로 승인된 애플리케이션의 실행만 허용한다. 다만 AppLocker는 관리자 권한 사용자가 서비스를 끌 수 있으므로, 관리자 권한 제거가 먼저 이뤄져야 효과가 있다.

Credential Guard는 VBS(Virtualization-Based Security)로 NTLM 해시와 Kerberos 파생 자격증명을 OS와 분리된 보호 컨테이너에 보관한다. BlueHammer로 SYSTEM 권한을 얻은 뒤에도 Credential Guard가 활성화돼 있으면 자격증명 덤프(credential dumping)를 막아 수평 이동(lateral movement)을 저지할 수 있다.

EDR/XDR에서는 시그니처 탐지가 제로데이 앞에서 약해질 수 있다는 점을 전제로 행동을 연결해 봐야 한다. oplock 설정, NTFS 정션 포인트 생성, Defender 프로세스의 비정상 파일 쓰기를 연관 분석하면 BlueHammer를 탐지할 수 있다. MsMpEng.exe가 System32, Program Files 등 보호 경로에 쓰기를 시도하는 패턴, Defender 스캔 직전 임시 디렉터리에서 낮은 권한 사용자가 재분석 포인트를 만드는 행위, 사용자 쓰기 가능 디렉터리에서의 oplock 사용도 함께 살펴볼 신호다.

권한 서비스의 파일 작업을 안전하게 설계하는 기준

파일 작업의 방어 지점은 경로 문자열을 검사한 뒤 나중에 다시 여는 구조를 없애는 데 있다. 권한 있는 서비스는 검증에 사용한 파일 핸들을 보유한 상태에서 동일 핸들로 검증과 쓰기를 수행해야 한다. NtCreateFile에 검증된 핸들을 참조하는 오브젝트 속성을 사용하거나, 작업 전체 동안 부모 디렉터리에 배타적 잠금을 유지하는 방식이 여기에 해당한다.

대상 파일은 Check 시점에 해시하고 쓰기 직전에 다시 해시를 검증해야 한다. 해시 변경이나 새 재분석 포인트가 발견되면 경쟁 창 내 조작으로 보고 작업을 중단한다. FILE_FLAG_OPEN_REPARSE_POINT와 GetFinalPathNameByHandle을 사용해 경로 체인의 재분석 포인트를 확인할 수 있다.

oplock으로 인한 비정상적인 지연도 권한 서비스가 인식해야 할 신호다. 낮은 권한 프로세스가 설치한 oplock 때문에 복구 워크플로우의 임시 디렉터리 작업이 지연되면 중단해야 한다. 보안 소프트웨어 벤더는 권한 있는 구성 요소의 파일 작업 순서에 TOCTOU 퍼징과 경쟁 조건 테스트를 적용하고, 정적 분석과 수동 코드 리뷰에서는 사용자 영향 경로를 검사한 뒤 핸들을 보유하지 않은 상태로 그 경로에서 작업하는 권한 서비스를 플래그할 필요가 있다.

계정과 네트워크 경계를 분리하는 엔드포인트 설계

BlueHammer와 같은 LPE에 대한 근본 대응은 엔드포인트 아키텍처 차원의 최소 권한 설계다.

일상 업무에는 표준 계정을, 관리 작업에는 별도 관리 계정을 사용해야 한다. 한 계정에서 표준 작업과 관리 작업을 섞으면 단일 계정 탈취만으로 관리 접근을 얻는 길이 열린다.

PAM 솔루션으로 JIT(Just-in-Time) 권한을 부여하면 필요한 시간에만 필요한 권한을 주고 자동으로 회수할 수 있다. 이는 LPE 취약점이 SYSTEM 권한을 지속적으로 보유하는 관리자 세션에서 일으키는 피해를 줄인다.

Defender 자체 무결성에만 의존하지 않도록 독립 EDR/XDR을 함께 배포하고, System32 같은 보호 경로에는 파일 무결성 모니터링(FIM)을 적용해 소스 프로세스와 무관하게 비인가 쓰기를 탐지한다.

네트워크 측면에서는 SYSTEM 권한을 획득한 공격자의 수평 이동을 막기 위해 엔드포인트 간 직접 통신을 제한한다. Zero Trust Network Access(ZTNA) 원칙에 따라 모든 접근을 인증·인가·검증하는 구조가 필요하다.

BlueHammer는 4월 14일 Patch Tuesday를 통해 Antimalware Platform 버전 4.18.26050.3011로 패치됐다. Defender는 자동 업데이트 메커니즘으로 배포된다. 제로데이 위협 환경에서는 패치 배포 속도를 최대화하는 자동화된 패치 관리 파이프라인이 필수다.

BlueHammer는 TOCTOU 경쟁 조건과 NTFS 정션 포인트라는 합법적 메커니즘의 조합만으로 SYSTEM 권한을 얻을 수 있음을 보여준다. 취약점 패치 이후에도 최소 권한, 자격증명 보호, 행동 탐지를 겹쳐 배치해야 한다. RedSun과 UnDefend가 여전히 미패치라는 점은 같은 공격 표면을 계속 감시하고 보완 통제(compensating control)를 적용해야 한다는 뜻이다.