길리랩blog

RoguePlanet Defender TOCTOU 제로데이와 SYSTEM 권한 상승 대응

RoguePlanet 제로데이 PoC가 Defender 실시간 스캔의 TOCTOU 레이스 컨디션을 악용해 SYSTEM 권한에 이르는 구조와 패치 갭 대응 방안을 정리한다.

2026-08-14 · 최초 발행 2026-08-02

2026년 6월 패치 화요일 배포 뒤 몇 시간 만에, 익명의 보안 연구자 Nightmare Eclipse는 GitHub에 RoguePlanet이라는 Windows 제로데이 PoC를 공개했다. 이 PoC는 Microsoft Defender의 파일 처리 경로에 있는 TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션을 이용해 최신 패치가 적용된 Windows 10/11에서도 일반 사용자가 NT AUTHORITY\SYSTEM 권한을 얻을 수 있음을 보인다.

보호 제품이 높은 권한으로 동작하는 구조 자체가 공격 표면이 될 수 있다는 점, 그리고 패치가 나오기 전까지 조직이 떠안는 패치 갭 리스크가 이 사례의 핵심이다.

Defender 실시간 스캔에서 생기는 TOCTOU 창

Microsoft Defender는 악성코드 격리, 파일 치료, 서명 업데이트처럼 특권이 필요한 작업을 수행하기 위해 NT AUTHORITY\SYSTEM 계정으로 실행된다. 보호 범위를 넓히기 위한 권한이지만, 공격자에게는 가로채고 싶은 처리 주체가 된다.

RoguePlanet은 Defender의 실시간 스캔 파이프라인에서 파일이나 디렉터리 속성을 확인한 뒤 실제 작업을 수행하기까지의 간극을 노린다. 흐름은 다음과 같다.

  1. Defender가 특정 경로의 파일 또는 디렉터리 속성을 확인한다. 이는 TOCTOU의 Time-of-Check에 해당한다.
  2. 확인 결과를 바탕으로 SYSTEM 권한에서 파일 작업을 수행한다. Time-of-Use 단계다.
  3. 두 단계 사이에 공격자가 파일 시스템 객체를 교체해 처리 대상 경로를 바꾼다.

낮은 권한의 공격자는 심볼릭 링크(Symbolic Link)나 디렉터리 정션(Directory Junction)을 이용해 SYSTEM 프로세스가 접근할 경로를 우회시킬 수 있다. Windows 객체 관리자(Object Manager)의 심볼릭 링크 기능은 특정 조건에서 비특권 사용자도 만들 수 있으며, 이 점이 공격의 기반이 된다.

Oplock으로 멈춘 SYSTEM 작업을 다른 경로로 돌리는 방식

공격은 Defender가 실시간 스캔하도록 트리거 파일을 만드는 데서 시작한다. Defender가 파일을 스캔하려는 시점에 공격자는 Oplock(Opportunistic Lock)을 설정해 SYSTEM 스레드를 잠시 멈춘다. 파일 공유를 위한 메커니즘인 Oplock이 여기서는 레이스 윈도우를 넓히는 수단으로 악용된다.

스레드가 멈춘 동안 공격자는 기존 디렉터리 정션을 제거하고 Windows 객체 관리자 심볼릭 링크로 바꾼다. 링크는 C:\Windows\System32 같은 보호된 시스템 경로를 가리킨다. 이후 Oplock을 해제하면 SYSTEM 스레드는 바뀐 링크를 따라 파일을 쓰거나 복사하고 이동한다. 결과적으로 공격자가 제어하는 코드가 SYSTEM 권한에서 실행되며 cmd.exe가 NT AUTHORITY\SYSTEM 컨텍스트로 생성된다.

⤢✕확인 후 처리 대기(1) 공격자(표준 사용자) 시작(2) 트리거 파일 생성(Defender 스캔 유발)(3) Oplock 설정(SYSTEM 스레드 일시 정지)(4) Defender가파일 확인(TOCTOU Check)?(5) 디렉터리 정션 → 객체관리자심볼릭 링크로 교체(6) Oplock 해제(SYSTEM 스레드 재개)(7) SYSTEM이 교체된 경로따라파일 작업 수행(TOCTOU Use)(8) System32 등 보호 경로에공격자 페이로드 기록(9) NT AUTHORITY\\SYSTEM권한으로 cmd.exe 실행(10) 완전한 SYSTEM 권한 획득

최신 업데이트 이후에도 남는 공격 조건

RoguePlanet이 2026년 6월 패치 화요일 업데이트가 적용된 시스템에서도 작동하는 이유는 두 층위에서 볼 수 있다.

우선 CVE가 없는 신규 취약점이다. 6월 패치 화요일에는 이 취약점이 포함되지 않았고, 공개 시점까지 CVE 식별자도 할당되지 않은 상태다. Microsoft가 존재를 인지하지 못했거나, 인지했더라도 패치를 준비하지 못했을 수 있다.

또 다른 이유는 Windows 파일 시스템과 객체 관리자 설계가 가진 한계다. TOCTOU 레이스 컨디션은 운영체제 설계 수준의 문제여서 Defender 업데이트만으로 해결하기 어렵다. Oplock과 심볼릭 링크의 조합은 수년간 LPE 익스플로잇에 쓰여 왔고, 완전한 방어가 쉽지 않은 영역이다.

RoguePlanet은 선행 취약점인 BlueHammer(CVE-2026-33825)와 유사한 흐름을 가진다. BlueHammer는 Defender 서명 업데이트 메커니즘의 MpSigStub.exe에서 같은 TOCTOU 패턴을 악용했다. Microsoft는 4월 패치 화요일에 Defender 플랫폼 버전 4.18.26040.1011로 BlueHammer를 패치했지만, Nightmare Eclipse는 같은 계열의 새 변형을 발견했다.

패치 갭에서 우선 확인할 범위

PoC가 공개됐는데 공식 패치가 없는 기간은 조직의 노출이 커지는 구간이다. RoguePlanet은 로컬 권한 상승(LPE)이므로 공격자가 이미 표준 사용자 권한으로 시스템에 접근한 상태를 전제한다. 피싱이나 원격 코드 실행 취약점 같은 초기 침투 경로를 막는 일이 첫 방어선이 된다. RoguePlanet 단독으로 외부에서 직접 공격할 수는 없다.

영향 범위는 다음과 같다.

구분 내용
취약 대상 Windows 10/11 (2026년 6월 패치 화요일 완전 적용 포함)
비취약 대상 Windows Server (표준 사용자가 ISO 마운트 불가 — PoC의 현재 구현 한계)
완화 요소 도메인 가입 시스템에서 표준 사용자 권한 제한이 적용된 경우

공식 수정 전에는 표준 사용자 계정의 ISO 마운트 권한 제거, 로컬 관리자 계정 최소화, Credential Guard 활성화를 우선 검토할 수 있다.

EDR과 SIEM에서 찾아야 할 행위

시그니처 중심 탐지가 약해지는 제로데이 상황에서는 행위 기반 탐지가 중요해진다. ThreatLocker는 RoguePlanet을 독립적으로 재현했다고 발표했고, 이는 행위 기반 차단의 유효성을 보여준다.

탐지 대상 행위 구체적 지표 우선순위
Oplock 남용 비특권 프로세스의 MsSecFlt 관련 Oplock 설정 높음
심볼릭 링크 생성 비특권 계정에서 Object Manager 네임스페이스 심볼릭 링크 생성 높음
디렉터리 정션 교체 짧은 시간 내 정션 생성-삭제-재생성 패턴 중간
SYSTEM 자식 프로세스 MsMpEng.exe 또는 MpCmdRun.exe의 이상 자식 프로세스 생성 매우 높음
SAM 접근 시도 비정상 경로에서 HKLM\SAM 레지스트리 접근 높음

특히 Defender 메인 프로세스인 MsMpEng.exe가 cmd.exe, powershell.exe, wscript.exe 같은 셸 프로세스를 자식으로 생성하는 행위는 즉각 알림이 필요한 최우선 탐지 규칙이다.

공식 패치가 없을 때는 가상 패치도 적용할 수 있다. 네트워크 레이어에서는 WAF나 IPS에 RoguePlanet 관련 파일 전달을 차단하는 규칙을 추가하고, Defender 격리 경로를 노리는 파일명 패턴을 기준으로 필터링한다. 호스트 레이어에서는 AppLocker 또는 Windows Defender Application Control(WDAC) 정책으로 알려지지 않은 바이너리 실행을 기본 차단하고, 그룹 정책(GPO)으로 ISO 마운트를 비활성화한다. 엔드포인트에서는 Sysmon의 EventID 1(프로세스 생성)과 EventID 8(CreateRemoteThread)을 결합한 상관 관계 규칙을 SIEM에 등록한다.

권한 구조가 권한 상승의 출발점을 줄인다

RoguePlanet은 표준 사용자 권한에서 시작한다. 따라서 조직은 엔드포인트의 권한 구조를 함께 점검해야 한다.

⤢✕강화 구성(권장)최소 권한만 부여승인된 작업만감사 로그일반 사용자PAM 솔루션(Just-in-Time 권한)임시 관리자 권한(세션 제한)SIEM 중앙 수집현재 일반 구성(취약)로컬 관리자 권한(흔한 구성)일반 사용자SYSTEM 권한 획득 용이

운영 정책에서는 모든 엔드포인트의 로컬 관리자 계정을 LAPS(Local Administrator Password Solution)로 관리하고, 도메인 사용자 계정의 로컬 관리자 권한 제거 정책을 적용할 수 있다. PAM 솔루션을 통해 Just-in-Time 관리 권한을 운용하고, 표준 사용자 환경에서는 GPO로 ISO/VHD 파일 마운트를 제한하는 방식도 대응 범위에 포함된다.

BlueHammer와 RedSun으로 이어진 Defender 공격 경로

보안 제품이 공격 표면이 되는 사례는 반복돼 왔다. 2026년의 관련 사례를 함께 보면 Nightmare Eclipse가 다루는 공격 체계의 변화를 확인할 수 있다.

취약점 CVE 발견 시점 메커니즘 패치 상태
BlueHammer CVE-2026-33825 2026년 4월 TOCTOU (MpSigStub.exe 서명 업데이트) 패치 완료 (4.18.26040.1011)
RedSun 미할당 2026년 4-5월 클라우드 파일 감지 Oplock + 정션 스왑 미패치
RoguePlanet 미할당 2026년 6월 TOCTOU (실시간 스캔 파이프라인) 미패치

BlueHammer는 MpSigStub.exe가 임시 파일을 쓰는 디렉터리를 대상으로 했다. 공격자가 Oplock으로 스레드를 멈춘 사이 정션을 C:\Windows\System32\config\SAM으로 바꾸면, SYSTEM은 SAM 데이터베이스를 공격자가 읽을 수 있는 위치로 복사했다. 이로 인해 오프라인 패스워드 크래킹이나 Pass-the-Hash 공격이 가능해진다.

RedSun은 Defender의 클라우드 기반 파일 탐지와 치료 기능을 겨냥한다. TieringEngineService.exe 같은 시스템 바이너리를 덮어써 지속성을 확보하며, 2026년 6월 현재 미패치 상태다.

RoguePlanet은 이 계열의 최신 변형이다. 실시간 스캔 경로에 초점을 맞추고 ISO 이미지를 트리거로 사용해 신뢰성을 높였다. Nightmare Eclipse는 일부 머신에서 100% 재현율을 달성했다고 주장했고, ThreatLocker의 독립 재현이 이를 뒷받침한다.

공개 방식이 남긴 책임의 문제

Nightmare Eclipse는 이번 공개가 Microsoft와의 취약점 공개 및 버그바운티 정책 분쟁의 일부라고 명시했다. 2026년 4월 이후 일곱 번째 제로데이 PoC 공개라는 점에서, 단발성 연구 공개보다 의도적이고 조직적인 캠페인으로 해석될 여지가 있다.

책임 공개(Coordinated Disclosure)를 지지하는 쪽은 PoC의 즉시 공개가 악의적 행위자에게 무기를 제공하고, 패치 개발에 최소 수 주가 필요하므로 공개 유예가 필요하다고 본다. 개인의 버그바운티 불만이 수억 사용자를 위험에 빠뜨리는 것은 비례 원칙에 맞지 않는다는 주장도 있다.

즉시 공개(Full Disclosure) 입장에서는 Microsoft가 CVE를 발행하지 않거나 버그바운티를 지급하지 않을 때 연구자에게 공개 외의 선택지가 없다고 본다. 수개월간 보고했는데도 묵살되는 사례가 반복되고, 공개 압박이 없으면 패치 우선순위가 낮게 유지된다는 증거가 역사적으로 축적됐다는 주장이다.

이 논쟁에 단일한 답은 없다. 다만 연속적이고 의도적인 무기화 공개는 일반적인 연구 공개를 넘어서는 문제를 제기한다. Microsoft는 법적 대응을 시사하는 성명을 발표했고, 보안 커뮤니티는 연구자 보호와 사용자 보호 사이의 균형을 두고 논쟁하고 있다.

시스템 보안 설계에서 다시 확인되는 원칙

RoguePlanet은 TOCTOU를 실제 공격 사례로 드러낸다. TOCTOU(Time-of-Check to Time-of-Use)는 멀티스레딩 환경에서 공유 자원에 접근할 때 발생하는 경쟁 조건(Race Condition)의 고전적 형태다. 원자성(Atomicity)과 상호 배제(Mutual Exclusion)가 깨진 지점이 보안 악용으로 이어질 수 있다.

최소 권한 원칙(Principle of Least Privilege)은 SYSTEM 권한으로 실행되는 Defender 컴포넌트가 공격자의 목표가 되는 이유를 설명한다. 필요한 수준을 넘는 권한을 부여하지 않는 설계가 중요하다.

심층 방어(Defense in Depth)는 Defender 하나에 의존할 수 없다는 점을 보여준다. 네트워크 보안, 엔드포인트 EDR, SIEM, PAM을 함께 두는 다층 방어가 필요하다. 보안 패치 관리(Patch Management) 관점에서는 패치 갭 동안의 리스크와 완화 전략이 핵심이며, ISMS-P 인증 기준도 취약점 관리와 패치 주기 관리를 요구한다.

보안 제품은 SYSTEM 권한에서 넓은 파일 시스템 접근을 수행하기 때문에 TOCTOU류 공격의 표적이 될 수 있다. 파일 접근과 처리 경로에는 원자적 작업(Atomic Operation)을 적용하고, Oplock을 악용한 지연 공격을 고려한 타임아웃 메커니즘을 강화해야 한다.

Microsoft는 VBS(Virtualization-Based Security)와 Kernel Data Protection(KDP)을 통해 보안 제품의 파일 작업을 격리된 환경에서 수행하는 방향으로 아키텍처를 발전시킬 것으로 예상된다. Nightmare Eclipse와의 갈등은 버그바운티 금액과 CVE 발행 프로세스에 대한 불만에서 비롯됐으며, 보상 체계가 개선되지 않으면 유사한 적대적 공개가 반복될 것이다. 레이스 컨디션 기반 공격은 전통적 시그니처만으로 탐지하기 어려워 AI/ML 기반 이상 행위 탐지 엔진이 탐지의 주축이 되어야 한다.

Sources

RoguePlanetMicrosoft DefenderTOCTOU제로데이권한 상승Windows 보안