Windows CVE-2026-32202 대응: 제로클릭 NTLM 유출과 Pass-the-Hash 방어

2026년 4월 Microsoft는 Windows Shell 제로클릭 취약점 CVE-2026-32202가 실제 공격에 활발히 악용되고 있음을 공식 확인했다. 이 취약점은 2026년 2월 패치된 CVE-2026-21510의 불완전한 수정 뒤에 남은 결함이다. 악성 LNK 파일이 담긴 폴더를 열람하는 것만으로 NTLMv2 해시가 공격자 서버에 자동 전송될 수 있다.

CISA는 이 취약점을 KEV(Known Exploited Vulnerabilities) 목록에 즉시 등재하고 2026년 5월 12일까지 연방 기관의 패치를 의무화했다. 러시아 APT28은 우크라이나와 EU 국가를 대상으로 한 사이버 스파이 활동에 이 취약점을 활용한 것으로 귀속되었다.

Explorer의 UNC 연결이 만드는 제로클릭 경로

NTLM(NT LAN Manager)은 Microsoft가 개발한 챌린지-응답 기반 인증 프로토콜이다. 서버가 무작위 챌린지(nonce)를 보내면 클라이언트는 NTLM 해시(MD4로 해싱된 비밀번호)로 챌린지를 암호화해 응답하고, 서버가 이를 검증해 인증을 마친다.

NTLMv1은 56비트 DES를 사용하는 구식 프로토콜로 무차별 대입 공격에 취약하다. NTLMv2는 HMAC-MD5를 적용하고 클라이언트 챌린지와 타임스탬프를 포함해 보안성을 보강했지만, 해시가 탈취되면 Pass-the-Hash 공격에 노출된다는 한계는 남는다.

CVE-2026-32202에서는 Windows Explorer가 LNK(바로가기) 파일을 렌더링하면서 UNC(Universal Naming Convention) 경로를 자동 해석하는 동작이 문제가 된다.

⤢✕

공격자는 악성 LNK 파일을 이메일 첨부, 네트워크 공유, USB 드라이브 등으로 피해자 시스템에 배치한다. 피해자가 해당 파일이 있는 폴더를 Windows Explorer로 열면 Explorer는 LNK 파일의 UNC 경로(\\attacker-server\share)에 SMB 연결을 자동 시도한다. 이때 피해자의 NTLMv2 해시가 공격자 서버로 전송되며, 파일을 열거나 실행할 필요가 없다는 점이 제로클릭 특성이다.

CVE-2026-21510의 잔존 결함과 강제 인증

CVE-2026-32202는 이미 패치된 취약점에서 남은 결함이라는 점에서 주목할 만하다. Microsoft는 2026년 2월 APT28이 우크라이나 대상 공격에 사용한 LNK 파일 RCE 취약점 CVE-2026-21510을 패치했지만, UNC 경로를 통한 강제 NTLM 인증 경로는 완전히 차단하지 못했다. 공격자는 패치된 환경에서도 변형된 방식으로 NTLMv2 해시를 유출할 수 있었다.

Akamai 보안 연구팀은 이 사례를 Shortcut to Coercion(강제 인증의 지름길)으로 명명하며, 불완전한 패치가 새로운 공격 벡터로 이어지는 과정을 분석했다. 패치 배포 여부만 확인하는 운영 방식으로는 충분하지 않다는 사례다.

LNK는 강제 인증에 쓰일 수 있는 벡터 중 하나다. Responder를 활용한 LLMNR(Link-Local Multicast Name Resolution) 포이즈닝도 함께 사용된다. 호스트가 DNS에서 이름을 해석하지 못하면 LLMNR 또는 NBT-NS 브로드캐스트를 보내고, 공격자는 Responder로 응답해 정상 서버처럼 위장한다. 피해자 시스템이 위장 서버에 NTLMv2 챌린지-응답을 보내면 공격자는 해시를 캡처한다.

캡처한 해시는 Hashcat이나 John the Ripper로 오프라인 크래킹하거나 다른 서비스에 즉시 Relay 공격을 수행하는 데 사용된다. 공격자는 다음과 같은 경로도 활용할 수 있다.

SCF 파일: Windows Explorer가 자동 파싱하는 Shell Command File
URL/WebDAV 파일: @..url 파일의 IconFile 속성에 UNC 경로 삽입
Office 문서: Word/Excel의 외부 링크나 템플릿 주입
이메일 클라이언트: HTML 이메일의 <img src="\\UNC\path"> 태그
PDF 파일: GoToR/Launch 액션으로 UNC 경로 삽입

이들 경로는 사용자 인터랙션 없이 또는 최소한의 인터랙션으로 NTLMv2 해시를 유출할 수 있다.

해시 탈취 뒤 이어지는 횡적 이동

Pass-the-Hash(PtH)는 평문 비밀번호 없이 NTLM 해시만으로 인증하는 횡적 이동 기법이다. NTLM은 서버 측에서 비밀번호를 해시로 변환해 비교하므로, 해시 자체가 유효한 자격증명이 된다.

⤢✕

CVE-2026-32202로 NTLMv2 해시를 확보한 공격자는 Impacket의 psexec.py, smbexec.py, wmiexec.py 등을 사용해 동일 도메인의 다른 시스템에 접근할 수 있다. 관리자 해시가 유출되면 도메인 전체가 위험에 처한다.

자격증명 노출과 Relay를 분리해 막기

Windows Defender Credential Guard는 가상화 기반 보안(VBS)으로 LSASS 프로세스의 NTLM 해시를 격리한다. 자격증명을 하이퍼바이저로 보호된 메모리 영역에 저장하므로 커널 수준 공격자도 해시를 직접 덤프하기 어렵다.

# Credential Guard 활성화 확인
Get-ComputerInfo | Select-Object -Property DeviceGuard*

# GPO: Computer Configuration > Administrative Templates
# > System > Device Guard > Turn On Virtualization Based Security
# Credential Guard Configuration: Enabled with UEFI lock

다만 CVE-2026-32202처럼 네트워크로 NTLMv2 응답 전송을 강제하는 공격은 Credential Guard로 차단되지 않는다. 이는 해시 덤프가 아니라 인증 프로토콜 자체를 악용하는 방식이다.

LAPS(Local Administrator Password Solution)는 각 워크스테이션의 로컬 관리자 비밀번호를 Active Directory에서 자동으로 무작위 생성하고 관리한다. 한 시스템의 로컬 관리자 해시가 탈취되어도 다른 시스템에 재사용하기 어렵게 만들어 PtH의 확산 범위를 줄인다.

Microsoft LAPS v2(Windows Server 2022/Windows 11 내장)는 자동 비밀번호 로테이션(기본 30일), Azure AD 및 온프레미스 AD 통합, 암호화된 비밀번호 저장, 비밀번호 히스토리 관리, Windows Hello for Business 통합 기능을 제공한다.

# LAPS v2 정책 설정
Set-LapsADComputerSelfPermission -Identity "OU=Workstations,DC=corp,DC=local"
Set-LapsADPasswordExpirationTime -Identity "PC001" -WhenFull (Get-Date).AddDays(1)

Kerberos는 티켓 기반 인증을 사용하며, 네트워크에서 해시나 비밀번호를 직접 전송하지 않는다. KDC(Key Distribution Center)가 발급하는 TGT(Ticket Granting Ticket)와 서비스 티켓으로 인증하기 때문에 NTLM Relay 공격은 근본적으로 불가능하다. NTLM을 비활성화하고 Kerberos만 허용하는 설정은 다음과 같다.

# GPO: Computer Configuration > Windows Settings > Security Settings
# > Local Policies > Security Options

# NTLMv1 완전 차단
Network security: LAN Manager authentication level
→ "Send NTLMv2 response only. Refuse LM & NTLM"

# NTLM 완전 비활성화 (단계적 적용 필요)
Network security: Restrict NTLM: NTLM authentication in this domain
→ "Deny all"

Microsoft는 2026년 10월부터 NTLMv1을 자동 차단하는 정책을 시행할 예정이며, 기업은 그 전에 Kerberos 마이그레이션을 완료해야 한다.

SMB 서명은 SMB 패킷에 디지털 서명을 추가해 중간자 공격(NTLM Relay)을 차단한다. 서명이 활성화된 환경에서는 NTLM 해시가 탈취되어도 다른 서버로 Relay할 수 없다.

# SMB 서명 강제 설정 (서버)
Set-SmbServerConfiguration -RequireSecuritySignature $true -EnableSecuritySignature $true

# SMB 서명 강제 설정 (클라이언트)
Set-SmbClientConfiguration -RequireSecuritySignature $true

# 현재 SMB 서명 상태 확인
Get-SmbServerConfiguration | Select-Object RequireSecuritySignature, EnableSecuritySignature

# Windows Server 2025의 SMB NTLM 완전 비활성화
# (outbound SMB NTLM 차단)
Set-SmbClientConfiguration -BlockNTLM $true

GPO로 도메인 전체에 적용할 때는 다음 정책을 사용한다.

Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options
Microsoft network server: Digitally sign communications (always) → Enabled
Microsoft network client: Digitally sign communications (always) → Enabled

EPA(Extended Protection for Authentication)는 NTLM 인증 메시지에 TLS 채널 바인딩 토큰을 넣어 중간자 공격을 막는다. 서버는 클라이언트가 제공한 채널 바인딩 토큰과 자신의 인증서 해시를 비교하고, 불일치하면 인증을 거부한다. LDAP 서버와 IIS에 EPA를 적용하면 AD CS(Active Directory Certificate Services)를 겨냥한 NTLM Relay 공격(PetitPotam 등)을 효과적으로 차단할 수 있다.

KEV 우선순위와 패치 검증을 운영 절차에 넣기

CISA KEV 카탈로그는 실제 악용이 확인된 취약점의 공식 목록이다. CVE-2026-32202처럼 KEV에 등재된 취약점은 CVSS 점수가 낮더라도 즉각 패치해야 한다.

⤢✕

BOD(Binding Operational Directive) 22-01에 따라 미국 연방 기관은 KEV 등재 취약점을 규정된 기간(보통 2-3주) 안에 의무적으로 패치해야 한다. 민간 기업도 같은 기준을 자발적으로 채택하는 것이 권장된다.

CVE-2026-32202는 패치 자체의 완전성도 검증해야 한다는 점을 보여준다. 불완전한 패치(Incomplete Fix)는 다른 CVE 번호로 다시 나타날 수 있다. 검증에는 다음 작업이 포함된다.

회귀 테스트: 패치 전 PoC가 공개된 경우 패치 후에도 동일 PoC로 테스트
변형 테스트: 알려진 공격 기법의 변형을 대상으로 추가 테스트
Vendor Advisory 검토: Microsoft Security Update Guide에서 유사 취약점 그룹 확인
보안 연구 팀 리포트 모니터링: Akamai, Google Project Zero, Qualys 등의 패치 분석 보고서 추적

# 현재 설치된 보안 업데이트 확인
Get-HotFix | Where-Object {$_.Description -eq "Security Update"} | Sort-Object InstalledOn -Descending | Select-Object -First 10

# CVE-2026-32202 수정 패치 확인 (KB5083769)
Get-HotFix -Id KB5083769

SMB 서명 강제 적용이나 NTLM 비활성화 뒤에는 레거시 애플리케이션의 기능 회귀(Regression)가 발생할 수 있다. Network security: Restrict NTLM 정책을 Audit 모드로 먼저 적용해 NTLM 의존 서비스를 파악하고, 소수 시스템 또는 OU에서 영향을 확인한 뒤 예외 정책과 순차 배포를 진행한다.

# NTLM 사용 감사 (차단 전 의존성 파악)
# 이벤트 ID 4624 (로그온), 4625 (로그온 실패) 모니터링
# LogonType 3 + Authentication Package = NTLM인 이벤트 필터링

$filter = @{
    LogName   = 'Security'
    Id        = 4624
    StartTime = (Get-Date).AddHours(-24)
}
Get-WinEvent -FilterHashtable $filter | Where-Object {
    $_.Message -match "NTLM"
} | Group-Object -Property {$_.Properties[8].Value} | Sort-Object Count -Descending

CVE-2026-32202 악용 시도는 내부 호스트에서 외부 IP의 445 포트로 향하는 SMB 연결, 이벤트 ID 4648의 명시적 자격증명 로그온 시도, Sysmon EventID 3에서 외부 IP의 대상 포트 445, .lnk 파일 TargetPath의 \\ 패턴을 중심으로 탐지할 수 있다.

# Sigma 규칙 예시 (NTLM 해시 유출 탐지)
title: Suspicious Outbound SMB Connection from User Context
logsource:
    category: network_connection
    product: windows
detection:
    selection:
        Initiated: 'true'
        DestinationPort: 445
    filter_internal:
        DestinationIp|cidr:
            - '10.0.0.0/8'
            - '172.16.0.0/12'
            - '192.168.0.0/16'
    condition: selection and not filter_internal

CVE-2026-32202는 불완전한 패치가 새로운 제로데이로 이어질 수 있음을 보여준다. NTLM의 구조적 취약성을 근본적으로 해소하려면 Kerberos로 완전히 마이그레이션해야 한다. 그 전까지는 SMB 서명 강제 적용, LAPS를 통한 로컬 관리자 자격증명 격리, Credential Guard 활성화를 중첩 적용하고, KEV 기반 우선순위와 패치 완전성 검증을 취약점 관리 프로세스에 포함해야 한다.